Leserartikel BitLocker Hardware Encryption eDrive

[tox1c90]

Ist Secure Boot aktiviert? Und Microsoft-Treiber für die NVMe (nutze selber nur diesen, daher k. A. ob es mit dem von Samsung überhaupt geht)?

 

[Beneee]

Secure Boot hab ich nicht aktiviert. OK teste ich mal.

 

[Bob.Dig]

Wäre ja witzig, wenn ich der einzige wäre, wo es läuft, nicht. 😉

Ich meine, ich hatte ja Beta BIOSe drauf, wer weiß, ob die was hinterlassen haben. Oder kann ich das irgendwie ausschließen?

 

[tox1c90]

Das ist ziemlich ausgeschlossen, auch beim Zurückflashen auf ältere Versionen wird der BIOS-Chip komplett überschrieben und die Konfiguration zurückgesetzt.

Was aber zumindest in der Theorie durchaus sein könnte, ist, dass das initiale Versetzen der SSD in den eDrive-Modus nur mit einem der Beta-BIOSse möglich war. Ich nehme an, du hast zwischendurch keine PSID-Reverts mehr gemacht, nachdem du wieder auf ein offizielles BIOS bist?
Vielleicht funktioniert es jetzt einfach mit dem offiziellen BIOS bei dir, weil es auf der SSD bereits aktiv war, aber eine frische SSD lässt sich vielleicht nicht in den eDrive-Modus versetzen weil das Board irgendwelche Features nicht meldet...

Im Samsung-Forum schrieben Leute vor einiger Zeit ja von einer Art zweigeteiltem Problem: Das eine ist tatsächlich von einem NVMe-eDrive zu booten, das andere ist, das Feature überhaupt aktivieren zu können.

 

[Bob.Dig]

Das ist ziemlich ausgeschlossen, auch beim Zurückflashen auf ältere Versionen wird der BIOS-Chip komplett überschrieben und die Konfiguration zurückgesetzt.

Wirklich? teilweise soll man doch Reihenfolgen einhalten etc.
Einen PSID-Revert habe ich nicht gemacht. Kann ich vielleicht mal für Win1909 ins Auge fassen.

 

[tox1c90]

Also ich würde das mit dem PSID-Revert lassen, wenn es denn nun schonmal läuft bei dir.
Wenn es einfach nur darum geht die SSD "aufzuräumen" bzw. den Flashspeicher zurückzusetzen hat diskpart->clean genau den gleichen Effekt wie ein Secure Erase, jedenfalls auf einer SSD im eDrive/Opal-Modus.

Das mit der Reihenfolge bei manchen Boards hab ich so richtig auch nie verstanden, also dass man z.B. nicht direkt auf die neueste Version flashen soll sondern erst über eine Zwischenversion gehen usw.. Vielleicht ist das dann relevant, wenn man danach keinen vollständigen Reset macht. Oder es geht um ROM-Updates wie z.B. von der Intel Management Engine (bzw. das AMD-Analogon dazu), dass die ein neueres BIOS als Grundlage brauchen um eingespielt werden zu können etc..
Ok, das ist natürlich ein Punkt. Die Management Engine wäre z.B. was, das immer nur in eine Richtung geht. Die wird nie downgegradet, auch nicht wenn man ein altes UEFI einspielt.

 

[Bob.Dig]

Also ich würde das mit dem PSID-Revert lassen, wenn es denn nun schonmal läuft bei dir.

Ja. Andererseits soll dieser Thread auch was bringen... wobei sich Beneee nicht mehr gemeldet hat.

 

[Beneee]

Ja, ich melde mich schon noch keine Sorge. Habe erstmal alles wieder gesichert, damit ich dann wieder zwanzig mal Windows installieren kann Morgen evtl mal schauen.

 

[Beneee]

Schaffe es nicht... Hab mal zusätzlich ne 850 pro eingebaut, überhaupt kein Problem, also geh ich davon aus das Einstellungen Uefi etc passen.

Hab ein PSID revert gemacht, Secure Erase etc. Die 970 Evo bleibt immer bei zum "Aktivieren bereit" stehen. Weiss nicht was ich sonst noch testen könnte

 

[palace]

An die, oder den einen, der seine 970 EVO Plus verschlüsselt bekommen hat...
Werden bei der NVMe SSD im HWInfo beim Laufwerk die Security Flags angezeigt?
Bei mir sehe ich die nur für die SATA Laufwerke .

