Andermans tweedehands data: legaliteit & ethiek

[dragon4ce]

Sinds kort geleden koop en verkoop ik tweedehands laptops. In 90% van de gevallen gaat dit om laptops zonder harde schijven, daar knal ik een nieuwe SSD in, geen enkel probleem. Nu heb ik recent een aantal laptops gekocht, die danwel nog schijven hadden, danwel op het moederbord gesoldeerde opslag hebben. Deze laptops komen uit diverse bronnen, ebay, lokale variant van marktplaats(Ik woon in Frankrijk). Hierdoor is de verkoper niet altijd de eigenaar van de data op die schijven.


Nu bedacht ik me dat ik natuurlijk over computers kan beschikken waarvan mensen dachten dat de data verloren was. Die computers komen dan via handelaren of computer shops bij mij terecht en heb ik er ineens wel toegang toe. Gezien de meeste mensen helaas toch geen backups maken, kan het zijn dat ze die data dus kwijt zijn. En als we het hebben over bijvoorbeeld foto's is dat uiteraard eeuwig zonde.

Dan zou ik dus die mensen, indien ze dat willen, hun data terug kunnen geven. Hier zitten wel een heleboel haken en ogen bij aan wat mij betreft:

1. Om uberhaupt een aanknooppunt te hebben van wie de data is moet je in die data gaan snuffelen, in hoeverre is dat legaal en ethish? En hoe ver zou dat mogen gaan? Moet ik dat willen? Ik zou bijvoorbeeld nooit door foto's gaan kijken, maar naar een outlook profiel kijken om een email adres te achterhalen, of documenten en downloads doorkijken naar NAW gegevens, kan dat door de beugel?

2. stel dat punt 1 ethish en legaal is, zelfs al vind je gegevens om iemand op te bereiken, hoe kun je dan vaststellen dat diegene daadwerkelijk eigenaar is van de data?

3. Indien dit niet ethish en legaal verantwoord is, als ik een 7 voudige DBAN doe, kan ik het dan ethish verantwoord doorverkopen? Ik wil geen hele moederborden met gesoldeerde opslag weggooien ivm privacy. Ik zal echter ook niet zomaar een datadrager simpelweg formatteren en doorverkopen, stel je voor dat iemand daar data vanaf trekt en identiteitsfraude pleegt.

Ik heb al een flink aantal jaren in diverse computerwinkels gewerkt, echter daar is dit nooit een issue geweest. De klant is dan altijd eigenaar van het apparaat en de data. Mocht deze de machine niet ophalen na een bepaalde termijn, vernietiging van de datadrager danwel de hele machine (afhankelijk van de werkgever)

Laat ik vooropstellen dat ik dit met de beste bedoelingen wil doen, ik wil per se geen vergoeding voor die data, maar ik heb genoeg huilende klanten gehad in vorige banen wegens onherstelbaar dataverlies. Hierdoor wil ik niet direct die schijven wissen.Ik wil echter ook geen juridische problemen of last van mijn geweten, dus als dit niet 100% kosher kan, is het jammer maar helaas. Wat denken jullie?

[Echt niet.]

Niet doen.

De mensen hadden al een probleem met de laptop en beschouwden de data als verloren. Hier hebben ze al afstand van gedaan en zich er met het wegdoen van de laptop al overheen gezet. Ik zou het zelf vreemd vinden wanneer ik benaderd zou worden door iemand die ik niet ken en oude foto's van mij heeft. Is het dan ook nog spul waarvan ik me dan bedenk dat het op mijn oude laptop heeft gestaan zou ik me afvragen waar je nog meer in hebt lopen neuzen en dat zou me een erg ongemakkelijk gevoel geven.
Mogelijk heb je ergens wat van een vreemde snuiter die nog wat had te verbergen ook...

Het idee erachter is aardig en in een ideale wereld zou het gewaardeerd worden, maar ik zie wel beren op de weg.

[Echt niet.]

Om meteen 7 voudig DBAN eroverheen te gooien is meer moeite dan ethisch nodig lijkt me, 1 keer lijkt me voldoende. Daarmee werp je al een acceptabele barrière op, en aannemende dat je geen spul van de geheime dienst verkoopt is de data over het algemeen ook weer niet zó interessant.

