Muitos SSDs criptografam sozinhos tudo o que gravam. Essas unidades com autocriptografia (self-encrypting drives, SED) parecem perfeitas: sem perda de desempenho e nada para instalar. O problema: você precisa confiar em um firmware fechado que não tem como verificar, e pesquisadores já mostraram mais de uma vez que essa confiança pode estar errada.
- É segura? Depende de um firmware que você não consegue verificar. Estudos de 2015 e 2018 encontraram falhas graves em unidades de grandes fabricantes.
- O BitLocker usa criptografia por software por padrão desde setembro de 2019. Unidades criptografadas antes podem continuar no modo por hardware.
- Para verificar, use
manage-bde -status. - Escolha mais segura: criptografia por software por cima da criptografia da unidade.
O que é uma unidade com autocriptografia
Uma SED tem um mecanismo de criptografia no controlador. Cada setor é criptografado com uma chave de dados que a própria unidade gera e guarda internamente. A criptografia fica sempre ligada e não custa desempenho.
O que protege os seus dados é a tranca na frente: a senha que libera essa chave quando a unidade é ligada. Sem senha definida, a unidade descriptografa tudo para qualquer pessoa que a conectar.
Uma vantagem real: dá para apagar uma SED em segundos destruindo a chave dela (apagamento criptográfico), útil quando você aposenta ou vende uma unidade.
O que os pesquisadores descobriram
| Ano | Unidades | Falha |
|---|---|---|
| 2015 | HDs externos Western Digital My Passport | Geração fraca de chaves, vazamentos da memória, backdoors (dependendo do controlador); alguns descriptografados sem nenhuma senha |
| 2018 | Crucial MX100, MX200, MX300; Samsung 840 EVO, 850 EVO (modo “ATA High”), T3, T5 | CVE-2018-12037: senha sem ligação criptográfica com a chave; com acesso físico e firmware manipulado, os dados eram liberados sem a senha |
| 2018 | Samsung 840 EVO | CVE-2018-12038: depois de trocar a senha, uma cópia antiga da chave (sem proteção ou com a senha antiga) podia ficar na memória flash com nivelamento de desgaste (wear leveling) |
Fontes: “got HW crypto?”, de Gunnar Alendal, Christian Kison e “modg” (2015); “Self-encrypting deception”, de Carlo Meijer e Bernard van Gastel, Universidade Radboud, Holanda (novembro de 2018, IEEE Symposium on Security and Privacy 2019).
A Crucial lançou atualizações de firmware; a Samsung corrigiu os portáteis T3 e T5 e recomendou criptografia por software para os internos 840 e 850 EVO. Só alguns modelos foram testados. A nota VU#395981 do CERT/CC alerta que outras unidades podem ter problemas parecidos e recomenda criptografia por software no lugar da criptografia da unidade.
Como a Microsoft reagiu
O problema: o BitLocker entregava automaticamente a criptografia a um eDrive. O Windows mostrava a unidade como protegida, mas a segurança dependia totalmente do firmware do SSD.
| Quando | O que mudou |
|---|---|
| 6 de novembro de 2018 | Comunicado ADV180028 (“Guidance for configuring BitLocker to enforce software encryption”): como verificar o tipo de criptografia e forçar a por software com Política de Grupo |
| Setembro de 2019 | Atualizações do Windows 10 (por exemplo a KB4516071): o BitLocker só usa a criptografia por hardware se um administrador permitir por política; unidades já criptografadas mantêm o tipo |
| Hoje | Documentação da Microsoft sobre discos rígidos criptografados: se as políticas de criptografia por hardware não estiverem configuradas, o BitLocker usa criptografia por software |
A situação em 2026
- O BitLocker e a criptografia do dispositivo usam criptografia por software por padrão, a não ser que um administrador permita explicitamente a da unidade.
- Instalações antigas ainda podem estar afetadas: o BitLocker ativado antes do fim de 2019 em um SSD eDrive pode continuar no modo por hardware (mudar a política não criptografa os dados de novo).
- O "BitLocker acelerado por hardware" é outra coisa: desde o fim de 2025, em alguns PCs novos (começando pelos Intel Core Ultra Series 3 vPro), o BitLocker passa o trabalho para um mecanismo criptográfico no processador. As chaves continuam com o BitLocker, e o SSD não entra nisso.
