Western Digital с аппаратным шифрованием

Мы продолжаем описывать интересные случаи восстановления пользовательских данных с неисправных накопителей.

Сегодня речь пойдет о внешнем жестком диске Western Digital WD30NMVW-11C3NS2, 3TB, USB 3.0. До нас его вскрыли в другой организации: судя по всему пытались менять блок магнитных головок. Со слов клиента, не смогли расшифровать данные.

В процессе работы пользователь установил пароль на разблокировку устройства с помощью программного продукта от производителя WD Drive Utilities. Кроме того, внутри задействован механизм SED.

Self Encrypting Drive — диск, шифрование которого реализовано на методах аппаратного шифрования и полного шифрования диска с условием того, что в контроллер этого диска встроено устройство аппаратного шифрования. Самошифруемые диски, использующие алгоритм шифрования AES используют 128 или 256 битные ключи для шифрования данных. Таким образом, мы столкнулись с двойным шифрованием.

В более ранних семействах накопителей WD, использующих аппаратное шифрование данных, механизм расшифрования "на лету" отработан. При этом известно местоположение применяемых ключей в области пользовательских данных и области служебной информации. Для выполнения этой операции необходимо заменить родной контроллер USB 2.0/3.0 на аналогичный SATA.

Иначе обстоит ситуация с довольно свежим WD30NMVW-11C3NS2. Производитель сменил адреса расположения ключей, а применяемые большинством компаний аппаратно-программные комплексы для восстановления данных перестроиться еще не успели. При этом нет возможности расшифровать данные.

После замены неисправного блока магнитных головок от диска-донора, было принято решение читать данные родным контроллером (содержащим USB 3.0), не меняя его на SATA. Такой способ вычитывания довольно сложный, так как набор команд используемых по USB сильно ограничен по сравнению с SATA, и не позволяет в полной мере обработать физические повреждения магнитной поверхности.

Избавившись от SED и переведя накопитель в режим работы по SATA  провели верификацию дискового пространства, выяснили адреса повреждений. К счастью, таких оказалось несколько штук, и находились они в самом начале. Вернув обранто SED и USB, применив пользовательский пароль в WD Drive Utilities мы получили доступ к данным пользователя без шифрования, которые успешно были скопированы на исправный накопитель. При этом умышленно не обращались к адресам содержащим повреждения. Потери составили несколько мегабайт.