[Oon]

Er zit een groot verschil tussen voor je eigen plezier door de data kijken en dit bedrijfsmatig doen. Het ene mag in principe, je hebt immers legaal toegang tot de data. Het ander gaat om het verwerken van persoonsgegevens als bedrijf, waar dan weer hele andere voorwaarden aan zitten.

Ik zou al helemaal geen contact opnemen met die mensen, want 9/10 keer zal die persoon dat niet op prijs stellen. Die hebben hun apparaat ingeruild voor een nieuwe of goedkoop weggedaan en verwachten niet dat nu een of andere handelaar hun data gaat bekijken.

Verder lijkt het me niet dat jij de verantwoordelijkheid hebt om de apparaten leeg te maken, maar als je er om privacyredenen toch een nieuwe OS op zet en een beetje extra moeite wil doen dan kun je 1 of 2x DBAN gebruiken om voor de meeste mensen de data al gewoon onbereikbaar te maken. Mensen gaan echt geen forensisch onderzoek uitvoeren op een tweedehands laptop die al met marge verkocht is.

[michielRB]

Bij afvoeren van oude meuk adviseerde ik mijn klanten altijd om de harde schijf uit te bouwen en er een paar flinke tikken met een 1kg hamer op te geven.
Als ze dan glazig keken, dan haalde ik de harddisk er even voor ze uit. Het vernietigen liet ik aan hen zelf over.
Ik zou me in TS z'n situatie me zeker niet gaan branden aan datarecovery etc. Dat is vragen om gelazer.
En verder, met @Oon : 1 of 2 keer DBAN en het moet maar genoeg zijn.
Eventueel aangeven in je policy/voorwaarden/bedrijfsinfo dat je bij bestaande disks dit doet en er vervolgens een schone installatie van het OS op installeert.

[Blokker_1999]

Het bekijken van data op een computer die niet van jouw is, zeker als professional, is een grote nono. Niet doen. Het kan je alleen maar problemen opleveren. Er moet maar 1 persoon zijn die het je echt kwalijk neemt en je mag het voor de rechter gaan uitleggen.

En een schijf 1 keer met random data vullen is meer dan genoeg om ervoor te zorgen dat niemand ooit nog data terug haalt. Aan de andere kant hebben SSDs vaak zelfs nog eenvoudigere tools.

[PetervdM]

ik betwijfel of DBAN op een SSD afdoende is, hoe vaak je het ook doet. tgv de remapping en wear leveling ben je nooit zeker of je alle fysieke sectoren hebt gehad.
voor het volledig scratchen van SSD's heb je een tool nodig die een laag dieper werkt, vaak heeft de fabrikant van de betreffende SSD wel zo'n tool, nadeel is dat je dan misschien één tool per fabrikant nodig hebt.
ik weet dat er tools bestaan die op alle SSD's werken, maar daar zijn ( aanzienlijke? ) kosten aan verbonden.

oude eigenaren opsporen zou ik nooit doen. je moet dan toch in hun data snuffelen, en ook al zijn ze misschien blij hun data terug te hebben, ze zullen altijd het gevoel houden dat iemand aan hun privé spullen heeft gezeten. vergelijk met de offline wereld: er zijn mensen die verhuizen of spullen wegdoen nadat er is ingebroken.

[segil]

Hoe zou jij het vinden als iemand contact opneemt met jou, nadat hij jouw brieven gevonden heeft op een vuilnisbelt, onder de mom van: hey, misschien was je deze brief van de woningbouw kwijt!

Niet jouw data, niet jouw probleem. 1x wissen is ruim voldoende en verder doorverkopen.

[killercow]

Blokker_1999 schreef op zaterdag 13 februari 2021 @ 08:38:
Het bekijken van data op een computer die niet van jouw is, zeker als professional, is een grote nono. Niet doen. Het kan je alleen maar problemen opleveren. Er moet maar 1 persoon zijn die het je echt kwalijk neemt en je mag het voor de rechter gaan uitleggen.

En een schijf 1 keer met random data vullen is meer dan genoeg om ervoor te zorgen dat niemand ooit nog data terug haalt. Aan de andere kant hebben SSDs vaak zelfs nog eenvoudigere tools.

Helaas, niet juist.
Bij spinning disks is dit nog wel grotendeels waar omdat je daar op een handje vol bad-blocks na netjes alle blocks overschijven kunt.
Met ssd's zijn die garanties 100% uit het raam omdat elke ssd aan wear-leveling doet en een percentage van de daadwerkelijke ruimte op de disk niet zichtbaar maakt. Dit om veel beschreven/gelezen blocks te ontlasten. Daardat dit gebeurt blijft er data op die voorheen populaire blocks ongemoeid als je de hele disk denkt te overschrijven.
De speciale ssd tools van de fabrikanten zjin er dus niet voor niets, en zeker niet alleen omdat ze 'makkelijker' zijn.

