sedutil · TCG OPAL 2.0

Аппаратное шифрование дисков. Бесплатно.

CakesCats PBA — поддерживаемый форк sedutil для самошифрующихся SSD. Он спрашивает пароль до запуска ОС, разблокирует диск и загружает систему. Корпоративные продукты продают ровно это за каждое место; здесь — открытый код и бесплатно. Для компаний настраиваем под вас, с SSO и MDM.

Скачать бесплатно на GitHub Для компаний

Открытый код, GPL-3.0SATA · NVMeБез нагрузки на процессор

Обзор

Закрыт до запуска ОС

Без пароля диск ничего не отдаёт, даже если его вынуть из ноутбука. PBA загружается из теневого MBR самого диска.

Шифрование ничего не стоит

Диски OPAL всегда шифруют аппаратно. PBA только управляет ключом: нет замедления, а ключ не покидает диск.

Работает с тем, что уже есть

Диски, настроенные sedutil 1.x, продолжают работать: хэширование по умолчанию то же, пароли менять не нужно.

Возможности

Несколько дисков

Каждый пароль пробуется на всех заблокированных дисках; затем можно ввести другой пароль для остальных.

Разделы со своим паролем

Отдельные разделы закрываются отдельными паролями и вводятся один за другим.

SHA-512

PBKDF2-SHA512 с настраиваемым числом итераций, помимо совместимого с sedutil SHA-1.

Защищённый образ

Без сервисной консоли, модулей ядра и сетевых драйверов, с закрытым меню загрузки.

Современное железо

Linux 6.18 LTS вместо 4.11 и пункт меню для процессоров, на которых старый PBA зависает (sedutil#404).

Воспроизводимые сборки

Собирается в GitHub Actions с опубликованными хэшами: образ можно пересобрать и получить тот же файл.

То же, что другие продают за каждое место, — бесплатно

Корпоративные продукты для шифрования дисков используют то же аппаратное шифрование OPAL, что уже встроено в ваш SSD. CakesCats PBA включает его открытым кодом и бесплатно.

	CakesCats PBA	Коммерческие продукты¹	BitLocker + Intune
Цена	Бесплатно, GPL-3.0. Настройка для компаний — фиксированная лицензия от $3,000	Лицензия или подписка за каждое место, цена по запросу	Входит в Windows Pro и Enterprise; Intune или ConfigMgr — отдельные лицензии
Аппаратное шифрование диска	Всегда: шифрует сам SSD, процессор не нагружается	Да, в режиме OPAL	С 2019 года по умолчанию программное (KB4516071); eDrive включается политикой
Исходный код	Открыт, воспроизводимые сборки с опубликованными хэшами	Закрыт	Закрыт
Операционные системы	Любая ОС после разблокировки: Windows, Linux, несколько систем	Зависит от продукта и его агента	Только Windows
Экран до загрузки	Полностью ваш: логотип, цвета, тексты, телефон поддержки	В рамках того, что разрешает вендор	Сообщение и ссылка для восстановления
SSO и MDM	Entra ID, Okta, Keycloak; Intune, ConfigMgr, Workspace ONE — интеграция под ваш парк	Через сервер управления вендора	Ключи в Entra ID, политики в Intune
Привязка	Нет: открытое ядро работает и без нас	Сервер вендора и продления	Экосистема Microsoft

¹ Trellix (McAfee) Complete Data Protection, WinMagic SecureDoc, Check Point Full Disk Encryption. Dell Encryption Enterprise снят с продажи в 2022 году. Сравниваем опубликованные возможности; детали уточняйте у вендоров.

Для компаний: настройка под любые требования

Ваш бренд, ваш вход, ваш MDM. Одна фиксированная лицензия на весь парк вместо ежегодной оплаты за каждое место.

Своя сборка и свой экран

Логотип, фон, цвета, тексты, телефон поддержки и юридический баннер. Любую настройку можно зафиксировать или скрыть, лишние функции — выключить.

Разблокировка через SSO

PBA показывает QR-код, сотрудник входит с телефона через Entra ID, Okta, Keycloak или Google Workspace, а ваш сервер разблокировки возвращает ключ диска.

Развёртывание через MDM

Подключение машин, политики и ключи восстановления через Intune, ConfigMgr, Workspace ONE или Ivanti; для Linux — Ansible или Salt.

Разблокировка в сети

В доверенной офисной сети машины разблокируются без участия пользователя, как BitLocker Network Unlock. Вне сети — пароль или SSO.

Восстановление и аудит

Пароли восстановления в вашем хранилище, журнал каждой разблокировки, экстренное стирание, PIN, USB-ключи и TPM — как требует ваша политика.

У вас, без нашего облака

Сервер разблокировки работает в вашей инфраструктуре. Ключи и пароли мы не видим. Подпись для Secure Boot вашими ключами.

