FDE(フルディスク暗号化)
ディスク上のデータをすべて自動的に暗号化する方式。鍵は起動時(パスフレーズ、TPM、スマートカード)に解除される。端末の盗難や紛失には有効だが、稼働中のシステムに対する攻撃は防げない。
実装には、BitLocker(Windows)、FileVault(macOS)、LUKS/dm-crypt(Linux)、VeraCrypt(クロスプラットフォーム)がある。標準の暗号方式はAES-XTS-256である。TPMが鍵を保管し、BIOS/UEFIが改変されていないこと(メジャードブート)を条件とする。RAMが暗号化されていなければ、コールドブート攻撃がリスクになる。最近の自己暗号化ドライブ(SED)は、OSではなくドライブのコントローラーで暗号化を行う。スマートフォンでは、iOS 8(2014年)とAndroid 6(2015年)以降、ディスク全体がデフォルトで暗号化されている。