Inhaltsverzeichnis
SSD Festplatte sicher löschen
SSD Festplatten stellen andere Anforderungen an die Handhabung bzgl. der Weitergabe an Dritte aber auch bei Neuinstallationen, wo man gerne eine "frische" Festplatte mit maximaler Performenz verwenden würde. Gerade das sichere Löschen stellt eine Herausforderung dar, welche wohl ohne Spezialkenntnisse über exakt die gerade benutze Festplatte kaum vollständig lösbar ist. Um die maximale Perfomenz der Festplatte so lange wie möglich aufrecht zu erhalten und auch um eine längere Haltbarkeit der Nand-Zellen zu erreichen, verwenden Hersteller in SSD Festplatten eine große Anzahl Reserveblöcke, welche vom Benutzer nicht explizit angesprochen werden können und vom Betriebssystem auch nicht gesehen wird. Alleine der Festplattencontroller entscheidet wann und welche Blöcke auf der Festplatte er benutzt. Das aber die Reserveblöcke einer SSD aktiv und rege mit benutzt werden, um die verfügbaren Zellen einer SSD so gleichmäßig wie nur irgendwie möglich abzunutzen, ist ein offenes Geheimnis.
Daraus resultiert aber ein gravierendes Problem bzgl. der Datensicherheit hinsichtlich des Löschens einer SSD. Gab es früher zB die Möglichkeit eine konventionelle Festplatte einmal mit Nullen und/oder Einsen und/oder Zufallszahlen ggf mehrfach zu überschreiben, so konnte man bei einer geeigneten Anzahl von Überschreibzyklen davon ausgehen, dass die ursprünglichen Daten der Festplatte nicht mehr lesbar sind. Das geht zwar im Prinzip bei einer SSD Festplatte auch aber das gilt nur für die Blöcke die gerade "sichtbar" und nicht für solche, die gerade im Bereich der Reserveblöcke geparkt sind. Wer Kenntnis darüber wie man an diese Blöcke herankommt, der kann auch auf die Daten zugreifen die mal in die Blöcke geschrieben wurden, bevor sie außer Reichweite geparkt wurden.
Die folgende Anleitung beschreibt den »Secure Erase«1) mittels »hdparm«2) und dürfte für uns normal sterbliche vermutlich das brauchbarste Kommando sein, um eine SSD Festplatte zu löschen. Des Weiteren ist diese Prozedur dann hilfreich, wenn man eine SSD Festplatte für zB eine Neuinstallation des Betriebssystems vorbereiten möchte. Hier wird idR auf eine SSD wert gelegt, die noch keine verbrauchten Pages aufweist und somit quasi »getrimmt« wurde.
Als Ausgangssystem wurde hier eine SystemrescueCD3) verwendet, im Prinzip funktioniert jedoch jedes System, welches »hdparm« zur Verfügung stellt. Des Weiteren wird in der Anleitung davon ausgegangen, dass die zu flushende Festplatte auf »/dev/sda« gemappt wurde, ggf müssen Sie dies Ihren Anforderungen entsprechend ändern.
