TrueCrypt HDDs werden in USB3-Gehäuse nicht erkannt

  • Ersteller Ersteller Endzeit
  • Erstellt am Erstellt am
E

Endzeit

Gast
Moinsen!

Ich habe ein seltsames Problem, was mir so noch nicht untergekommen ist:

Ich habe 2 WD-HDDs, die ich intern an sata angeschlossen hatte. Nun wollte ich die beiden in ein externes Gehäuse auslagern, da ich selten drauf zugreife (Backup selten geänderter Daten). Also kaufte ich mir eine ICY BOX IB-RD3219 (USB 3.0), baute die Platten ein, ließ den Schalter auf JBOD und wollte sie per TrueCrypt einbinden.

Normalerweise erscheint Festplatte > Partition1, und die bindet man dann ein. Allerdings erschien bei beiden KEINE Partition1, das trotzdem versuchte Einbinden schlug dann auch fehl.

Wieder intern angeschlossen, liefen sie wie vorher. Ein testweise eingebaute andere HDD funktioniert in dem Gehäuse allerdings völlig normal und wie erwartet.

Anfangs wurde natürlich angeboten, die HDDs zuformatieren, was ich höflich ablehnte und den Buchstaben im Festplattentool entfernte; anfangs, mit Buchstaben, lief es genauso wenig.

Hat irgendjemand ne Idee, oder ist der USB-Controller einfach nicht fähig, damit umzugehen? Eine der HDDs lief früher in einem einzelnen USB2-Gehäuse auch völlig normal. :confused_alt::
 
Das Raid-Gehäuse kann die verschlüsselten Platten logischerweise nicht erkennen und verwalten, zwei einfache USB-Gehäuse sollten das aber schon.

Oder erst unverschlüsselt einbauen und initialisieren / formatieren, dann verschlüsseln mit der ICY Box.

Je nachdem wie das JBOD der Icy Box arbeitet ist wahrscheinlich auch hier eine Initialisierung/Formatierung nötig, um die zwei Platten als zusammenhängenden Speicher (JBOD) verwalten zu können.
 
Zuletzt bearbeitet:
laut Aussage des Herstellersupports sind die HDs bei JBOD NICHT per Span eingebunden, sondern einfach als 2 Laufwerke an einem Controller, das hatte ich telefonisch nachgefragt. Aber das mit dem Initialisieren befürchtete ich fast, ist nur blöd, dass die HDs schon fertig befüllt und verschlüsselt sind. Bei Raid soll man ja im Betrieb am Gehäuse "reset" drücken, dann werden die formatiert... über den Betrieb als JBOD war allerdings GAR NICHTS zu finden.
 
Wenn man das Verhalten der externen Box im JBOD-Fall analysiert hat, wird es eine Möglichkeit geben, die Platten ohne Ent- + Verschlüsselung dort unterzubringen.
Bei derartigen Geräten, welche aus einem Bridge-Chip und einem RAID-Controller bestehen, wird MBR-shadowing betrieben. Sowas hatte ich schon mal am Seziertisch.
Falls Du Interesse daran hast, poste ich gerne eine Anleitung.
 
Ja, ich habe absolut Bedarf nach einer Anleitung, ich würde es gerne verstehen; werde gleich mal nach "MBR-Shadowing" suchen, das kannte ich noch nicht...

Danke schonmal für das Stichwort und die Anleitung im Voraus!
 
Installier HxD von hier in der englischen Version. Nicht damit herumspielen, damit die Standardeinstellungen erhalten bleiben.
Nimm eine der Platten aus der externen Box, damit es keine Verwechsungen gibt.

Sieh nach, unter welcher Datenträgernummer (im linken Viereck) die verbliebene der uninitialisierten Platten in der Datenträgerverwaltung angezeigt wird.
im HxD ist die zugehörige hard disk x um 1 höher zu wählen.

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)

- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" NICHT entfernen)
In der Menüzeile wird rechts neben dem Sektor-Eingabefeld "of ........" angezeigt - die Gesamtzahl Sektoren.
Wenn die von den untenstehenden Werten abweicht, dann zweigt der RAID-Controller trotz JBOD schon mal was vom Ende der Platten ab, was das Ende für Truecypt-verschlüsselte Platten bedeutet, wenn mehr als 250 Sektoren fehlen, weil da der Backup Header stehen sollte.

