FDE
Alle gegevens op de schijf worden automatisch versleuteld. De sleutel wordt bij het opstarten vrijgegeven (wachtwoord, TPM, smartcard). Beschermt tegen gestolen of verloren apparaten, niet tegen een draaiend systeem.
Implementaties: BitLocker (Windows), FileVault (macOS), LUKS/dm-crypt (Linux) en VeraCrypt (platformonafhankelijk). Standaardcijfer: AES-XTS-256. De TPM bewaart de sleutel en eist dat BIOS/UEFI ongewijzigd is (measured boot). Risico: cold-boot-aanvallen als het RAM niet versleuteld is. Moderne zelfversleutelende schijven (SED) versleutelen in de schijfcontroller in plaats van in het besturingssysteem. Telefoons: volledige versleuteling is standaard sinds iOS 8 (2014) en Android 6 (2015).