MacBook volledig veilig wissen

[Pater91]

Ik heb een tijdje de macbook van mijn vriendin in gebruik gehad, en heb daar een flinke poos op gewerkt met gevoelige data ( NAW gegevens van diverse klanten van zowel mij als mijn werkgever ).

Sindskort heb ik een nieuwe, zakelijke laptop om deze taak over te nemen. Het probleem is nu echter dat mijn vriendin haar laptop wil verkopen, en ik ben een beetje huiverig voor data recovery.

Ik heb de laptop inmiddels 2x volledig geformatteerd, eenmaal met APFS, en eenmaal met APFS + encryptie. Op het moment dat ik de laptop heb gebruikt was er ( achteraf gezien ) geen encryptie ingeschakeld.
Aangezien dit proces behoorlijk vlot ging ( hooguit een minuut ) vertrouw ik er niet volledig op dat alle data (meermaals) overschreven is.

Hoe kan ik er 100% zeker van zijn dat de gegevens die er ooit op hebben gestaan, nooit meer te achterhalen zijn? Op 'normale' systemen gebruik ik hier doorgaans nuke & destroy voor, maar dat gaat op een mac waarschijnlijk niet werken. Het systeem heeft een SSD van 256Gb ( waarschijnlijk samsung, heb hem niet open gehad ) en type nummer A1398. Ik weet zo 123 niet of ik hier zomaar een nieuwe SSD in kan plempen ivm Apple's policies betreffende 3rd party hardware.

Het ding is namelijk dat ik geen idee heb waar dit beestje uiteindelijk gaat belanden. Misschien een creatieve student, maar het kan ook een persoon zijn met kennis van data recovery. Dit risico wil ik absoluut vermijden, in de eerste plaats voor de personen wiens gegevens erop hebben gestaan, en in de tweede plek voor mijzelf omdat ik simpelweg geen behoefte heb om een datalek te moeten melden.
Ik ben hier persoonlijk zo bang voor, vanwege het systeem wat ik niet tot nauwelijks ken, dat ik bijna geneigd ben de macbook zelf over te nemen en als monitorverhoger o.i.d. te gebruiken.

Advies wordt zeer op prijs gesteld!

[Will_M]

Wat voor een Mac Book is 't? Bij de nieuwere (2015 >) kún je de SSD niet eens vervangen doordat 't spul , voor zover ik weet, vast zit op 't systembord.

https://support.apple.com/en-us/HT201065

[ Voor 25% gewijzigd door Will_M op 27-01-2020 19:41 ]

[SgtElPotato]

In MacOS zit standaard een programma waarmee je een secure wipe uit kunt voeren. Dit overschrijft de hele schijf een aantal keer met 1'en en 0'en. Heb je een SSD dan is het terughalen van data

https://www.backblaze.com/blog/how-to-wipe-a-mac-hard-drive/

Heb je een SSD dan is dat geblokkeerd. Apple geeft zelf aan dat het niet nodig is op een SSD aangezien de data vrij lastig terug te halen is.

Als je dat allemaal niet vertrouwd zou ik de laptop niet weg doen, er zal altijd wel iets terug te halen zijn, maar of dat echt de moeite waard is voor diegene??

[ Voor 45% gewijzigd door SgtElPotato op 27-01-2020 19:44 ]

[Snake]

Oof, moelijk!

Vroeger kon je op een SSD de encryptionkey weggooien, en dan wordt de data re-reset.

Die encryptionkey kon je ook 'geven' aan Windows voor BitLocker, maar dat wordt zelfs niet meer gedaan: https://www.howtogeek.com...t-your-ssd-on-windows-10/

(Wat ik hiermee wil zeggen is dat het geen gemakkelijke taak is).

https://support.apple.com/en-us/HT208496

Apple zegt gewoon formatteren.

Secure Erase staat uit voor SSD want de controller zorgt er eigelijk voor dat dat niet werkt.

[kodak]

Deze vraag lijkt me meer van toepassing onder Privacy & Beveiliging omdat het niet perse van je macbook af moet hangen hoe je het systeem ontdoet van je gegevens.

[johnkeates]

Doe dit: https://support.apple.com/en-us/HT201065
En als je denkt dat iemand de NAND chips gaat proberen te lezen: een secure erase in Disk Utility is voldoende. 99% van de 'slimme neefjes' die 'Data Recovery' doen komen niet verder dan random 'tooltjes' gebruiken, wat natuurlijk alleen maar logical recovery is, geen NAND data recovery.

