Bitlocker disks wipen

[fm77]

Ik heb een paar werk laptops die ik voor een goed doel mag inzetten.
De afspraak is dat ik de disks verwijder. Maar na 1 poging bij een laptop merk ik wel dat het een kloteklus is
Daarnaast zijn het ook weer kosten voor de andere partij, terwijl dit niet nodig is (denk ik).

Ik wil de laptops dus gaan wipen.
Google geeft me veel opties, echter is de tijd die ik ervoor heb beperkt.
Dus ik ben benieuwd naar de snelste optie om dit te doen.

De schijven zijn al voorzien van bitlocker, en de TPM chip is gecleared. Dus alleen toegankelijk met een key.
Toch wil ik er nog een extra wipe overheen gooien voor de zekerheid.
Windows kom ik niet meer in, dus ik zoek de snelste, en toch redelijk veilige usb startdisk om dit uit te voeren. Het liefst een optie die geen 3 uur duurt per laptop.

Normaal zou ik zelf wat opties proberen. Maar aangezien ik er maar beperkte tijd aan kan besteden hoop ik dat iemand hier mij dat werk kan besparen .

Het gaat hier overigens om M2 schijven.

[Detmer]

Kijk eens naar Killdisk of DBAN?

En overleg wel eerst even met het werk of ze dat goedkeuren . Je wilt niet op je geweten hebben dat er straks een datalek is (hoe klein de kans ook is)

[ Voor 71% gewijzigd door Detmer op 01-06-2021 15:45 ]

[fm77]

Detmer schreef op dinsdag 1 juni 2021 @ 15:45:
Kijk eens naar Killdisk of DBAN?

En overleg wel eerst even met het werk of ze dat goedkeuren . Je wilt niet op je geweten hebben dat er straks een datalek is (hoe klein de kans ook is)

Ik ken beide opties (van naam - geen ervaring). Dus hoop op iemand die er al ervaring mee heeft. Kan niet even uitgebreid testen welke voor mij het beste is

Daarnaast geef je ook aan dat de kans klein is voor een datalek. Dus advies over het wipen van een gebitlockerde drive is ook welkom. Buiten Mossad-achtige instanties kan ik me geen voorbeeld bedenken dat die de data nog naar boven kunnen krijgen.
Mochten jullie daar andere ideeën over hebben dan hoor ik die ook graag, en dan doe ik het gewoon niet.

[dehardstyler]

fm77 schreef op dinsdag 1 juni 2021 @ 15:54:
[...]


Ik ken beide opties (van naam - geen ervaring). Dus hoop op iemand die er al ervaring mee heeft. Kan niet even uitgebreid testen welke voor mij het beste is

Daarnaast geef je ook aan dat de kans klein is voor een datalek. Dus advies over het wipen van een gebitlockerde drive is ook welkom. Buiten Mossad-achtige instanties kan ik me geen voorbeeld bedenken dat die de data nog naar boven kunnen krijgen.
Mochten jullie daar andere ideeën over hebben dan hoor ik die ook graag, en dan doe ik het gewoon niet.

DBAN is prima, maar duurt wel even. Daar ontkom je niet aan, de disk moet immers minimaal 1 keer helemaal beschreven worden. Je kunt je afvragen of het nodig is als er Bitlocker opstond, maar als je echt voor de "better safe than sorry" optie gaat, dan wordt het toch DBAN.

[maratropa]

Nog een keer bitlocker er over, de hele schijf doen, en de tpm nogmaal clearen. Of, encrypten zonder tpm maar met wachtwoord en dan het wachtwoord niet opslaan.

[Nielson]

Gebruik de 'Secure Erase' functie die elke moderne ssd ondersteunt, geeft veel minder slijtage aan je ssd dan dban en is een stuk sneller:

https://www.wepc.com/how-to/securely-erase-an-ssd-drive/

[fm77]

dehardstyler schreef op dinsdag 1 juni 2021 @ 15:58:
[...]


DBAN is prima, maar duurt wel even. Daar ontkom je niet aan, de disk moet immers minimaal 1 keer helemaal beschreven worden. Je kunt je afvragen of het nodig is als er Bitlocker opstond, maar als je echt voor de "better safe than sorry" optie gaat, dan wordt het toch DBAN.

