기업의 데이터 보호에 대한 요구가 계속 증가하면서, 드라이브 제조사들과 TCG(Trusted Computing Group)는 기업을 위한 새로운 보안 옵션을 내놓았습니다. 드라이브가 자체적으로 랜덤하게 생성된 키를 이용하여 입력되는 데이터스트림을 암호화하여 기록하고, 입/출력을 수행할 때 드라이브 수준에서 암호화와 복호화를 수행하는 기술입니다. 일반적으로 이 기술은 OPAL이라는 표준을 적용하나, 제조사가 자체적인 암호화 기능을 구현하는 경우도 있습니다.

우리는 이러한 기술들을 Self-Encrypted Drive라 부르기로 하였습니다.

TPM 기반의 Bitlocker 등의 유사 기술과 비교하였을 때, SED가 가지는 장점은 다음과 같습니다.

1. 하드웨어 기반의 암/복호화

디스크 드라이브가 직접 암호화와 복호화를 수행하기에 애플리케이션의 입장에서 SED의 동작은 완전히 투명하며, 호스트 컴퓨터의 CPU 리소스를 사용하지도 않습니다.

2. 암호화 키 보안

랜덤 생성된 암호화 키를 통해 데이터가 암호화되며, 이 키는 사용자에게 노출되지 않기에 유출로부터 안전합니다. 그리고 공격자가 디스크를 물리적으로 덤프하더라도 올바른 데이터를 얻을 수 없습니다. 그리고 칩으로부터 Bitlocker 키를 직접 추출하는 등의 사이드 채널 공격이 가능한 TPM 보다 상대적으로 안전합니다.

반면, SED의 단점은 다음과 같습니다.

1. 암호화 키를 보호하고, 데이터 접근을 막기 위한 별도의 키(AK - Authentication Key)가 필요함

우리가 SED를 사용할 경우, 일반적으로 시스템을 부트할 때 보게 되는 패스워드 입력 창에 들어가야 하는 키입니다.
SED는 내부 키 저장소에 AK를 이용하여 암호화 된 암호 키를 보관하게 되고, 이 키를 통해 암호화 키를 얻어 실제 데이터에 접근하게 되는 것이죠.

그렇기 때문에 SED 또한 타 드라이브 암호화 기술과 마찬가지로 내부자의 공격에는 취약합니다. 이미 AK를 알고 있는 사람이라면 얼마든지 데이터에 접근할 수 있습니다.

그리고 기업이 다수의 드라이브를 운용하는 경우, 각 드라이브에 안전하게 AK를 할당하는 것이 어려울 수 있습니다. AK의 생성부터 전달, 사용까지의 모든 과정에 대하여 보안이 고려되어야 합니다.

2. 비표준 드라이브의 존재

대부분의 SED가 OPAL을 기반으로 하고 있음에도, 시장에는 비표준 드라이브들이 존재합니다. 그리고 개중에는 AK와 같은 추가적인 인증 메커니즘이 존재하지 않는 것도 있습니다. SED 드라이브를 선택할 경우 스펙 시트를 보다 면밀하게 확인할 필요가 있습니다.

결론적으로, SED는 OS 수준의 드라이브 암호화 기술과 비교했을 때 추가적인 보안과 성능을 제공해주기는 하지만 동일한 한계를 공유합니다.

SED는 장비가 물리적으로 도난당한 상황과 같은 경우에만 제 기능을 하며, 데이터에 접근할 수 있는 권한을 가지고 있는 내부자의 공격을 막아주지는 못 합니다.

마지막으로, 대부분의 비즈니스 랩탑은 OPAL 표준을 준수하는 드라이브를 옵션으로 선택할 수 있습니다. 만약 본인이 가지고 있는 데이터가 아주 중요하고, 도난당할 위험이 있다면 SED를 사용하는 것을 검토해 볼 수 있을 것입니다.