Как проходит внедрение

Требования

Созвон о вашем парке, дисках, IdP, MDM и политиках.

Пилот

Собираем ваш образ и проверяем на ваших моделях ноутбуков и ПК.

Развёртывание

Развёртывание через ваш MDM, с планом восстановления и инструкцией для поддержки.

Обновления и поддержка

Новые ядра и железо, исправления безопасности и помощь вашим ИТ.

На открытом ядре

Вы всегда можете проверить, что работает у вас

Корпоративные сборки делаются из того же открытого кода, что и бесплатный образ, плюс ваши настройки и нужные интеграции. Они разрабатываются под ваше внедрение, объём и сроки фиксируются в договоре.

Исходный код вашей сборки
Воспроизводимые образы с хэшами
Без телеметрии

Бесплатно или под вашу компанию

Открытый образ бесплатен для всех. Компании покупают лицензию на настройку, интеграции и поддержку — одна цена на весь парк.

Образ бесплатен. CakesCats PBA — открытый код под GPL-3.0: скачайте, проверьте, соберите сами. Лицензия для компаний оплачивает настройку, интеграции и поддержку и поддерживает открытый проект.

Инструкция на GitHub

Открытый код

Полный образ PBA и sedutil-cli для всех — дома и на работе.

GPL-3.0, навсегда

Обычный и защищённый образы
Несколько дисков и разделов
Руководство на английском и русском
Поддержка сообщества на GitHub

Открыть инструкцию

До 100 машин

Business

Настройка для компании или команды.

$3,000

Лицензия до 100 машин

Ваш экран: логотип, цвета, тексты, телефон поддержки
Настройки и функции под вашу политику
Разблокировка через SSO: Entra ID, Okta, Keycloak
Развёртывание через MDM: Intune, ConfigMgr, Workspace ONE
Подпись Secure Boot вашими ключами
12 месяцев обновлений и поддержки

Купить лицензию

Enterprise

Для большого парка с разными моделями железа.

$25,000

Лицензия от 101 до 1 000 машин

Всё из Business
Пилот на ваших моделях ноутбуков и ПК
Разблокировка в офисной сети
Журнал разблокировок и восстановление через ваше хранилище
Приоритетная поддержка

Запросить расчёт

Больше 1 000 машин

Крупные организации и особые требования.

Индивидуально

Цена под проект

Всё из Enterprise
Отказоустойчивые серверы разблокировки
Функции под ваши требования
SLA и помощь на месте

Связаться

Цены в долларах США, без налогов. Лицензия считается по числу машин в парке. Вопросы: mail@cakescats.com

Технические характеристики

Стандарт	Самошифрующиеся диски TCG OPAL 2.0, SATA и NVMe
Прошивка	UEFI, x86_64; после разблокировки загружается любая ОС
Основа	Buildroot 2026.02 LTS, Linux 6.18 LTS
Образ	32 МиБ; профили default и hardened
Хэширование пароля	PBKDF2-SHA1, 75 000 итераций (как в sedutil 1.x) или PBKDF2-SHA512
Утилиты	sedutil-cli, статическая сборка для Linux
Проверено на	KIOXIA XG8 NVMe, в виртуальной машине и на железе; другие диски — в работе
Лицензия	GPL-3.0-or-later, как у sedutil

Частые вопросы

Это правда бесплатно?

Да. Образ и код — под GPL-3.0, для личного и коммерческого использования. Компании платят, только если нужна своя сборка, интеграции или поддержка.

Подойдёт ли мой диск?

С большинством SSD, которые поддерживают TCG OPAL 2.0. Проверьте командой sedutil-cli --scan и сначала запустите образ с флешки, как описано в руководстве.

Что, если пароль потерян?

Без пароля данные не прочитать — в этом и смысл. Диск можно сбросить кодом PSID с его наклейки, но данные при этом стираются. В корпоративных сборках есть пароли восстановления в вашем хранилище.

Чем это отличается от BitLocker?

С 2019 года BitLocker по умолчанию шифрует программно, даже на самошифрующихся дисках. CakesCats PBA использует шифрование самого диска, работает с любой ОС и может работать вместе с BitLocker.

Как со сном и гибернацией?

Гибернация работает: машина загружается через PBA, и ОС восстанавливается. При сне S3 диск, потерявший питание, снова блокируется — проверьте на своих машинах. В корпоративные сборки можно добавить помощники для выхода из сна.

Вы получаете наши ключи или пароли?

Нет. В бесплатном образе сети нет вообще. В корпоративных сборках сервер разблокировки работает у вас, а исходный код вашей сборки остаётся у вас.

Другие продукты CakesCats

CakesCats — некоммерческий проект: каждый продукт открыт, его можно бесплатно скачать или собрать самому по нашей инструкции. Платите вы только за оборудование, настройку и поддержку — это и поддерживает проект.