Leserartikel BitLocker Hardware Encryption eDrive

[Bob.Dig]

@LordNazgul Solltest Du wegen 1909 bedenken haben, dann nutze doch einfach 1903.
Was das UEFI betrifft: Wenn es "zu alt" ist, dann hat es weder das Problem noch den Fix dafür. Hier hilft nur selber testen.

 

[Hummerman]

1. Im Eingangspost steht, dass der USB-Stick von dem aus installiert wird im FAT formatiert sein muss. Warum muss das so sein bzw. woher kommt diese Erkenntnis?
[...]
Tatsächlich habe ich selber auf der Platte noch ein Win10 Pro 1909 ISO mit dem richtigen Build 18363.418 rumliegen. Wenn ich Rufus zur Hilfe nehme um einen bootfähigen USB-Stick draus zu basteln, so wird zwar einer erstellt aber eben nicht mit FAT* als Dateisystem sondern mit NTFS (Änderung leider nicht möglich)... daher meine Frage.

Das ist abhängig von Secure Boot, welche Keys in deinem UEFI vorhanden sind, bei neueren Mainboards funktioniert es auch mit NTFS.

Disable Block SID ist auch nur auf neueren Systemen erforderlich, auf älteren geht es ohne.

 

[NonOptionalName]

Hi,
schön dass dieses Thema hier etwas ausführlicher besprochen wird, herstellerseitig wird es ja offenbar sehr stiefmütterlich behandelt.
Ich stehe vor folgendem Problem.
Ein neuer Build steht vor der Tür und die Hardware wurde bereits bestellt/teilweise geliefert:

CPU	AMD RYZEN™ 9 5900X
Mainboard	ASUS ROG Strix B550-F Gaming
Ram	4x8GB -> 2x Crucial Ballistix schwarz DIMM Kit 16GB, DDR4-3600, CL16-18-18-38 (BL2K8G36C16U4B)
Gehäuse	Fractal Design Meshify 2 XL TG Light
Netzteil	Corsair RM850x
SSD 1	1000GB Samsung 980 PRO
SSD 2	CRUCIAL CT2000P1SSD8, 2 TB SSD
Kühler	Arctic Liquid Freezer II 420
Grafikkarte	Bis auf weiteres meine alte GTX1080

Die Crucial-SSD unterstützt keine Verschlüsselung via Opal, sitzt bereits in meinem jetzigen PC und die darauf liegenden Daten sind je nach Partition entweder unverschlüsselt (z.B. Spiele) oder aber von der Sorte, dass der Performance-Abstrich durch Software-Bitlocker nicht sonderlich viel ausmacht.
Ich möchte jedoch die 980 Pro als neues Systemlaufwerk nicht per Software verschlüsseln, sondern per edrive.

Die Problematik mit den neueren Windows-10-builds kenne ich. Nun habe ich jedoch auch davon gelesen, dass gerade die Asus-Boards nicht problemfrei sind und die Aktivierung des "edrive-Status" während der Installation nicht funktioniert. Nachdem die 980 Pro gestern geliefert wurde, habe ich sie also erst einmal in meinen jetzigen PC eingebaut (Asrock Z170 Extreme6 mit Intel Core-i7 6700K) und - angeleitet durch diesen Asus-Forenpost - folgende Schritte ausgeführt:

• SSD per Samsung Magician in den "ready to enable Status versetzt"
• Secure Erase ausgeführt (mittels vom Magician vorbereitetem USB-Stick)
• Alle Laufwerke außer die 980 Pro abgeklemmt
• Windows in der Version 1903 installiert (UEFI-Modus)
• Beim ersten Neustart abgebrochen und stattdessen heruntergefahren
• Andere Laufwerke wieder angeklemmt und - bei immer noch eingebauter 980 Pro - in mein "normales" Windows auf einer anderen SSD gebootet
• Mich im Samsung Magician vergewissert, dass der Status der 980 Pro nun auf "enabled" ist, nicht mehr auf "ready to enable"

Meinem gestrigen Verständnis nach sollte nun eine Aktivierung der Bitlocker-Verschlüsselung möglich sein, selbst wenn (einige) Asus-Boards den "Enable"-Schritt während der Installation nicht hinbekommen.
Heute, nach weiterer Recherche in das Thema, bin ich aber unsicher, inwiefern dieser oft erwähnte "disable block sid"-Schritt nicht nur für das "enable" sondern auch für die tatsächliche Bitlocker-Aktivierung notwendig sein könnte. Denn soweit ich das in Erfahrung bringen konnte, besitzt das Bios des B550-F Gaming keine derartige Option.