Ik denk ook dat dit de optie gaat worden helaas. Had gehoopt dat er een geheime 10-minuten optie zou zijn die de gebitlockerde schijf dusdanig overhoop kon halen.

Ik heb de iso gedownload, en ga hem via Yumi op 2 sticks zetten.

maratropa schreef op dinsdag 1 juni 2021 @ 16:03:
Nog een keer bitlocker er over, de hele schijf doen, en de tpm nogmaal clearen. Of, encrypten zonder tpm maar met wachtwoord en dan het wachtwoord niet opslaan.

Helaas kom ik windows niet meer in (zonder de recovery key op te vissen, dus die optie gaat niet meer werken denk ik.

Nielson schreef op dinsdag 1 juni 2021 @ 16:15:
Gebruik de 'Secure Erase' functie die elke moderne ssd ondersteunt, geeft veel minder slijtage aan je ssd dan dban en is een stuk sneller:

https://www.wepc.com/how-to/securely-erase-an-ssd-drive/

Bedankt voor het meedenken.
Echter zie ik in je link dat ik dan alsnog de laptops open moet schroeven. Of zie ik dat verkeerd?
En helaas zie ik geen secure erase optie in de bios.

Wiping an M.2 SSD
If you have an M.2 SSD, you’ll need to shut your computer down, unplug your power supply, and physically take the M.2 out and re-insert it into your motherboard.

In this case, you’ll probably have to boot to a USB drive and secure erase the drive before Windows starts.

[ Voor 26% gewijzigd door fm77 op 01-06-2021 16:25 ]

[MicGlou]

Als de inhoud van die schijven beschermd was door bitlocker hoef je er echt geen extra moeite in te steken om te wipen oid, die gegevens ga je echt niet meer terug kunnen halen als je de partities verwijderd en er een schone Windows installatie op zet.

[Nielson]

fm77 schreef op dinsdag 1 juni 2021 @ 16:17:
Bedankt voor het meedenken. Echter zie ik in je link dat ik dan alsnog de laptops open moet schroeven. Of zie ik dat verkeerd?

Nee, dat is alleen als de ssd in een 'frozen state' is:

However, if you see a message that your SSD is in a frozen security state– like mine in the picture above– then you will need to go through some extra steps to wipe it. Basically, being frozen means it is locked down to prevent accidental wiping. In this case, you have a couple of options.

Daarnaast kun je de Secure Erase ook gewoon vanuit een bootbale usb/cd uitvoeren, bijvoorbeeld met Parted Magic:

In the main window will be options to zero the MBR, drive or partition using different methods, and for multi pass options there’s the NWipe tool which is actually a fork from and very similar to Darik’s wiping tool in DBAN. The Internal Secure Erase method is the most important because it issues the ATA erase command found in the firmware of nearly all drives since 2001. This is more secure than overwriting with 0’s, 1’s or random data using 3rd party tools and is the recommended way to wipe a hard drive or SSD if your drive supports it.

https://www.raymond.cc/bl...e-lending-or-giving-away/

Daarnaast ben ik het wel met mijn voorganger eens dat je een bitlocker schijf niet nogmaals hoeft te wipen.

[Wvr]

ik weet niet wat voor laptops het zijn, maar ik weet dat Dell heeft er een wipe funtie in de BIOS zitten.
en wat voor windows zit er op?

ik kan je eventueel helpen met Blancco als je dat wat vindt?

[com2,1ghz]

Lijkt me allemaal nergens voor nodig aangezien Bitlocker er op zat. Bij bedrijven hanteren ze vaak achtergestelde maatregelen tegen afgeschreven harde schijven want vernietigen is goedkoper dan recyclen/herbruiken.
Encrypte data is vrijwel onbruikbaar. Zeker als er ook nog eens een nieuwe installatie op zit.

[ Voor 9% gewijzigd door com2,1ghz op 01-06-2021 16:48 ]

[redwing]

Maar mag dit ook van het werk? De laptops mogen gebruikt worden mits je de discs verwijdert. Is wipen dan ook toegestaan? Ik weet dat bij ons de discs echt vernietigd moeten worden, ondanks bitlocker.

