SSD "sicher" löschen

[lisanet]

Seit APFS ist diese "Methode" noch grundlegender überflüssig als sie schon vor APFS war.

Also: lass diesen Unsinn. Den Mac zurück setzen wie es Apple schreibt (bei Monterey ganz einfach via Systemeinstellungen) und fertig

Warum:

APFS ist immer verschlüsselt. Immer. Auch ohne aktiviertes Filevault. Beim Zurück setzen wird der Key verworfen.

 

[maccoX]

Hab hier einen alten Mac Mini 2012 mit eingesetzter Samsung SSD ohne FileVault.

Heißt das wenn APFS genutzt wird kann man die SSD ganz normal löschen/formatieren und muss sich keine Sorgen machen?

 

[lisanet]

ja

 

[Lor-Olli]

Magnetische Festplatten werden in Sektoren beschrieben, diese bilden sogenannte Blöcke. Wenn z. B. die Dateistruktur defekt ist, lassen sich die nicht gelöschten Blöcke auslesen und wieder "zusammenbasteln", das kann bei großen HDDs etwas dauern. Bei Verschlüsselten ist es dann nicht mehr so einfach, die Verschlüsselung gilt es zu knacken…
SSDs werden ganz anders beschrieben, keine Blöcke, sondern durch das sogenannte "wear-leveling" (die gleichmäßige "Abnutzung" der Zellen) sehr stark verteilt. Ohne Datenbaum erfordert es eine immense Rechenkraft die Daten wieder zusammenzusetzen. Dies galt noch vor gar nicht allzu langer Zeit als unmöglich, höhere Rechenleistung und neue Algorithmen machen es heute aber möglich, allerdings nicht von Jedermann / Jederfrau.

Ein wichtiger Grund weshalb WICHTIGE Daten trotzdem gründlich zu löschen sind, ist der Fakt, dass manche Datenspeicher einfach eine Weile herumliegen, bis geeignete Methoden zum knacken existieren. (Der GCHQ , brit. Geheimdienst, hat wohl schon einige ein paar Jahre alte Speicher / Festplatten geknackt, geht damit aber natürlich nicht hausieren. Einige Gerichtsurteile lassen es aber vermuten, dass hier auf ältere Daten zurückgegriffen werden konnte!)

Eine verschlüsselte SSD (APFS) dürfte aktuell sicher sein, auch ohne sie komplett zu überschreiben. SSDs werden auch nur durch das Löschen des Eintrags gelöscht, weil genau dieses Löschen SSDs viel stärker strapaziert (es fließen stärkere Ströme beim Löschen). DiskWiper kann das Löschen und Überschreiben aber möglich machen, insbesondere kleinere SSDs altern dadurch deutlich schneller!

 

[oneOeight]

Heißt das wenn APFS genutzt wird kann man die SSD ganz normal löschen/formatieren und muss sich keine Sorgen machen?

Nur wenn man nicht an den Volume Schlüssel so ran kommt.
Es gibt ja keine Secure Enclave wo der abgelegt wird, wie bei T2/M Macs.
Die Apple Doku ist da auch etwas undurchsichtig:
https://support.apple.com/de-de/guide/security/sec4c6dc1b6e/web
Da steht eigentlich nur, dass der wenn man Filevault aktiviert, der auch mit dem Benutzerpasswort verschlüsselt wird.

Es gilt meist:
Auch wenn die Verschlüsselung mathematisch sicher ist, ist nicht automatisch die Implementierung sicher.

 

[tocotronaut]

APFS ist immer verschlüsselt. Immer. Auch ohne aktiviertes Filevault. Beim Zurück setzen wird der Key verworfen.

das dürfte allerdings nur für Macs mit T2 chip oder Apple Silicon Prozessoren gelten.
Und da meines Wissens auch nur für Interne Laufwerke, die hinter dem Sicherheitschip liegen.

APFS selbst ist doch erstmal nicht verschlüsselt.

Hab hier einen alten Mac Mini 2012 mit eingesetzter Samsung SSD ohne FileVault.

Heißt das wenn APFS genutzt wird kann man die SSD ganz normal löschen/formatieren und muss sich keine Sorgen machen?

Ich sage Nein.
...und verweise auf #5 -> Platte löschen, Platte mit murks vollschreiben, Nochmal Formatieren.

 

[lisanet]

das dürfte allerdings nur für Macs mit T2 chip oder Apple Silicon Prozessoren gelten.

hhmm,... bei der Vorstellung von APFS auf der WWDC war davon die Rede, dass APFS auf Filesystemebene verschlüsselt ist. Das habe ich so verstanden, dass es eben immer so ist. Ob es nur mit T1,T2, Mx Chips gilt, müsste ich jetzt echt nachforschen.

