Hızlı cevap: Kendinden şifreli bir SSD (SED, TCG Opal) kurtarmasında belirleyici soru şudur: geçerli kimlik bilgisine (parola, PIN veya kurtarma anahtarı) sahip misiniz? Evet ise disk normal şekilde kilidi açılır, salt okunur imajı alınır ve veri kurtarma klasik yöntemlerle sürer. Hayır ise durum farklıdır: SED'de tüm veri, kontrolcü içindeki bir ortam şifreleme anahtarıyla (MEK) sürekli şifrelidir ve bu anahtar kimlik bilgisi olmadan çözülemez. Bu yüzden kimlik bilgisi yoksa NAND yongalarını sökmek (chip-off) bile işe yaramaz, çünkü okunan bitler şifrelidir. PSID revert ise bir kurtarma yolu değildir: diski fabrika ayarına döndürürken yeni bir anahtar üretip eskisini atar, yani veriyi kalıcı olarak yok eder. Modern SED teknolojisi, kimlik bilgisi olmadan veriyi erişilemez kılmak için tasarlanmıştır ve bu sınır gerçektir.

Donanım şifreli SSD'ler kurumsal ve kişisel cihazlarda standart hale geldi. Çoğu NVMe ve SATA SSD, kullanıcı farkında olmasa bile kendinden şifreli (self encrypting drive) çalışır. Bu, veri güvenliği için mükemmeldir ama bir arıza veya unutulmuş parola durumunda kurtarmayı klasik disklerden tamamen farklı kılar. Bu rehber, SED ve TCG Opal mimarisini, hangi senaryoda kurtarmanın mümkün olduğunu ve hangi sınırların matematiksel olarak aşılamaz olduğunu dürüstçe anlatır.

SED nasıl çalışır: her zaman şifreli

Kendinden şifreli bir diskte veri, diske yazıldığı andan itibaren donanım tarafından şifrelenir. İki anahtar katmanı vardır.

Ortam şifreleme anahtarı (MEK veya DEK). Diskteki tüm veriyi şifreleyen asıl anahtardır. Kontrolcü içinde üretilir, hiçbir zaman açık metin olarak dışarı çıkmaz ve kullanıcı onu doğrudan görmez. Veri diske her zaman bu anahtarla şifreli yazılır; şifreleme kapatılamaz, yalnızca kilit açma mekanizması değişir.

Kimlik doğrulama anahtarı (AK veya KEK). Kullanıcının parolası, PIN'i veya kurtarma anahtarından türetilir ve MEK'i saran anahtardır. Doğru kimlik bilgisi verildiğinde kontrolcü MEK'i açar ve veri okunabilir hale gelir. Kimlik bilgisi yanlışsa MEK açılmaz ve diskten okunan her şey anlamsız şifreli bloklardır.

Bu mimarinin sonucu kritiktir: diski güvenli kılan, veriyi silmek değil, MEK'i erişilemez tutmaktır. Anahtar olmadan şifreli bloklar, günümüz şifreleme standartlarıyla pratikte çözülemez.

TCG Opal: kilit aralıkları, PBA ve shadow MBR

TCG Opal, bu şifrelemeyi yöneten endüstri standardıdır. Birkaç kavramı bilmek kurtarma kararları için gerekir.

Kilit aralıkları (locking ranges). Opal, diski ayrı ayrı kilitlenebilen aralıklara bölebilir. Her aralığın kendi kilit durumu vardır.

Güvenlik sağlayıcıları (SP). Admin SP diski yönetir, Locking SP kilit aralıklarını ve kimlik bilgilerini yönetir.

Pre-boot kimlik doğrulama (PBA) ve shadow MBR. Opal diskler, işletim sistemi açılmadan önce küçük bir kimlik doğrulama ortamı (shadow MBR) sunabilir. Kullanıcı burada kimlik bilgisini girer, disk kilidini açar ve sonra gerçek işletim sistemi yüklenir.

SID ve PSID. SID, diskin yönetici kimlik bilgisidir. PSID (Physical Security ID), diskin etiketinde basılı olan ve yalnızca fiziksel erişimle okunabilen bir koddur. PSID'nin tek işlevi revert, yani diski fabrika durumuna döndürmektir ve bu işlem veriyi yok eder.

