BIOS/UEFIからハードディスクをパスワードで保護する方法

主要なOSはいずれもログインパスワードの設定機能を備えています。これにより「自分のPCへのアクセスは守られていて、ファイルも他人には見られない」と感じる人がほとんどでしょう。しかし残念ながら、それは錯覚にすぎません。たとえばUSBメモリからUbuntuを起動すれば、Windowsのパーティションをマウントして、パスワードなしですべてのファイルを読み取れてしまいます。この簡単さを初めて知ったとき、多くの人が軽い衝撃を受けるのです。

とはいえ、ログインアカウントのパスワード保護が無意味だというわけではありません。一時的に席を離れる際のアクセス制限としては十分に有効です。では、数時間あるいは数日間PCを放置する場合、誰にもファイルを読まれないようにするにはどうすればよいのでしょうか。

ディスクには独自の「OS」が搭載されている

データを守る方法の一つが、フルディスク暗号化です。もうひとつのシンプルな解決策が、ディスクそのものにパスワード保護をかけることです。ファームウェアとはデバイス上で動作するソフトウェアのことで、実はHDDやSSDにも搭載されています。これはOSから独立しており、独自のルールを強制できます。つまり、正しいパスワードを入力しない限り、誰もこのディスクに対して読み書きできなくなります。ディスク自体がすべてのアクセスを拒否するため、別のOSを使って騙すこともできません。さらに、ディスクを取り外して別のPCに接続した場合でも、アクセスは拒否されます。

BIOS/UEFIからディスクパスワードを設定する方法

UEFIは、ブートローダーやWindows、ドライバーなどが読み込まれる前に動作する、いわば小型のOSのようなものと考えると分かりやすいでしょう。パスワードの設定は、このセットアップメニューから行います。BIOSも仕組みは似ていますが、主にやや古いPCで使われています。

UEFI/BIOSのセットアップ画面に入る

残念ながら、このメニューへアクセスする標準的な方法は存在しません。どのキーで起動するかは、マザーボードメーカーごとに自由に決められています。一般的には、PCの電源ボタンを押した直後にDEL、ESC、F1、F2、F10、F12などのキーを素早く連打することでセットアップ画面に入れます。BIOS搭載機の場合、この方法が設定画面へアクセスする唯一の手段です。確実にキー入力を認識させるため、何度か連続して押してください。どのキーでも反応しない場合は、マザーボードの取扱説明書を確認するか、ネットで型番を検索して必要なキーを調べましょう。

なお、最近のUEFI実装では、Windowsから直接再起動してセットアップメニューを開くことも可能です。

ディスクにパスワードロックをかける

UEFI/BIOSのセットアップメニューにも、固定された標準規格はありません。各メーカーが独自の設計を採用しており、GUI(グラフィカルユーザーインターフェース)の場合もあれば、TUI(テキストユーザーインターフェース)の場合もあります。

矢印キーの左右で「Security」タブ(または同等の項目)へ移動します。画面イメージは以下の通りです。

該当するタブが見つからない場合は、類似の設定項目を探してみてください。そこでディスクのパスワードを設定できます。見つけにくいときは、マザーボードのマニュアルを参照しましょう。

通常は、リストの中から対象ディスクのコードネームを見つけて選択し、ユーザーパスワードを、場合によってはマスターパスワードも設定します。

警告:パスワードを忘れてしまうと、魔法のようなリセット方法は存在しません。事実上、そのドライブは失われたも同然で、役に立たないレンガ( brick )になってしまいます。完全消去すればパスワードを解除できるドライブも一部存在しますが、それは例外的なケースであり、一般的ではありません。

なお、ディスクのユーザーパスワードと、UEFI/BIOS自体のユーザーパスワードは別物なので、混同しないように注意してください。

ディスクのユーザーパスワード/マスターパスワードの設定項目がグレーアウトしている場合は、一度電源を完全に切って入れ直す(パワーサイクル)必要があります。電源をオフにしてから再度オンにし、Windowsが起動する前に必要なキーを押してUEFI/BIOSのセットアップ画面に入りましょう。Windowsが起動してしまうと、不正な変更を防ぐ保護機能により、UEFI/BIOSがディスクのセキュリティ設定を再びロックしてしまいます(悪意のあるマルウェアがこの機能を悪用して使用者を締め出す可能性もあるためです)。

ディスクのユーザーパスワードを設定します。保存後は、電源を入れるたびにこのパスワードの入力を求められ、正しく入力するとドライブのロックが解除されます。選択肢がある場合は、工場出荷時のデフォルト値を確実に上書きできるよう、マスターパスワードも設定しておくと安心です。

最後に、BIOS/UEFIの設定を保存して終了します(保存用のキーは画面のどこかに表示されているはずです)。

まとめ

ここまでの設定で、PCを放置している間もディスクは安全にロックされるようになりました。さらに望むなら、BIOS/UEFIの設定画面へのアクセス自体にもパスワード保護をかけられます。これは通常「Administratorパスワード(管理者パスワード)」と呼ばれるものです。「Userパスワード」は別の目的で使われるもので、この用途では必須ではありません。ただし、管理者パスワードしか選択肢がない場合は、それを設定してBIOS/UEFI設定の不正な変更を防ぎましょう。ただし注意点として、誰かがPCのケースを開けてしまえば、このパスワードはリセットできてしまいます。あくまで「軽量」なセキュリティ対策として捉えておくのがよいでしょう。