全磁碟加密（FDE）可以是保護靜態數據的軟件或硬件解決方案。基於硬件的全磁碟加密通常稱為自加密驅動器（SED），通常符合OPAL（例如Windows的加密硬盤驅動器）和由Trusted Computing Group（TCG）開發的企業標準。“內置在驅動器中或驅動器機箱中的基於硬件的加密對用戶來說是透明的。除啟動身份驗證外，該驅動器的運行方式與任何驅動器相同，並且不會降低性能。與磁碟加密軟件不同，它沒有復雜性或性能開銷，因為所有加密對於操作系統和主機計算機處理器都是不可見的。” （維基百科）

身份驗證和機密性(Authentication and Confidentiality)
SED通過鎖定驅動器和加密數據來增強安全性。開機時需要使用身份驗證密鑰（AK）來解鎖驅動器（解密DEK），然後數據加密密鑰（DEK）解密數據。SED不會將DEK存儲在可信平台模塊（TPM）中，該平台通常以母板或芯片集組件的形式實現。

數據加密密鑰（Data Encryption Key:DEK）
. 用於加密和解密數據。
. 由驅動器生成，並且永不離開驅動器（未存儲在TPM上）。
. 如果更改或擦除，則無法解密以前的現有數據。

可信平台模塊(Trusted Platform Module)
以下是維基百科的摘錄：
可信平台模塊（TPM，也稱為ISO / IEC 11889）是安全密碼處理器的國際標準，安全密碼處理器是一種專用微控制器，旨在通過集成的密碼密鑰來保護硬件。
TPM 2.0實現有五種不同類型：
. 離散TPM是專用芯片，它們在自己的防篡改半導體封裝中實現TPM功能。從理論上講，它們是TPM的最安全的類型，因為與在軟件中實現的例程相比，在硬件中實現的例程應該對錯誤（需要澄清）有更強的抵抗力，並且它們的軟件包必須具有一定的抗篡改性。
. 集成的TPM是另一個芯片的一部分。當他們使用抵抗軟件錯誤的硬件時，不需要實現防篡改功能。英特爾已在其某些芯片組中集成了TPM。
. 固件TPM是基於固件（例如UEFI）的解決方案，可在CPU的受信任執行環境中運行。英特爾，AMD和高通已實施固件TPM。
. 虛擬機管理程序TPM是由虛擬機管理程序提供並依賴於虛擬機TPM，它們處於隔離的執行環境中，該環境對於虛擬機內部運行的軟件是隱藏的，以從虛擬機中的軟件中保護其代碼。它們可以提供與固件TPM相當的安全級別。
. 軟件TPM是TPM的軟件仿真器，其運行方式與操作系統中常規程序獲得的保護一樣多。它們完全取決於運行的環境，因此它們提供的安全性沒有普通執行環境所能提供的安全高，並且容易受到滲透到普通執行環境中的自身軟件漏洞和攻擊的影響。 ]它們對於開發目的很有用。

參考
. 基於硬件的全磁碟加密
. 蛋白石存儲規範
. SSD的數據安全性功能
. TCG設置驅動器加密標準
. 您的自加密驅動器（SED）多合一指南
. TCG存儲安全子系統類：蛋白石
. 符合TCG / Opal 2.0標準的自加密驅動器（SED）
. FDE的基本原理：比較頂級的全磁碟加密產品
. 加密硬盤驅動器（符合TCG OPAL和IEEE 1667的自加密硬盤驅動器）
. 自加密驅動器
. SSD加密漏洞和TPM
. 與TPM集成的Opal SSD
. 可信平台模塊–調查
. 實現信任的硬件根源：可信平台模塊已成時代
. TPM 2.0快速教程
. 企業自加密驅動器
. 企業SED演示

資料來源： Wentz Wu QOTD-20210316