[dragon4ce]

Ik dank jullie voor jullie antwoorden, dit maakt het duidelijk dat dit een slecht idee is. Ik zal alle schijven wissen met een enkelvoudige dban.

[ThinkPad]

Je doet het nu met goede bedoelingen, maar stel dat je ineens kinderporno of andere ranzige/gruwelijke dingen tegenkomt? Dan slaap je niet lekker meer.

“What has been seen cannot be unseen”.

Ik zou er niet naar kijken en de disk gelijk bij binnenkomst wipen.

[Voor 7% gewijzigd door ThinkPad op 13-02-2021 11:55]

[Blokker_1999]

killercow schreef op zaterdag 13 februari 2021 @ 11:35:
[...]

Helaas, niet juist.
Bij spinning disks is dit nog wel grotendeels waar omdat je daar op een handje vol bad-blocks na netjes alle blocks overschijven kunt.
Met ssd's zijn die garanties 100% uit het raam omdat elke ssd aan wear-leveling doet en een percentage van de daadwerkelijke ruimte op de disk niet zichtbaar maakt. Dit om veel beschreven/gelezen blocks te ontlasten. Daardat dit gebeurt blijft er data op die voorheen populaire blocks ongemoeid als je de hele disk denkt te overschrijven.
De speciale ssd tools van de fabrikanten zjin er dus niet voor niets, en zeker niet alleen omdat ze 'makkelijker' zijn.

Weet je, dan spreek je echt over worst case scenario's. Das net zoals mensen die zeggen dat je een klassieke schijf meerdere keren moet overschrijven. De reden daarvoor is dat ooit iemand de theorie heeft geopperd dat je met behulp van een elektronen microscoop kan gaan kijken hoe de data op de schijf gestructureerd staat en aan de hand daarvan mogelijks kunt achterhalen wat de voorgaande positie van een bit was. Een theorie die trouwens nooit in de praktijk is bewezen en als volkomen onpraktisch wordt aanzien.

Bij een SSD bestaat inderdaad de kans dat iemand met low level tools alle blokken gaat uitlezen en mogelijks aan de hand daarvan data gaat reconstueren. Maar dan moet je om te beginnen al geluk hebben dat op die schijf geen encryptie van toepassing was. Met bitlocker is het al voldoende om gewoon de sleutel uit je TPM te verwijderen en dan heb je zelfs geen format meer nodig. Niemand kan aan enige data aan. Maar zelfs als dat niet het geval is, wie gaat zich daarmee bezig houden?

Je koopt een laptop van een onbekende bron, je weet niet of die schijf die erin zit nieuw is of niet en zelfs als ze al gebruikt is of deze correct gewist is ja of neen. Je kan dan data gaan zoeken maar je vind alleen maar blokken zonder dat er een correcte bestandstoewijzingstabel bij hoort dus heb je gepsecialiseerde tools nodig, of zeer goede ogen en enorm veel geduld om data die daar mogelijks nog in staat te reconstrueren. En gegeven dat waarschijnlijk meer dan 90% effectief willekeurige data is na 1 random fill, wens ik je er veel plezier mee.

[aawe mwan]

Om te weten of je dit wel / niet zou willen doen, zou je ook kunnen nadenken over de omstandigheden waarin dit wel gebeurt.

Laatst zag ik op YouTube iemand die een oude zakelijke PC geanalyseerd had met een tool die speciaal voor dit soort analyses ontwikkeld is. De tool maakte een overzicht van welke perioden de PC wel en niet gebruikt is, welke software geïnstalleerd en weer verwijderd was, dat soort dingen.

Bij de politie analyseren ze ook wel eens de harddisk van een ander. Ze kijken dan of er geen bestanden op staan die „bij de politie bekend” zijn.

Moderne kopieeraparaten bewaren alles wat ze gekopieerd hebben op een interne harddisk. Bijvoorbeeld de paspoorten die met het apparaat gekopieerd zijn. Er was een tijd dat deze harddisks een paar jaar later samen met het apparaat tweedehands verkocht werden, zonder gewist te worden.