Belirtiye göre kurtarma yolu

Durum Kimlik bilgisi Kurtarma yolu
Parola biliniyor, disk sağlam var normal kilit açma, salt okunur imaj, klasik kurtarma
Parola unutuldu, disk sağlam yok matematiksel olarak kurtarılamaz, yalnızca kimlik bilgisi aranır
Kontrolcü arızası, parola biliniyor var kontrolcü onarımı sonrası kilit açma; zor ama mümkün olabilir
Kontrolcü arızası, parola yok yok chip-off bile şifreli veri verir, kurtarılamaz
PSID revert yapıldı her ikisi de veri kalıcı olarak gitti, kurtarılamaz
Firmware güncellemesi bozdu var kontrolcü firmware kurtarması, uzman laboratuvar

Kimlik bilgisi varsa: standart kurtarma

En iyi senaryo, kullanıcının parolayı, PIN'i veya kurtarma anahtarını bilmesidir. Bu durumda disk Opal mekanizmasıyla kilidi açılır, veri açık hale gelir ve bundan sonrası klasik SSD kurtarmasıdır. Disk ayrıca fiziksel veya mantıksal bir hasar taşıyorsa önce salt okunur imaj alınır, sonra çalışma imaj üzerinde yapılır.

Microsoft eDrive (IEEE 1667) ile BitLocker, donanım şifrelemesini kullanabildiği için bir eDrive aygıtında BitLocker kurtarma anahtarı aynı zamanda disk kilidini açar. Yazılım tarafındaki BitLocker ve LUKS kurtarmasını BitLocker şifreli disk kurtarma yazımızda ve FileVault ve LUKS kurtarma yazımızda ele aldık; donanım şifrelemesinin farkı, anahtarın kontrolcü içinde olması ve veriyi hiçbir zaman açık yazmamasıdır.

Kontrolcü arızası: neden chip-off çözüm değil

Klasik bir SSD kontrolcüsü bozulduğunda, bazı durumlarda NAND yongaları sökülüp (chip-off) ham veri okunabilir. Şifresiz bir diskte bu, veri parçalarını geri getirebilir; yöntemi chip-off NAND çıkarma yazımızda anlattık. Ancak SED bir diskte durum farklıdır. NAND üzerindeki her blok, kontrolcü içindeki MEK ile şifrelidir. Yongaları söküp okusanız bile elinizde şifreli bitler olur; anahtar kontrolcünün güvenli deposundadır ve kimlik bilgisi olmadan açılamaz.

Bu yüzden SED bir diskte kontrolcü arızası iki ayrı soruna döner: önce kontrolcüyü yeniden çalışır hale getirmek (firmware veya elektronik onarımı), sonra geçerli kimlik bilgisiyle MEK'i açmak. Kimlik bilgisi varsa ve kontrolcü onarılabilirse kurtarma mümkündür ama uzmanlık ister. Kimlik bilgisi yoksa, kontrolcüyü onarsanız bile veriye erişemezsiniz. Bu, SED ile şifresiz SSD kurtarması arasındaki en önemli farktır. NVMe tarafındaki kontrolcü ve NAND kurtarmasını NVMe M.2 SSD kurtarma yazımızda ayrıca inceledik.

PSID revert: kurtarma değil, kalıcı silme

En sık yapılan ve en pahalı hata, unutulmuş parolaya çözüm olarak PSID revert yapmaktır. İnternette bu, kilidi açmanın yolu gibi anlatılabilir ama gerçek tersidir. PSID revert, diski fabrika durumuna döndürürken yeni bir ortam şifreleme anahtarı üretir ve eskisini kalıcı olarak atar. Eski anahtar gittiği için diskteki tüm şifreli veri bir anda matematiksel olarak erişilemez hale gelir. Yani PSID revert bir kripto silme işlemidir; veriyi kurtarmaz, bilakis kesin olarak yok eder.

PSID yalnızca diski güvenle yeniden kullanmak veya imha etmek istediğinizde kullanılır. Üzerinde kurtarmak istediğiniz veri olan bir diskte PSID revert asla yapılmamalıdır.