Aan de andere kant: als je threat model is dat iemand misschien de NAND chips lossoldeert om je belangrijke data te lezen waar misschien nog fragmenten van aanwezig zijn, dan heb je een heel ander probleem en moet je het ding gewoon in de fik steken.

[Pater91]

Dank voor de snelle reacties!

Ik zie net dat er een normale ssd in zit die ik er simpelweg uit kan halen.
Is het mogelijk deze in een linux systeem te gooien, en hem op die manier te wipen? En krijg ik er daarna überhaupt nog wel osx op?

@kodak in dit geval is het redelijk mac specifiek naar mijn mening, aangezien ik voor 'generieke' systemen een vast patroon heb. Voor apple apparaten ligt dit heel anders voor zover ik heb meegekregen, en ik wil niet het risico lopen dat ik een nog goed te verkopen macbook pro ( ongelooflijk wat mensen nog geven voor zo'n oud model ) verander in een baksteen.

[Pater91]

johnkeates schreef op maandag 27 januari 2020 @ 19:47:
Doe dit: https://support.apple.com/en-us/HT201065
En als je denkt dat iemand de NAND chips gaat proberen te lezen: een secure erase in Disk Utility is voldoende. 99% van de 'slimme neefjes' die 'Data Recovery' doen komen niet verder dan random 'tooltjes' gebruiken, wat natuurlijk alleen maar logical recovery is, geen NAND data recovery.

Aan de andere kant: als je threat model is dat iemand misschien de NAND chips lossoldeert om je belangrijke data te lezen waar misschien nog fragmenten van aanwezig zijn, dan heb je een heel ander probleem en moet je het ding gewoon in de fik steken.

Dit betwijfel ik ten zeerste haha. De potentiële koper krijgt enkel te horen dat hij gebruikt is voor photoshop & programmeren, ik ga er niet nadrukkelijk bij vermelden dat er 'resten' van gevoelige gegevens op kunnen staan.

[SgtElPotato]

Pater91 schreef op maandag 27 januari 2020 @ 19:48:
Dank voor de snelle reacties!

Ik zie net dat er een normale ssd in zit die ik er simpelweg uit kan halen.
Is het mogelijk deze in een linux systeem te gooien, en hem op die manier te wipen? En krijg ik er daarna überhaupt nog wel osx op?

Heb je een andere PC waar je hem in kan steken? Er zijn genoeg programma's die een secure erase kunnen doen doormiddel van het overschrijven van de hele schijf (meedere keren indien gewenst).

OS X krijg je er altijd op door de MacBook op de starten met Command + R ingedrukt te houden waarna je OS X opnieuw kan downloaden en installeren.

[kodak]

Onder goede beveiliging valt ook behoud van waarde waar nodig

Je systeem goed wipen is afhankelijk van diverse factoren, ongeacht of het een mac is. Ik kan je dus aanraden daar (ook) even te vragen. Wat het in ieder geval niet makkelijk gaat maken is dat je een ssd hebt en je die niet wil of denkt te kunnen vervangen. Die vraag lijkt me hier prima op zijn plaats, want als je die wel kan vervangen neemt je risico dat iemand alsnog bij je gegevens kan bijna geheel af.

[Pater91]

kodak schreef op maandag 27 januari 2020 @ 19:57:
Onder goede beveiliging valt ook behoud van waarde waar nodig

Je systeem goed wipen is afhankelijk van diverse factoren, ongeacht of het een mac is. Ik kan je dus aanraden daar (ook) even te vragen. Wat het in ieder geval niet makkelijk gaat maken is dat je een ssd hebt en je die niet wil of denkt te kunnen vervangen. Die vraag lijkt me hier prima op zijn plaats, want als je die wel kan vervangen neemt je risico dat iemand alsnog bij je gegevens kan bijna geheel af.

Ik ken de SSD zeker vervangen, maar dan moet Apple dit wel toestaan. Ik heb desondanks nogal wat horror verhalen gelezen mbt hardware vervangen in een apple apparaat waardoor ik dit enkel 'durf' indien ik er 100% zeker van ben dat het apparaat de nieuwe SSD ook echt accepteert en stabiel werkt daarna.
Als het mijn eigen apparaat was had ik hem gewoon opgeschroefd om te kijken, maar mijn vriendin is redelijk A technisch en vind dit te riskant gezien de hoge initiële aanschafprijs destijds ( 2016 ).

Mocht het zo zijn dat ik er inderdaad gewoon een nieuwe SSD in kan knikkeren zonder consequenties, dan is de keuze zeer snel gemaakt

SgtElPotato schreef op maandag 27 januari 2020 @ 19:57:
[...]