Bei internen SSDs mit T1, T2, Mx ist es zumindes so, dass die nachgträglcihe aktivierung von Filevault faktisch sofort erledigt ist und ebenso die Deaktivierung. Und das ist nur dann möglich, wenn das Filesystem bereits verschlüsselt und bei Aktivierung von Filevault lediglich der Key verschlüsselt wird.

 

[oneOeight]

Ohne Secure Enclave wird es offensichtlich anders gehandhabt.
Wenn er auf dem 2012 Filevault aktiviert, wird ja noch jeder Block neu verschlüsselt.
Kann natürlich auch an der alten APFS Version liegen.

 

[lisanet]

@tocotronaut und alle anderen

Okay... ich habe mal kurz was getestet.

• Ich habe hier eine externe SSD an mein MBA mit M1 angeschlossen und diese mit APFS formatiert und die dabei nur "APFS" und nicht "APFS (verschlüsselt) gewählt.
• Anschließend habe ich rd. 20 GB an Dateien drauf kopiert. Da es eine ältere SSD ist, dauerte das etwa eine Minute.

Der Test soll nun sein, diese SSD nachträglich, mit Rechtsklick auf das Icon -> Verschlüsseln wählen, eben zu verschlüsseln und aus der Aktivität und der Dauer der Verschlüsselung zu erkennen, wie APFS das nun handhabt.

Meiner Ansicht nach müsste es sich ja dann so verhalten:

ist APFS nicht immer verschlüsselt, ...

... müssten bei einer nachträglichen Verschlüsselung ja alle Dateien erst wieder eingelesen, dann verschlüsselt und wieder geschrieben werden. Selbst wenn die Verschlüsselung selbst in nahezu Nullzeit von statten geht, dürfte das Lesen und Schreiben der Dateien mindestens wieder über 1 Minute dauern. Zudem müsste man dann ja in der Aktivitätsanzeige diese Festplattenaktivität erkennen.

ist APFS immer verschlüsselt...

... müsste eine nachträgliche Verschlüsselung faktisch sofort erledigt sein, da nur der Key verschlüsselt wird und es sollte keinerlei Festplattenaktivität erfolgen, vielleicht ein paar Bytes wegen des Keys.

Den Erfolg der Verschlüsselung kann man dann ja testen, indem man die SSD abzieht und wieder ansteckt. Dann müsste nach dem vergebenen Passwort gefragt werden.

So, das habe ich dann so getestet

• die Aktivitätsanzeige mit dem Tab "Festplatten" geöffnet, um Festplatten-Lese- und Schreibvorgänge zu erkennen. Es müssten ca. insgs. 40 GB sein
• Rechtsklick auf das Icon der SSD -> Verschlüsseln gewählt

Ergebnis:

Die Verschlüsselung war faktisch sofort erledigt. Ich konnte bis auf einen minimalen, kurzen Lese-/Schreibvorgang nichts in der Aktivitätsanzeige erkennen. Das Laufwerk konnte auch problemlos ausgeworfen werden. Nach dem Wiederanstecken wurde das Passwort abgefragt, angenommen und die Dateien waren vorhanden und lesbar.

Hier ein screenshot der Aktivitätsanzeige. Links, der grüne Pfeil deutet auf den Lese-/Schreibvorgang hin, bei anfänglichen Kopieren der Dateien auf die SSD. Rechts, der rote Pfeil deutet auf die kurze Aktivität hin, als ich die Verschlüsselung der SSD aktiviert habe.



Es sieht also für mich so aus, dass APFS auf Filesystemebene immer verschlüsselt ist und bei einer nachträglichen Verschlüsselung daher nur der Key verschlüsselt werden muss und nicht mehr die Daten selbst. Somit wäre bei einem Löschen der Key weg, egal ob der Key nun ursprünglich nur erzeugt oder nachträglich zusätzlich verschlüsselt wurde, was eine Wiederherstellung der Daten nicht mehr ermöglicht.

 

[lisanet]

So... nächster Test. Dieses Mal auf einem MBP aus 2011, also ohne T2-Chip

Ergebnis:

Hier konnte ich eine entsprechende Festplattenaktivität feststellen, zwar gering, aber permanent.

@tocotronaut

Insoweit scheinst du also Recht zu haben, dass es einen Unterschied macht, ob ein T2 oder Mx-Chip vorhanden ist.

Was ich nun nochmals teste ist, ob auf dem M1-MBA die Verschlüsselung mit so niedriger Last im Hintergrund oder so zeitverzögert erfolgt, dass man es in der Aktivitätsanzeige nicht bemerkt.

 

[lisanet]

3. Test, wieder auf dem M1 MBA.

Ergebnis: Die Verschlüsselung erfolgt sofort und ich kann keinerlei Aktivität der SSD feststellen. Die Aktivitätsanzeige zeigt faktisch eine Null-Linie.

Daher bleibe ich dabei, dass APFS immer verschlüsselt ist mit der Ergänzung, dass ein T1, T2 oder M-Chip verbaut sein muss.