 

[Bob.Dig]

Schaffe es nicht... Hab mal zusätzlich ne 850 pro eingebaut, überhaupt kein Problem, also geh ich davon aus das Einstellungen Uefi etc passen.

Hab ein PSID revert gemacht, Secure Erase etc. Die 970 Evo bleibt immer bei zum "Aktivieren bereit" stehen. Weiss nicht was ich sonst noch testen könnte

Hast Du es auch mal mit 3.50 versucht?

An die, oder den einen, der seine 970 EVO Plus verschlüsselt bekommen hat...
Werden bei der NVMe SSD im HWInfo beim Laufwerk die Security Flags angezeigt?
Bei mir sehe ich die nur für die SATA Laufwerke .

Meinst Du das?

Sehe da nix in der Richtung.

 

[Bob.Dig]

Die 970 Evo bleibt immer bei zum "Aktivieren bereit" stehen.

Die Aktivierung des Laufwerks dafür war ja immer nur die halbe Miete, das eigentliche Problem ist doch der BIOS Support. Ich werde noch mal das alte Magician installieren und gucken, was da für eine Formulierung verwendet wird.

Spoiler: magician5

@tox1c90 War das aktiviren in Magician jemals ein Problem bei Dir?


Btw. auf dem inzwischen Softwareverschlüsselten Homeserver habe ich inzwischen das Problem, dass die "Schlüssel" beim Abschalten der HDDs wohl verloren gehen oder gelöscht werden? Vor nicht allzu langer Zeit konnte ich die HDDs trennen und später wieder hinzufügen, ohne dass ich diese entrieglen musste.

 

[Beneee]

Ich hab das alte auch schon getestet. Normal stellst ja das Laufwerk von off auf enable, dann meldet Magician zur Aktivierung bereit und dann sollst den Secure Erase machen und Windows neuinstallieren. Danach würde es auf enable stehen, bei mir bleibts einfach auf dem vorigen Stand. irgendeiner hier im Thread hat dasselbe Problem.
Ist ja nicht so das es mit Sata immer geklappt hat, auch die 850 pro kein Problem, also sollte Einstellungen korrekt sein.
Muss ich mal schauen ob ich auf 3.50 downgraden kann, aber das es dann geht glaub ich irgendwie nicht. Vielleicht hol ich mir mal wieder ne Crucial, auch wenn die langsamer sein sollte.

 

[Bob.Dig]

@Beneee Bei mir war es eigentlich immer so, hab die betreffende SSD als Zweitlaufwerk angeschlossen und vermutlich mit diskpart gecleaned. Dann in dem betreffenden System mit Magician eDrive aktiviert. Dann kein Secure Erase gemacht sondern das andere Laufwerk abgeklemmt und Windows im UEFI-Modus installiert. Kann mich nicht erinnern, dass Magician bzw. die Aktivierung von eDrive je das Problem waren.

Ergänzung (29. Oktober 2019)

Kennt jemand ein guten Image Programm, dann würde ich mal meine 970 Evo Plus psid reverten. 😁

Ergänzung (29. Oktober 2019)

Wenn ich nochmal drüber nachdenke stand bei mir wahrscheinlich das selbe wie bei dir, also dass es bereit wäre und nur durch die tatsächliche Installation von Windows wird es dann aktiviert. Denke daher das hat nichts mit Samsung zu tun (oder Crucial), sondern tatsächlich von der Installation von Windows...

 

[Beneee]

PSID revert geht mit Parted Magic oder jede andere Distri mit sedutil
https://github.com/Drive-Trust-Alliance/sedutil/wiki/PSID-Revert
Genau, es wird dann durch die Windows Installation auf enable gestellt, passiert nur leider nicht.

 

[palace]

@Bob.Dig: Ja, das meinte ich; bei SATA Disks wird da nämlich noch ein Bereich Security angezeigt. Ich hatte gehofft, dass das bei Dir angezeigt wird, um es dem Gigabyte Support zu zeigen. Wenn denn jemand benennen könnte, was dazu im BIOS implementiert werden müsste. Wahrscheinlich geht es beim initialisieren der Disk schlicht um das ermitteln der Fähigkeiten. Der Rest ist in BIOS ja schon drin, wenn es mit SATA funktioniert.