Dürüst sınır: tasarım gereği erişilemez

Bu konuda dürüst olmak şarttır. Modern SED ve TCG Opal, kimlik bilgisi olmadan veriyi erişilemez kılmak için tasarlanmıştır; bu bir kusur değil, teknolojinin amacıdır. Geçerli parola, PIN veya kurtarma anahtarı yoksa, günümüz şifreleme standartlarıyla şifreli veriyi çözmek pratikte mümkün değildir. Size anahtarsız şifre çözme veya garantili kilit açma vaat eden hiçbir yönteme güvenmeyin; bunlar ya dolandırıcılıktır ya da yalnızca eski, zayıf veya hatalı uygulanmış şifreleme için geçerlidir. Doğru yaklaşım, kimlik bilgisini bulmaya odaklanmak (parola yöneticisi, kurumsal anahtar deposu, BitLocker kurtarma anahtarı yedeği) ve mümkünse her zaman geçerli yedek tutmaktır. Kilitli ve şifreli mobil cihazlarda da benzer bir sınır geçerlidir; konuyu kilitli şifreli telefondan veri kurtarma yazımızda ele aldık.

DSET yaklaşımı

DSET olarak donanım şifreli SSD kurtarmalarını Ankara Hacettepe Teknokent laboratuvarımızda, dürüst bir ön değerlendirmeyle başlatırız. Önce diskin SED olup olmadığını, Opal kilit durumunu ve geçerli bir kimlik bilgisinin bulunup bulunmadığını belirleriz. Kimlik bilgisi varsa diski salt okunur imajlar, kurtarmayı imaj üzerinde yürütürüz; kontrolcü arızası varsa firmware ve elektronik onarımını deneriz. Kimlik bilgisi yoksa, anahtarsız çözmenin mümkün olmadığını baştan ve net söyleriz, boş umut satmayız. PSID revert gibi veri yok eden işlemlerden kaçınırız. Bir SSD'niz kilitli kaldıysa veya kontrolcüsü arızalandıysa, hiçbir revert veya sıfırlama yapmadan DSET ile iletişime geçin. Diskin fiziksel kurtarması için PC-3000 laboratuvar donanımı yazımız ve bir olayın hukuki boyutu için adli bilişim süreci yazımız yol gösterir.

Sık sorulan sorular

Parolamı unuttum, SED diskimdeki veriyi kurtarabilir misiniz? Hayır, geçerli bir kimlik bilgisi (parola, PIN veya kurtarma anahtarı) olmadan donanım şifreli bir diskin verisi matematiksel olarak kurtarılamaz. Bu bir eksiklik değil, teknolojinin tam da amacıdır. Yapılabilecek tek şey kimlik bilgisini bulmaktır: parola yöneticisi kayıtları, kurumsal anahtar yönetim sistemi veya BitLocker kurtarma anahtarı yedeği. Bunlar yoksa veri erişilemez kalır.

PSID ile kilidi açabilir misiniz? Hayır, bu çok yaygın bir yanlış anlamadır. PSID revert kilidi açmaz; diski fabrika durumuna döndürürken şifreleme anahtarını değiştirir ve eski veriyi kalıcı olarak yok eder. PSID yalnızca diski güvenle silip yeniden kullanmak için vardır. Üzerinde değerli veri olan bir diskte asla PSID revert yapmayın.

Diskin SED olup olmadığını nasıl anlarım? Çoğu modern NVMe ve SATA SSD, TCG Opal veya ATA güvenlik özelliğini destekler ve birçoğu şifrelemeyi varsayılan açık çalıştırır. Kesin bilgi diskin özelliklerinden ve kontrolcü sorgusundan gelir; uzman araçlar Opal desteğini, kilit aralıklarını ve kilit durumunu okuyabilir. Bir cihazda BitLocker, diskin eDrive özelliğini kullanıyorsa zaten donanım şifrelemesi devrededir.

Kaynaklar

  • TCG Opal SSC ve Enterprise SSC spesifikasyonları, kilit aralıkları ve SP yapısı.
  • NIST SP 800-88, medya sanitizasyonu ve kripto silme ilkeleri.
  • Microsoft eDrive ve IEEE 1667 belgeleri, BitLocker donanım şifreleme etkileşimi.
  • DSET blog: NVMe M.2 SSD kurtarma ve BitLocker şifreli disk kurtarma.