 

[Lor-Olli]

AFPS ist (nur bei Apple?) immer automatisch verschlüsselt (AES), die älteren Versionen mit 128 Bit, die neueren mit 256 Bit(256?). AFPS hat im Gegensatz zu HFS+ die Verschlüsselung im Prozess eingebaut. Dies gilt auch für Externe SSD, nicht aber für HDD! Ich betreibe beide Varianten an meinem Intel iMac (2019), die externen HDD sind nicht verschlüsselt, die SSD schon. (Wie ich bei Rekonstruktion einer gecrashten SSD feststellen musste.)

Zitat: File Vault 2 with APFS is really the same as with HFS+ with the one difference that APFS has built-in encryption support (i.e. the AES-XTS-128 for encrypting the data) where HFS+ needs encryption added as layer on top of the file systems (i.e. via Core Storage).

Genaue Quelle habe ich leider nicht mehr, war allerdings aus dem Developer-Forum irgendwann 2018 (also noch vor den neueren OSX)

 

[tocotronaut]

Das hier habe ich noch gefunden...
https://support.apple.com/de-de/guide/security/sec4c6dc1b6e/web

hier wird auch an mehreren stellen zwischen "mit oder ohne sicherheitschip" unterschieden.

 

[Schiffversenker]

Genaue Quelle habe ich leider nicht mehr, war allerdings aus dem Developer-Forum irgendwann 2018 (also noch vor den neueren OSX)

Wurde da bei APFS nicht zwischendurch einiges nachgebessert, was den Umgang mit HDD angeht?

 

[Lor-Olli]

@tocotronaut:
Der T2 Chip ist vor allem für das schnelle Codieren da, der AFPS Prozess verschlüsselt auch bei meinem Intel iMac (ohne T2) automatisch.
@Schiffversenker:
Dazu habe ich nichts mitbekommen, irgendwie scheinen HDDs in Apple's Gedankenwelt auch nahezu keine Rolle mehr zu spielen…

 

[oneOeight]

Wurde da bei APFS nicht zwischendurch einiges nachgebessert, was den Umgang mit HDD angeht?

Ja, sonst gäbe es kein Fusion auf APFS Basis. Sogar Defragmentieren wurde dazu gepackt.

 

[maccoX]

Habt ihr eine Idee mit was ich die 256GB SSD voll schreiben kann? Hab kaum große Dateien /Videos.

Bzw installier ich ein frisches macOS und baller die im laufenden Betrieb zu, ja oder? Weil sonst bräuchte ich ja einen weiteren Computer.

 

[lisanet]

Habt ihr eine Idee mit was ich die 256GB SSD voll schreiben kann? Hab kaum große Dateien /Videos.

Bzw installier ich ein frisches macOS und baller die im laufenden Betrieb zu, ja oder? Weil sonst bräuchte ich ja einen weiteren Computer.

wenn du das unbedingt machen willst, geht das recht einfach übers Terminal.

Öffne Terminal.app, dann füge diese Zeile per copy & paste ein und drück Return. Das erzeugt dann 256 Dateien mit jeweils 1 GB Größe.

Da aber dein freier Speicher weniger ist, bricht das Ding irgendwann mit einem Fehler ab oder der Mac hängt sich auf. Da du aber eh das System komplett löschen willst, stört das nicht.

for i in {1..256}; do dd if=/dev/zero of=$i.img bs=1M count=1024; done

Willst du weniger Dateien, schreibe statt 256 eben z.Bsp: 128

Da jemand mal hier meinte, dass einfach so Befehle aus einem Forum ins Terminal eingeben nicht so toll wäre, hier die Erklärung.

Also:

dd if=/dev/zero of=$i.img bs=1M count=1024

Hier ist ddder Befehl "disk dump". Er schreibt einfach Bytes. Und zwar aus if=/dev/zero,

"if" bedeutet input file und das /dev/zero ist eine systemeigene Datei die nur Nullen liefert, solange man aus ihr liest.

"of" bedeutet output file. Der Name wird hier aus der Variable $i mit der Endung .img erzeugt. Zur Variablen $i später.

"bs" bedeutet block size, hier mit 1M dann konkret 1 MB

"count" ist die Anzahl der zu schreibenden Blöcke, also hier 1024 Blöcke zu je 1 MB, also 1 GB insgesamt.

Um nun die Variable zu erzeugen und gleichzeitig eine definierte Anzahl an 1 GB Dateien zu haben, verwendet das Ganze eine Schleife

for i in {1..256}; do <irgendein Befehl>; done

Es wird dabei i (bei der Initialisierung ohne $, bei der Verwendung mit $) durchlaufen aus der Menge, die mit "in" angegeben wird. Die Menge "{1..256}" beinhaltet alle Zahlen eben von 1 bis 256.

That's it.

 

[maccoX]

Super, vielen Dank!

 

[lisanet]

Super, vielen Dank!

... anytime