Heb je een andere PC waar je hem in kan steken? Er zijn genoeg programma's die een secure erase kunnen doen doormiddel van het overschrijven van de hele schijf (meedere keren indien gewenst).

OS X krijg je er altijd op door de MacBook op de starten met Command + R ingedrukt te houden waarna je OS X opnieuw kan downloaden en installeren.

Yep, meerdere zelfs. Ik was echter in de veronderstelling dat de recovery van osx net zoals bij Windows leeft in een partitie op je schijf, waardoor die dus ook pleite zou zijn.
Mocht dat niet het geval zijn, dan is het inderdaad een optie hem via die weg te wipen. Ookal moet ik wel zeggen dat ik eigenlijk de voorkeur geef aan een vervanging van de SSD indien mogelijk, zodat ik alle risico's kan uitsluiten. Het helpt namelijk niet mee dat ik in eerste instantie zonder hardwarematige encryptie heb gedraaid op dit systeem, maar dit was dan ook geen issue omdat hij in een afgesloten omgeving stond waar enkel ik en mijn superiors toegang hadden.

[ Voor 31% gewijzigd door Pater91 op 27-01-2020 20:34 ]

[SgtElPotato]

Pater91 schreef op maandag 27 januari 2020 @ 20:26:
[...]


Ik ken de SSD zeker vervangen, maar dan moet Apple dit wel toestaan. Ik heb desondanks nogal wat horror verhalen gelezen mbt hardware vervangen in een apple apparaat waardoor ik dit enkel 'durf' indien ik er 100% zeker van ben dat het apparaat de nieuwe SSD ook echt accepteert en stabiel werkt daarna.
Als het mijn eigen apparaat was had ik hem gewoon opgeschroefd om te kijken, maar mijn vriendin is redelijk A technisch en vind dit te riskant gezien de hoge initiële aanschafprijs destijds ( 2016 ).

Mocht het zo zijn dat ik er inderdaad gewoon een nieuwe SSD in kan knikkeren zonder consequenties, dan is de keuze zeer snel gemaakt


[...]


Yep, meerdere zelfs. Ik was echter in de veronderstelling dat de recovery van osx net zoals bij Windows leeft in een partitie op je schijf, waardoor die dus ook pleite zou zijn.
Mocht dat niet het geval zijn, dan is het inderdaad een optie hem via die weg te wipen. Ookal moet ik wel zeggen dat ik eigenlijk de voorkeur geef aan een vervanging van de SSD indien mogelijk, zodat ik alle risico's kan uitsluiten. Het helpt namelijk niet mee dat ik in eerste instantie zonder hardwarematige encryptie heb gedraaid op dit systeem, maar dit was dan ook geen issue omdat hij in een afgesloten omgeving stond waar enkel ik en mijn superiors toegang hadden.

Wat voor MacBook heb je? Als ze zelf nog te vervangen zijn dan is dat geen enkel probleem. Gebruik geen aftandse SSD maar gewoon eentje van een goed merk. Met de recovery mode, die niet op de SSD staat, kun je ten alle tijde OS X opnieuw downloaden en installeren.

[Nibbz]

Opnieuw installeren, en met een scriptje de hele HD vol laten lopen, en opnieuw formatteren/installeren.

Dan zou toch de data van voor de install niet meer zichtbaar/herstelbaar moeten zijn?

[Pater91]

SgtElPotato schreef op maandag 27 januari 2020 @ 20:36:
[...]


Wat voor MacBook heb je? Als ze zelf nog te vervangen zijn dan is dat geen enkel probleem. Gebruik geen aftandse SSD maar gewoon eentje van een goed merk. Met de recovery mode, die niet op de SSD staat, kun je ten alle tijde OS X opnieuw downloaden en installeren.

Het gaat om een Retina macbook pro A1398, en ik heb inderdaad gezien dat je hier gelukkig nog een losse SSD in kan vervangen. Zitten er echt absoluut geen haken en ogen aan om dit te doen? Krijgt de volgende eigenaar echt geen problemen met updates / activatie / icloud?

Mijn excuses voor mijn onwetendheid betreffende osx en de misschien dom klinkende vragen, ik ben een linux persoon en vind deze apparaten mooi voor 't oog maar verder vermijd ik ze als de pest vanwege het gesloten systeem.

[SgtElPotato]

Pater91 schreef op maandag 27 januari 2020 @ 20:46:
[...]