Das reverten per PSID kann Magician 6.

Ein gutes Image Programm kenne ich nicht.
Ich „klone“ mein Windows derzeit mit ct‘wimage, welches im Prinzip per „DISM“ eine Neuinstallation vornimmt.
So bekomme ich MEIN Windows auf ne encryption enabled Disk. Aber unbendingt noch eine andere Sicherung erstellen. Das Samsungtool ist... naja..

@Beneee: Ich kann es Dir so nachfühlen. So nah und doch so fern.

 

[tox1c90]

@tox1c90 War das aktiviren in Magician jemals ein Problem bei Dir?

Die Aktivierung klappt nur, wenn BIOS-Support vorhanden ist. Bei allen BIOS-Versionen von Asrock, die ich probiert hatte und die nicht explizit den NVMe-Support für eDrive integriert hatten, blieb das auch auf "Zur Aktivierung bereit".

 

[Bob.Dig]

Die Aktivierung klappt nur, wenn BIOS-Support vorhanden ist. Bei allen BIOS-Versionen von Asrock, die ich probiert hatte und die nicht explizit den NVMe-Support für eDrive integriert hatten, blieb das auch auf "Zur Aktivierung bereit".

Aber so bleibt es doch immer, bis Windows es das este mal verschlüsselt hat?

Ich meine, wer einmal auf den Geschmack gekommen ist, der kommt nicht wieder davon los. Welcher Hersteller auch immer hier liefert, der und nur noch der wird von mir zukünftig gekauft. Aber momentan scheint keiner zu liefern.
Ist das auf dem Smartphone nicht längst Standard oder wird da softwareverschlüsselt?

 

[Bob.Dig]

Habe eine SATA-SSD angeschlossen, darauf dann Windows installiert. Anschließend per Clonezilla meine 970 auf die selbe SSD gesichert. Dann mit Magician einen psid revert gemacht. Dann SATA-SSD abgeklemmt und Windows auf die 970 installiert. Das selbe wie bei @Beneee, Status bleibt bei ready to enable.

💩​

Hab dann mein Image wieder zurück gespielt, eine Hardwareverschlüsselung bleibt unmöglich. @tox1c90 hat mal wieder recht behalten.

Startpost angepasst.

Ergänzung (29. Oktober 2019)

Da ich noch die Beta-BIOSe habe und wenn diese noch flashbar sind, müsste ich bei der nächsten Neu-Install wieder auf meine Hardwareverschlüsselung kommen können... 😞

Also es scheint weiterhin möglich, aber kein Hersteller lässt es aktuell zu. 🤬

 

[tox1c90]

Aber so bleibt es doch immer, bis Windows es das este mal verschlüsselt hat?

Nein! Ob Bitlocker dann tatsächlich aktiviert wird oder nicht, hat mit dem Modus, in dem das Laufwerk ist, nichts zu tun.
Man schaltet eDrive im Magician ein, der Status springt auf "Zur Aktivierung bereit". Dann macht man das von Samsung geforderte Secure Erase (ich denke eigtl., dass ein Diskpart clean auch genügen würde...). Die SSD ist dann immer noch "Zur Aktivierung bereit".
Wenn man jetzt allerdings in die Datenträgerverwaltung von Windows geht, wird man gefragt ob man das neue Laufwerk initialisieren möchte. In dem Moment, wo man die Initialisierung im GPT-Layout anstößt, wird das Laufwerk in den Opal/eDrive-Modus geschaltet und der Magician zeigt "Aktiviert" an.

Es ist nichtmal nötig, eine Partition anzulegen. Schon bei der Initialisierung wird abgeklopft, ob Laufwerk und UEFI eDrive unterstützen und selbiges aktiviert.
Heißt aber auch, wenn das Laufwerk initialisiert wird ohne dass diese Aktivierung stattfindet, kann es danach nicht mehr klappen, erst wenn man das Laufwerk mittels Diskpart clean oder Secure Erase wieder deinitialisiert.