[fm77]

Bedankt allemaal voor de reply's
Jullie bevestigen ook wel mijn idee hierover. Maar het zou fijn zijn om er nog één extra laagje overheen te gooien om ook het idee dat de schijf gebitlcockerd is weg te halen. En dus ook een lege laptop over te houden.

redwing schreef op dinsdag 1 juni 2021 @ 16:50:
Maar mag dit ook van het werk? De laptops mogen gebruikt worden mits je de discs verwijdert. Is wipen dan ook toegestaan? Ik weet dat bij ons de discs echt vernietigd moeten worden, ondanks bitlocker.

Technisch gezien moet dat bij ons ook.
Maar in onderling overleg met mijn directe manager moet toch wel iets mogelijk zijn. Helemaal als ik kan aantonen dat het risico 0 is. Daarom probeer ik zoveel mogelijk info uit dit topic te halen.
Mocht er alsnog een kleine kans bestaan dat er iets kan lekken dan doe ik het ook niet.
Het alternatief is dat ze de shredder in gaan. Dus dat probeer ik te vermijden voor een paar laptops

[revolution-nl]

fm77 schreef op dinsdag 1 juni 2021 @ 16:56:
Technisch gezien moet dat bij ons ook.
Maar in onderling overleg met mijn directe manager moet toch wel iets mogelijk zijn. Helemaal als ik kan aantonen dat het risico 0 is. Daarom probeer ik zoveel mogelijk info uit dit topic te halen.
Mocht er alsnog een kleine kans bestaan dat er iets kan lekken dan doe ik het ook niet.
Het alternatief is dat ze de shredder in gaan. Dus dat probeer ik te vermijden voor een paar laptops

Dat is maar de vraag, binnen onze certificering heb ik verschillende procedures in-place die uitgeschreven en beoordeeld zijn en waarbij de uitvoering aantoonbaar is.

Dan mogen er technisch wel andere opties denkbaar zijn, het is een uitzondering, en die moet je weer managen.

[Dieks77]

In de tijd dat je het aan het uitzoeken bent had je ook de disks eruit kunnen peuteren...

[fm77]

Dieks77 schreef op dinsdag 1 juni 2021 @ 17:02:
In de tijd dat je het aan het uitzoeken bent had je ook de disks eruit kunnen peuteren...

Haha
Theoretisch gezien wel, praktisch gezien niet....
De laptops heb ik niet thuis liggen, dus ik moet het doen in de tijd dat ik op locatie ben. En dan wordt er ook wel van me verwacht dat ik daadwerkelijk aan het werk ben

[Ferruginous Hwk]

Afhankelijk van wat er potentieel op zou kunnen staan zou ik als bedrijf ook geen risico's willen lopen op een eventuele databreach. Zo verwijderen wij ook altijd alle harde schijven en vernietigen we die altijd fysiek voordat ze de organisatie mogen verlaten ook al zijn ze allemaal versleuteld met bitlocker of een andere hdd/ssd versleuteling.

Ik kan mij voorstellen dat dit een arbeidsintensief proces is maar daar word je immers gewoon voor betaald en zomaar het bedrijfsbeleid negeren omdat je er te druk voor bent vind ik geen goede actie. Ik zou er in ieder geval over in gesprek gaan met het management die dit heeft bepaald.

Wellicht is jullie riskprofile zo dat het evt. zonder fysieke vernietiging kan maar zou je bijvoorbeeld de schijven nog kunnen wissen met een goedgekeurd product en nee, dat kan niet binnen 10 minuten. Je zou een softwarepakket kunnen overwegen (zoals bijvoorbeeld Killdisk) dat aan goede standaarden voldoet en een certificaat genereert na het einde van het wis-proces.

Je zou de laptops 's nachts door kunnen laten wissen. Het enige dat ze moeten hebben is stroom en een usb-stick, wat tijd en het gaat vanzelf

Overigens in BLANCCO goedgekeurd door de AIVD (bepaalde versie) voor de vernietiging van schijven met een bepaalde rubricering.
https://www.aivd.nl/onder...en/geevalueerde-producten

[fm77]

Ik snap de legale issues, maar dat is iets wat ik zelf moet regelen.
Ik ga niets doen zonder goedkeuring. Dus die discussie is niet nodig (hoewel ik snap dat die uitnodigend is )