Festplatte vorbereiten
Eine der größten Hürden für ein erfolgreiches »secure erase« ist die SSD in einen »not frozen« Zustand zu versetzen. IdR ist dies im laufenden Betrieb nicht der Fall:
root@sysresccd /root % hdparm -I /dev/sda /dev/sda: ATA device, with non-removable media Model Number: SAMSUNG MZ7LN256HCHP-00000 Serial Number: S1ZENXAGA08103 Firmware Revision: EMT0100Q Transport: Serial, ATA8-AST, SATA 1.0a, SATA II Extensions, SATA Rev 2.5, SATA Rev 2.6, SATA Rev 3.0 #### snip #### Security: Master password revision code = 65534 supported not enabled not locked frozen not expired: security count supported: enhanced erase 2min for SECURITY ERASE UNIT. 8min for ENHANCED SECURITY ERASE UNIT. #### snap ####
Workarounds dies zu beheben gibt es viele und nicht jeder funktioniert mit jeder Hardware. Wir haben sehr gute Ergebnisse damit erzielt die Festplatte kurzfristig in den »suspend mode« zu versetzen, nach dem wieder aufwecken ist die Platte dann idR nicht mehr in einem »frozen state«. Die Art und Weise ein System in den Ruhemodus zu versetzen unterscheidet sich von Distribution zu Distribution und kann nicht verallgemeinert werden. IdR aber funktioniert folgendes Low Level Kernel Kommando:
root@sysresccd /root % echo mem > /sys/power/state
Kontrolle:
root@sysresccd /root % hdparm -I /dev/sda /dev/sda: ATA device, with non-removable media Model Number: SAMSUNG MZ7LN256HCHP-00000 Serial Number: S1ZENXAGA08103 Firmware Revision: EMT0100Q Transport: Serial, ATA8-AST, SATA 1.0a, SATA II Extensions, SATA Rev 2.5, SATA Rev 2.6, SATA Rev 3.0 #### snip #### Security: Master password revision code = 65534 supported not enabled not locked not frozen not expired: security count supported: enhanced erase 2min for SECURITY ERASE UNIT. 8min for ENHANCED SECURITY ERASE UNIT. #### snap ####
Enable Security
Um die »Secure Erase« Funktion ausführen zu können, müssen die Sicherheitsfeatures der Platte aktiviert werden. Das geschieht am einfachsten, in dem man ein »Security Passwort« vergibt. An dieser Stelle vergeben wir das Passwort PASS. Sie müssen es sich weder merken noch wird es später noch mal benötigt. Nach einem erfolgreichen »Sercure Erase« ist auch dieses Passwort wieder Geschichte.
root@sysresccd /root % hdparm --user-master u --security-set-pass PASS /dev/sda
security_password="PASS"
/dev/sda:
Issuing SECURITY_SET_PASS command, password="PASS", user=user, mode=high
Kontrolle:
root@sysresccd /root % hdparm -I /dev/sda /dev/sda: ATA device, with non-removable media Model Number: SAMSUNG MZ7LN256HCHP-00000 Serial Number: S1ZENXAGA08103 Firmware Revision: EMT0100Q Transport: Serial, ATA8-AST, SATA 1.0a, SATA II Extensions, SATA Rev 2.5, SATA Rev 2.6, SATA Rev 3.0 #### snip #### Security: Master password revision code = 65534 supported enabled not locked not frozen not expired: security count supported: enhanced erase 2min for SECURITY ERASE UNIT. 8min for ENHANCED SECURITY ERASE UNIT. #### snap ####
Secure Erase
Die Vorbereitungen sind abgeschlossen, dass eigentliche »Secure Erase« Kommando kann jetzt abgesetzt werden:
root@sysresccd /root % time hdparm --user-master u --security-erase PASS /dev/sda
security_password="PASS"
/dev/sda:
Issuing SECURITY_ERASE command, password="PASS", user=user
hdparm --user-master u --security-erase Eins /dev/sda 0.00s user 0.00s system 0% cpu 2.284 total
Kontrolle:
Nachdem das »Secure Erase« Kommando ausgeführt wurde, sollten auch die Sicherheitsfeatures wieder deaktiviert worden sein:
root@sysresccd /root % hdparm -I /dev/sda /dev/sda: ATA device, with non-removable media Model Number: SAMSUNG MZ7LN256HCHP-00000 Serial Number: S1ZENXAGA08103 Firmware Revision: EMT0100Q Transport: Serial, ATA8-AST, SATA 1.0a, SATA II Extensions, SATA Rev 2.5, SATA Rev 2.6, SATA Rev 3.0 #### snip #### Security: Master password revision code = 65534 supported not enabled not locked not frozen not expired: security count supported: enhanced erase 2min for SECURITY ERASE UNIT. 8min for ENHANCED SECURITY ERASE UNIT. #### snap ####
That's the way it works
— pronto 2015/12/14 14:25