- O firmware das SEDs continua sendo uma caixa-preta: parte das falhas relatadas foi corrigida por firmware, para as demais foi recomendada criptografia por software, e há pouca pesquisa pública independente sobre os modelos atuais.
- Pendrives com criptografia por hardware e teclado numérico podem ser uma escolha sensata, mas você continua confiando no fabricante.
Como verificar se a sua unidade usa criptografia por hardware
manage-bde -statusNo Windows em inglês, a linha se chama "Encryption Method".
- XTS-AES 128 ou XTS-AES 256 (instalações mais antigas: AES 128 ou AES 256): criptografia por software. É isso que você quer.
- Criptografia por hardware (em inglês, "Hardware Encryption"): o SSD criptografa, e o BitLocker depende do firmware dele.
- Aceleração por hardware (em inglês, "Hardware accelerated"): o recurso com o processador descrito acima; as chaves ficam com o BitLocker.
Se uma unidade usa criptografia por hardware, passe para a por software, como descreve o ADV180028:
Na Política de Grupo (Windows Pro, Enterprise, Education), na seção do BitLocker, desative a política de uso de criptografia baseada em hardware para o tipo de unidade certo (unidades do sistema operacional, de dados fixas ou removíveis). No Windows em inglês ela se chama "Configure use of hardware-based encryption for ...".
Espere a descriptografia terminar antes de ligar. Não é preciso formatar.
Se uma unidade aparece como não criptografada e você nunca definiu uma senha de unidade (no BIOS ou em um programa do fabricante), a criptografia embutida dela não protege nada, mesmo que a caixa diga "AES de 256 bits".
Por que a criptografia por software é a escolha mais segura
- A chave só é liberada com a sua senha (ou um TPM), sem interruptor no firmware
- Dá para examinar: o BitLocker é documentado e estudado há anos, o VeraCrypt é de código aberto e passou por auditorias públicas
- As configurações são suas: o Cryptic Disk oferece AES, Serpent, Twofish e outros (também em cascata) e uma derivação da chave propositalmente lenta contra força bruta (criptografia)
- Não depende da unidade: a mesma proteção em um SSD novo ou em outro PC
- Custo baixo: processadores modernos têm instruções AES embutidas
- Firmware do controlador fechado
- Difícil verificar como ela liga a senha à chave
- Falhas graves encontradas em 2015 e 2018
- A proteção depende do modelo da unidade
Você não precisa escolher: a SED continua criptografando em segundo plano, e a criptografia por software por cima acrescenta uma tranca que não depende do firmware.
O que usar
Em dúvida sobre qual ferramenta usar? Veja Programas para criptografar arquivos e discos no Windows.
Perguntas frequentes
A criptografia por hardware do SSD é segura?
Depende de um firmware que você não consegue verificar, e estudos encontraram falhas graves em unidades de grandes fabricantes. Trate-a como uma camada extra, não como a única proteção.
O BitLocker usa a criptografia por hardware do meu SSD?
Por padrão, não, desde setembro de 2019. Se o manage-bde -status indicar criptografia por hardware, ele usa: passe para a por software como descrito acima.
Dá para quebrar a criptografia de um disco?
Uma boa criptografia por software, com uma senha longa, não pode ser quebrada por força bruta na prática. Os ataques reais miram senhas fracas, PCs desbloqueados, chaves na memória ou falhas como as das SEDs. Saiba mais em É possível quebrar arquivos criptografados?.
Devo desligar a criptografia por hardware da unidade?
Normalmente não dá e nem é preciso: um SSD Opal sempre criptografa internamente. Só não dependa apenas dela e, se o BitLocker estiver no modo por hardware, passe para o modo por software.
O Cryptic Disk funciona em unidades com autocriptografia?
Sim. Ele criptografa por software, então funciona com qualquer partição ou unidade externa que o Windows reconheça como um disco comum. Para a partição do sistema, use o BitLocker ou o VeraCrypt.
Sem limitações durante o teste. Windows 11, 10, 8.1, 8, 7, Vista e XP.
Avaliação gratuita Preços e compra