Het gaat om een Retina macbook pro A1398, en ik heb inderdaad gezien dat je hier gelukkig nog een losse SSD in kan vervangen. Zitten er echt absoluut geen haken en ogen aan om dit te doen? Krijgt de volgende eigenaar echt geen problemen met updates / activatie / icloud?

Mijn excuses voor mijn onwetendheid betreffende osx en de misschien dom klinkende vragen, ik ben een linux persoon en vind deze apparaten mooi voor 't oog maar verder vermijd ik ze als de pest vanwege het gesloten systeem.

Volgens mij passen er geen standaard SSD's in en zul je een specifieke moeten kopen voor de MBP, maar eenmaal vervangen moet het geen problemen opleveren voor de toekomstige gebruiker.

[johnkeates]

Je hoeft echt je SSD niet te vervangen. Een keer een secure erase is genoeg. Alles 'daarna' is NAND lossolderen en hopen dat er nog cellen met data in zitten. Dat gaat echt niemand toen, tenzij je staatsgeheimen o.i.d. hebt maar dan zou je het niet niet op een forum komen vragen. Als je een keer een secure erase met Apple's Disk Utility gedaan hebt is er geen 'software' die het even ongedaan komt maken of 'de lege ruimte' gaat lezen.

De SSD is een pre-M.2 type, lijkt er veel op maar is niet compatible. Als je het perse wil vervangen heb je twee opties:

1. Aftermarket SSD kopen

2. Tweedehands Apple SSD kopen

Om dat de SSD's bijna altijd SLC of MLC zijn, zijn ze flink duurder dan je gewend bent (TLC enz. zijn goedkoper om dat er meer bits per cel opgeslagen worden; met als downside dat ze sneller kapot gaan).

[ Voor 10% gewijzigd door johnkeates op 27-01-2020 22:59 ]

[kodak]

Verontschuldiging is hier nergens voor nodig. Het forum is er mede om vragen te stellen.

Wat @SgtElPotato zegt klopt voor het gedeelte dat je niet even een standaard ssd als vervanging kan gebruiken. Het heeft namelijk een specifieke form factor nodig. Als je eenmaal de juiste ssd hebt zal het ook geen problemen moeten opleveren voor het het herinstalleren en gebruik. De vragen die voor de optie van vervangen overblijven zijn dan wat de juiste form factor is en of je die echt wil vervangen als je er dus straks een ssd over hebt zonder behuizing.

Als je de ssd niet wil vervangen zou ik toch aanraden om voor het wissen navraag in het P&B forum te doen. Wat ik je alvast kan meegeven is dat je formatteren noemde, wat niet het zelfde is als wissen. Daarbij noemde je ook op dat je het niet vertrouwde vanwege de tijd. (over)schrijven en wissen op een ssd werkt heel anders dan bij een disk waarbij de koppen fysiek alle ruimte moeten bereiken wat tijd kost. Tijd bij wissen of overschrijven van een ssd zegt dus weinig.
Als je er meer over wil weten kan ik je de informatie van EFF over wissen van ssds aanraden, bijna onderaan de pagina. In het kort: als je geen encryptie gebruikt hebt terwijl je gegevens naar de ssd hebt geschreven ben je beter af door het niet te verkopen als je echt veilig wil zijn. Er is geen standaard manier om te overschrijven/verwijderen en er zeker van te zijn dat al je gegevens echt niet meer te lezen zijn. Er lijkt ook weinig bekend over de effectiviteit van de oplossingen van fabrikanten om hun ssd's te wissen of hoe tools van anderen werkelijk effect hebben op specifieke ssd's. Veel zekerheid heb je daarmee dus niet.

[kodak]

johnkeates schreef op maandag 27 januari 2020 @ 22:58:
Een keer een secure erase is genoeg. Alles 'daarna' is NAND lossolderen en hopen dat er nog cellen met data in zitten.

Het doel van wissen lijkt me niet om te hopen dat iemand geen poging doet maar juist zo veel mogelijk te zorgen dat als iemand een poging doet dat nauwelijks tot geen resultaat geeft.

[maratropa]

is filevault aanzetten en dan wissen in de recovery modus niet genoeg?

[johnkeates]

kodak schreef op maandag 27 januari 2020 @ 23:43:
[...]

Het doel van wissen lijkt me niet om te hopen dat iemand geen poging doet maar juist zo veel mogelijk te zorgen dat als iemand een poging doet dat nauwelijks tot geen resultaat geeft.