Ich bin deshalb hin und hergerissen, ob ich das Board behalten (es ist noch im Versand), oder für meinen Anwendungsfall lieber auf Gigabyte/MSI setzen sollte, bevor die Nutzung von Bitlocker per Hardware am Ende nicht funktioniert.

EDIT:
Ich konnte mit Hilfe eines UEFI-Tools im neusten BIOS für das Board zumindest die Strings

D.i.s.a.b.l.e. .B.l.o.c.k. .S.i.d.... . .O.v.e.r.r.i.d.e. .t.o. .a.l.l.o.w. .S.I.D. .a.u.t.h.e.n.t.i.c.a.t.i.o.n. .i.n. .T.C.G. .S.t.o.r.a.g.e. .d.e.v.i.c.e

ausfindig machen. Könnte darauf hindeuten, dass die Optionen existieren, aber alle Youtube-Videos die die advanced/fTPM-Einstellungen zeigen tun das nur für wenige Sekunden und lassen die Einstellung deaktiviert. Gut möglich, dass die weiteren Optionen erste erscheinen, wenn auch der fTPM-switch an sich aktiviert wurde.

Zweiter EDIT:
Es hat funktioniert, bitlocker-in-hardware ließ sich nach dem Einbau in den neuen Rechner problemlos aktivieren. Die Option "disable block sid" gibt es auf dem Board tatsächlich nicht und eventuell hätte das Einfluss auf den ursprünglichen "ready to enable"->"enabled"-Schritt während der Windows-Installation gehabt, aber für die tatsächliche Aktivierung von hardware-bitlocker sowie das generelle Unlocking taugt das b550-f gaming zumindest.

 

[Macusercom]

Ich bekomm nächste Woche meinen neuen PC und wollte eigentlich die Hardwareverschlüsselung aktivieren.

Über die Probleme seit Windows 10 2004 finde ich fast gar nichts im Internet. Ich finde das schräg, dass das entweder keinem auffällt oder niemanden interessiert.

Ich schätze wohl, dass ich die Softwareverschlüsselung in BitLocker nutzen werde nachdem mir der Aufwand über 1903/1909 zu groß ist.

 

[Bob.Dig]

@Macusercom Softwarebasierte Verschlüsselung ist auch absolut zu empfehlen, zusammen mit AES in der CPU ist es quasi ebenbürtig, was Performance betrifft.

 

[Macusercom]

@Bob.Dig Bis jetzt hatte ich BitLocker immer über Software (H97 Chipsatz, 2x SATA 6Gbps SSDs). Hatte BitLocker nur auf der primären.

Nächste Woche kommt mein neuer PC mit 2x M.2 SSDs an und aufgrund der Lüftersituation bei X570 hab ich mich für B550 entschieden. Allerdings läuft hier nur eine M.2 SSD auf PCIe 4.0. Jetzt kann ich entweder Windows mit PCIe 4.0 nutzen und Spiele nur mit 3.0 oder ich pack alles zusammen auf die primäre SSD und verschlüssle eben auch Spieldaten, die ich nicht verschlüsselt brauch.

Ich bin mir eben nicht sicher ob die CPU-Nutzung durch BitLocker oder die Leseleistung von PCIe 3.0 für Spiele ein größeres Bottleneck darstellt. Hatte gehofft das durch die Hardwareverschlüsselung zu lösen, aber Microsoft dreht hier ja scheinbar den Hahn langsam zu. Gleichzeitig hab ich beim ASUS B550-E Gaming keine Block SID-Option also kaum möglich/sinnvoll das noch zu versuchen 🤔😅

EDIT: Die CPU wird der 5900X.

 

[Bob.Dig]

@Macusercom Vielleicht hat Asus das ja inzwischen integriert? Aber ich denke, deine Sorgen sind unbegründet, auch wenn wir hier noch keine Benches von einer PCIe 4.0 SSD gesehen haben.
Wenn Du diese mit BitLocker (softwarebasiert) verschlüsseln solltest, dann stell doch einfach mal ein Bench hier ein, würde mich mal interessieren, welche CPU-Load da entsteht, also nebenher auch den Taskmanager im Auge behalten.
Bei einem eher realistischen Szenario, also nicht Seq1MQ8T1 sondern Seq1MQ1T1 wirst Du vermutlich überhaupt keine Last oder zumindest keinen Unterschied erkennen können.