Ik heb ook wel eens door mijn eigen oude PC harddisks zitten kijken. Je schrikt van hoe slecht de beveiliging 10 jaar geleden nog was. Om 1 voorbeeldje te noemen: in de cache van een e-mail client vond ik als leesbare tekst mijn volledige NAW gegevens en passwords die na al die jaren nog steeds werkten. Kan je nagaan wat iemand kan vinden die tools heeft en weet waar hij moet zoeken. En je begrijpt dat ik een passwordmanager ben gaan gebruiken.

[Lrrr]

Los van of DBAN theoretisch wel of niet iets doet op een SSD lijkt het me makkelijker om gewoon de 'secure erase' optie in de tool van de fabrikant van de SSD te gebruiken. Dat gaat volgens mij veel sneller dan DBAN en is ook nog eens effectiever.

[IceBlackz]

Antwoord op je punt 3:
Voor de overheid is het genoeg als je de schijf 1 keer met random data overschrijft. Als de schijf persoonsgegevens heeft bevat moet deze 3x overschreven worden, 1x met 0's, 1x met 1's en 1x met random data.
Bron: IBD handreiking veilige afvoer van ICT-middelen

[killercow]

Blokker_1999 schreef op zaterdag 13 februari 2021 @ 12:00:
[...]

Weet je, dan spreek je echt over worst case scenario's. Das net zoals mensen die zeggen dat je een klassieke schijf meerdere keren moet overschrijven. De reden daarvoor is dat ooit iemand de theorie heeft geopperd dat je met behulp van een elektronen microscoop kan gaan kijken hoe de data op de schijf gestructureerd staat en aan de hand daarvan mogelijks kunt achterhalen wat de voorgaande positie van een bit was. Een theorie die trouwens nooit in de praktijk is bewezen en als volkomen onpraktisch wordt aanzien.

Bij een SSD bestaat inderdaad de kans dat iemand met low level tools alle blokken gaat uitlezen en mogelijks aan de hand daarvan data gaat reconstueren. Maar dan moet je om te beginnen al geluk hebben dat op die schijf geen encryptie van toepassing was. Met bitlocker is het al voldoende om gewoon de sleutel uit je TPM te verwijderen en dan heb je zelfs geen format meer nodig. Niemand kan aan enige data aan. Maar zelfs als dat niet het geval is, wie gaat zich daarmee bezig houden?

Je koopt een laptop van een onbekende bron, je weet niet of die schijf die erin zit nieuw is of niet en zelfs als ze al gebruikt is of deze correct gewist is ja of neen. Je kan dan data gaan zoeken maar je vind alleen maar blokken zonder dat er een correcte bestandstoewijzingstabel bij hoort dus heb je gespecialiseerde tools nodig, of zeer goede ogen en enorm veel geduld om data die daar mogelijks nog in staat te reconstrueren. En gegeven dat waarschijnlijk meer dan 90% effectief willekeurige data is na 1 random fill, wens ik je er veel plezier mee.

Hoewel het in dit specifieke geval "alleen" maar ging om iemand anders z'n data, die uit de goede bedoelingen van de TS wellicht verwijderd zouden kunnen worden, is dat voor een ieder ander die jouw epistel leest en besluit dat 1maal overschrijven genoeg is voor hun eigen data, of bedrijfsdata een heel andere en wel degelijk nuttig om correcte informatie over te hebben.

Een normale disk is eenmaal overschrijven inderdaad 100% voldoende, de openstaande 1miljoen bounty op het terughalen van data van een eenmaal overschreven spinning disk is dan ook nog steeds niet opgeëist met een demo. (ik geloof dat ik dat ook aangaf?)

Dan kun je allerlei TPM onzin erbij halen om je 'gelijk te halen' maar we weten allemaal dat 95% van de laptops hun disk niet encrypted heeft, laat staan daarvoor een TPM gebruikt voor de keys. Luks keys overschrijven is voor encrypted luks containers ook meer dan voldoende, maar als die luks keys toevallig nog ergens in een sector leven die niet overschreven is op je SSD en dan vervalt dus die hele "train of thought", heck, je zou zelfs kunnen verwachten dat je disk bij het "wissen" van je LUKS keys al clean is. Lekker snel, lekker spannend

en tjah, "wie gaat zich er mee bezig houden", geen idee, als je niks te verbergen hebt is het allemaal een grote onzin-bezigheid toch?