Dat scheef ik daarom ook niet Ik schreef (in andere bewoording) dat het niet aannemelijk is dat het in z'n threatmodel zit.

maratropa schreef op maandag 27 januari 2020 @ 23:49:
is filevault aanzetten en dan wissen in de recovery modus niet genoeg?

Nee, dat laat de ongebruikte ruimte met rust.

[maratropa]

Ok dus filevault aan, schijf vullen to the max met linux iso's oid, en dan wissen via de recovery?

[ Voor 5% gewijzigd door maratropa op 27-01-2020 23:55 ]

[cs]

Opstarten met een externe schijf (een macOS installatiestick werkt prima), open de terminal, voer het commando “diskutil ZeroDisk disk0” uit (zoek met “diskutil list” de juiste schijf uit, de interne ssd is meestal disk0).

Let dus wel goed op dat je de juiste schijf hebt, anders ben je wellicht data kwijt die je niet kwijt wou.

[Malantur]

https://blog.elcomsoft.co...e-for-imaging-ssd-drives/

SSDs are weird. They are weird in the way they write data, and even weirder in the way they delete information. In the good old days of striped magnetic recording, one could delete a file and rest assured its content was still there until overwritten at some (hopefully distant) moment in the future; not so on an SSD.

SSDs are different. They are different in handling deleted data, wiping evidence irreversibly in the background like they were criminals’ best friends. Just power on the SSD, and it’ll start background garbage collection, erasing trimmed blocks even if you connected it through a write blocker.

Dus gewoon power op laten en je SSD wist bewijzen op de achtergrond.

Until very recently your only way of accessing deleted evidence on an SSD would be taking the chips off and performing a labour-intensive, time-consuming (let alone extremely expensive) chip-off analysis. We asked our partners from a forensic data recovery lab, and they told us they can do a four-chip SSD in a matter of two weeks. They also said they’d rather steer clear of the recent ten-chip SSDs, and they won’t do anything about encryption.

Did I say encryption? It could be easier than you think. A recent discovery points out that Windows built-in BitLocker protection tends to delegate the job of encrypting data to the SSD controller (as opposed to doing the encryption on the computer using the CPU). As found in the research, many consumer-grade SSDs take it easy, keeping the encryption key unprotected in the storage chips on the SSD.

Gaat over Windows maar dus niet te veel veiligheid toekennen aan SSD encryptie.

Another very important note is the fact one cannot easily stop an SSD drive from completing the background wipe cycle. Once a range of data blocks is trimmed (a nearly instant operation), even if the SSD drive is disconnected immediately, the garbage collection process will resume its work the moment the SSD drive is powered on. SATA write blocking devices do not affect this process and cannot be used to prevent background garbage collection.

What happens if one attempts to read a trimmed block that still contains data? The result depends on a particular implementation of Read After Trim. There are four distinct modes of reading information from trimmed blocks:

Non-deterministic Trim: undefined. When reading a trimmed block, the SSD controller may return the actual data, all zeroes or something else. Interestingly, the result may differ between read attempts (SATA Word 169 bit 0). This more is rarely used by reputable SSD makers; however, discount bin SSD drives may still have it.
Deterministic Read After Trim (DRAT): the SSD controller will always return a pre-defined value when reading trimmed blocks regardless of their actual content. The value could be all zeroes, but it could also be something else (SATA Word 69 bit 14). This is the most common method used in consumer SSD drives.
Deterministic Zeroes After Trim (DZAT): all trimmed blocks will instantly read as zeroes regardless of their actual content (SATA Word 69 bit 5). This mode is commonly used in enterprise-level SSD drives. Most NAS manufacturers require this mode if one wants to make an SSD RAID.
Users can easily determine which mode their SSD drive operates by running the following command: hdparm –I.

Example:

$ sudo hdparm -I /dev/sda | grep -i trim

* Data Set Management TRIM supported (limit 1 block)

* Deterministic read data after TRIM

[sypie]

Pater91 schreef op maandag 27 januari 2020 @ 20:46:
…ik ben een linux persoon en vind deze apparaten mooi voor 't oog maar verder vermijd ik ze als de pest vanwege het gesloten systeem.

Misschien moet je eens op CMD+Spatiebalk drukken en dan intikken "Terminal" zonder aanhalingstekens. Daar kun je los gaan, doorgaans ook nog met dezelfde commando's als onder Linux.

En ja, een gewone SSD kun je formatteren onder Windows of Linux en daarna weer in je MacBook stoppen om 'm daar te formatteren naar de indeling die gewenst is voor het OS wat er op komt (High Sierra kent geloof ik nog geen APFS).