Und denke daran, für softwarebasiertes BitLocker vorher die Verschlüsselungsstärke auf ein aktuelles Niveau anzuheben:

 

[Macusercom]

Mein Ergebnis soweit: Durch BitLocker braucht das System beim CrystalDiskMark ca. 5-6% bei einem 5900X im Vergleich zu 1% ohne.

Die Performanceeinbußen bei einer PCIe 4.0 NVME SSD sind vernachlässigbar. Warum Sequential Write schneller ist trotz Verschlüsselung weiß ich nicht, aber das zeigt wohl, dass einiges in der Margin of Error liegt.

Mit Verschlüsselung:

Ohne Verschlüsselung:

 

[Bob.Dig]

@Macusercom Die erhöhte Last-Differenz durchgehend festgestellt oder nur bei SEQ? Ich konnte bei mir nämlich sonst keinen Unterschied feststellen.

Zum Verständnis, hier geht es um softwarebasiert gegen unverschlüsselt, nicht hardwarebasiert.

 

[Bob.Dig]

Die Handvoll, die es interessiert: Auch unter 21H1 als Upgrade verrichtet eDrive weiterhin den Dienst.

 

[tox1c90]

In dem Zusammenhang noch eine vielleicht interessante Information: Man kann auch im Gerätemanager sehen, ob Windows das Laufwerk prinzipiell als eDrive-fähig erkannt hat und ob die entsprechenden Kommandos auch ankommen. Dazu muss man auf "Ansicht" und "Ausgeblendete Geräte anzeigen" gehen, dann taucht der Baum "IEEE 1667-Silo- und -Steuergeräte" auf. Da sind dann für jedes Laufwerk mit eDrive-Support drei Devices verzeichnet (ich habe 3 eDrives, daher auch jeweils dreimal denselben Eintrag).

Doppelklick drauf enthüllt dann auch, zu welchem Laufwerk welches davon gehört. Wenn eDrive durch irgendwas geblockt wird (z.B. Intel Rapid Storage - Treiber), sind diese Geräte nicht da bzw. nicht verbunden.

 

[Bob.Dig]

Weiß jemand, wie man bei den Samsung OEM Client SSD e-drive aktiviern kann? Magician soll ja mit denen nicht laufen.

Und hat wer schon ein Win11 Upgrade mit hardwarebasierter Verschlüsselung gemacht? 😉

 

[Bob.Dig]

Habe gerade versucht eine 980 Pro zu "verschlüsseln". Man darf wohl die Vorabprüfung der PIN-Eingabe auch nicht mehr durchlaufen, ansonsten scheitert die Verschlüsselung ebenfalls. Hatte das wohl zuletzt auch immer so gemacht, aber noch nicht realisiert, dass das der einzige Weg ist. Dementsprechend das how-to auf der ersten Seite aktualisiert.

 

[Bob.Dig]

Auf einem Windows Server 22 konnte ich eine 970 Evo Plus (eDrive enabled), nachdem ich die hardwarebasierte Verschlüsselung per GP aktiviert und im Zuge dessen die softwarebasierte deaktiviert hatte, hardwarebasiert verschlüsseln. Normal?

 

[Tantawi]

Und hat wer schon ein Win11 Upgrade mit hardwarebasierter Verschlüsselung gemacht? 😉

I did! (Sorry an English speaker here)

After months of searching, I found your awesome thread and learned about the Disable SID Block thing on my Gigabyte x570 Aorus.

Exact steps I used to activate hardware encryption on my Samsung 1TB 980 Pro NVMe on Windows 11:

1. My PC had already Windows 11 installed and running using another drive (Samsung 500GB 960 EVO NVMe), no Bitlocker.
2. Installed the 980 Pro as primary NVMe (CPU lane slot), and moved the 960 EVO to the other NVMe port (chipset)
3. Booted Windows 11, enabled encryption via Samsung Magician (did not do a secure erase as the drive is basically untouched)
4. Obtained ISO of Windows 10 version 1903 and put it on a bootable USB.
5. Enabled "Disabled SID Block" on my UEFI, rebooted, F10 to confirm, and booted from the Windows 10 USB and installed it.
6. During Windows 10 setup, I removed all partitions on old 960 EVO, and created a partition on the 980 Pro and installed Windows 10 1903 on that.

