FDE
Todos os dados do disco são criptografados automaticamente. A chave é liberada na inicialização (senha, TPM, smart card). Protege contra dispositivo roubado/perdido, não contra um sistema em execução.
Implementações: BitLocker (Windows), FileVault (macOS), LUKS/dm-crypt (Linux), VeraCrypt (multiplataforma). Cifra padrão: AES-XTS-256. O TPM guarda a chave e exige que a BIOS/UEFI esteja inalterada (measured boot). Risco: ataques de cold boot se a RAM não estiver criptografada. Os discos self-encrypting (SED) modernos fazem a criptografia no próprio controlador, e não no SO. Celulares: disco inteiro criptografado por padrão desde o iOS 8 (2014) e o Android 6 (2015).