Important note: At every reboot, I always go to the UEFI and Enable "Disabled SID Block", do not know if it helped or not. Also I kept my LAN cable disconnected as I did not want Windows to do any updates that will disable hardware encryption at this point.

1. Did the group policy things, held my breath...
2. Voila! could enable hardware encryption on drive C: (SYSTEM DRIVE).
3. Connected my LAN cable and joined the insider program and installed Windows 11!
4. Hardware encryption carried on as you see on screenshot.

THANKS for everyone help in this thread and I hope I could contribute a little to the amazing amount of information here.

Best,
Mohamed Eltantawi

 

[palace]

Und hat wer schon ein Win11 Upgrade mit hardwarebasierter Verschlüsselung gemacht?

Habe ebenfalls inplace auf Windows 11 aktualisiert und die Hardwareverschlüsselung blieb erhalten.

 

[tox1c90]

Habe jetzt ein MSI Z690 Tomahawk WiFi (Sockel 1700) und kann endlich mal wieder vollen Erfolg vermelden.

Clean Install mit Windows 11 auf einer Samsung NVMe-SSD 970 Evo. Vorher "Disable Block SID" im UEFI aktiviert, dann direkt das Windows Setup gebootet, dort mit Shift+F10 in diskpart gegangen und die SSD nochmal komplett gecleant. Dann Windows auf der SSD installiert.

Als Windows dann lief, neugestartet ins UEFI-Setup, "Disable Block SID" wieder aktiviert (gilt ja immer nur für den nächsten Boot), dann in Windows 11 gebootet und per Gruppenrichtline die Hardwareverschlüsselung erzwungen und dann einfach Bitlocker aktiviert (den Check hab ich abgehakt)

Hat super funktioniert, jetzt ist die NVMe hardwareverschlüsselt!
Denke mal bei MSI, Sockel 1700 kann man ein grünes Häkchen machen. Vor allem läuft es auch mit Windows 11 anstandslos durch.

Jetzt probier ich noch meine SATA-SSDs von Software- auf Hardwareverschlüsselung umzustellen. Sieht so aus, als hätte MSI im Gegensatz zu früheren Aussagen doch noch alle Hausaufgaben gemacht.

Ergänzung (23. Dezember 2021)

Like a boss...
Auch die SATA-SSDs sind jetzt hardwareverschlüsselt. Dabei hatte ich sogar vergessen, das "Disable Block SID" nochmal anzuschalten. Hab einfach Software-Bitlocker deaktiviert und direkt danach Hardware-Bitlocker wieder aktiviert. Die SSDs waren zuvor allerdings bereits im eDrive-Modus und mussten nicht erst geswitched werden. Vermutlich muss man nur für diesen Vorgang das im UEFI einstellen.

Ist jetzt nicht so, dass ich das Gefühl habe mit einer Alder Lake - CPU zu knapp bei Kasse zu sein bezüglich Ressourcen für eine Software-Verschlüsselung, aber wenn es jetzt offenbar wieder geht nehm ich die paar Prozent mit

 

[palace]

Clean Install mit Windows 11

Das sind ja coole News

 

[Bob.Dig]

aber wenn es jetzt offenbar wieder geht nehm ich die paar Prozent mit

Der Witz ist, nicht eine Softwareverschlüsselung an sich wäre das große Problem, aber BitLocker reduziert, im Gegensatz zu Veracrypt, abhängig vom Drive-Modell, aus unerfindlichen Gründen die Schreibgeschwindigkeit bei SSDs und HDDs teils erheblich.

Also ja, weiter hardwarebasiert nutzen, wenn BitLocker und möglich! 🙂

 

[Bob.Dig]

Clean Install mit Windows 11 auf einer Samsung NVMe-SSD 970 Evo.

Momente mal, es liest sich bei dir so, als würde Win11 die HBE wieder voll unterstützen. Wie war das Drive vor der Install von Win eingerichtet gewesen? Ich vermute, das macht den entscheidenden Unterschied und ist die "quasi Neu-Install" aus dem Startpost.