500GB 976773168
640GB 1250284896
750GB 1465149168
1000GB 1953525168
1500GB 2930277168
2000GB 3907029168
2500GB 4883781168
3000GB 5860533168

Die nächste Überraschung wird sein, dass der Sektor 0 (und vielleicht auch weitere) nicht mit zufälligen Hexcodes gefüllt ist, sondern 00en enthalten wird.
Das ist das Werk des Shadowings, weil der Controller die Inhalte des ersten Sektors in einem EEPROM abspeichert.

Mach mal einen Abzug von einigen Sektoren, damit wir das mit dem Inhalt, der unter SATA intern angeschlossen zu finden ist, vergleichen können.


========= extrahieren Sektor 0-15
- Menü: Edit/select block/start-offset: 0 , length: 2000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!

========= extrahieren maxLBA-4
- auf Reiter "harddisk x" klicken
- in der Menüzeile rechts auf den Button ">|" anklicken, danach auf "<" drei Mal klicken (Positionierung auf letzten Sektor und dann drei Sektoren nach vorne)
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 800, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken, nicht in die Anzeige klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "JBOD1.txt" /speichern
- HxD beenden

Dann schließt Du die erste Platte des Gehäuses intern an, ohne sie im Truecrypt zu mounten
und machst das gleiche nochmal, die Datei nennst Du SATA.txt

JBOD1.txt und SATA.txt gezippt in den Anhang (Antworten - Erweitert- Anhänge verwalten...)
 
Zuletzt bearbeitet:
aaaalso... Datenträger 6 wäre es in der Datenträgerverwaltung. Angezeigt bei HxD werden aber nur 1-6. es müsste dann aber 7 sein...? Datenträger 5 (in Windows) ist nicht belegt, wenn ich in HxD allerdings Datenträger 6 öffne, erscheint eine 9-stellige Anzahl von Sektoren. (was weiß ich, was das genau sein soll)... Puh. Die Platte, um die es eigentlich geht im USB3-Gehäuse, ist 2Tbyte goß, sollte also wie die andere interne 10-stellige Sektoren haben.
 
die Anzahl Sektoren mit 512 multipliziert ergibt die Plattenkapazität
Bei einer 2TB also 3907029168*512= 2.000.398.934.016 Bytes

Weil Du die 9-stellige Zahl nicht gepostet hast, muss ich meine Glaskugel benutzen :)

Mach mal einen Screenshot der Datenträgerverwaltung in den Anhang,
Wenn es die einzige 2TB Platte in der Konfiguration ist, so sollte bei einer der physical disks als Sektoranzahl 3907029168 oder etwas weniger zu finden sein.
Öffne einfach alle zur Auswahl stehenden physical disks
Falls da als Anzahl Sektoren 488378646 oder etwas weniger angezeigt wird, und Du hast keine 250GB Platte in Deiner Konfiguration, dann ahne ich schon, wie der Hase läuft...

Da die Platte im Win als "nicht initialisiert" ausgewiesen wird (Was bei TC volumes kein Wunder ist) dann steht an der markierten Stelle (wie in der in der nächsten Zeile als Beispiel in rot angeführt) auf der gesuchten Platte in der Zeile mit dem Offset 0000001F0(hex) dort nicht 55 AA:

000000001F0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 AA
 
Die besagte Zeile lautet:
00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 AA
Die Sektorenanzahl laut HxD: 488378646 (Wirklich ganz genau so!)

im Anhang ein Screenshot der Datenträgerverwaltung, Datenträger 5 ist im USB3-Gehäuse (also Disk 6 bei HxD).
 

Anhänge

  • Datentraeger.jpg
    Datentraeger.jpg
    160 KB · Aufrufe: 276
Na Glückwunsch.
Dann hast Du da ein Gehäuse erwischt, welches in gleicher Manier wie die Intenso, WD und Seagate externen Lösungen zwecks Kompatibilität mit älteren Systemen, welche kein GPT Format kennen, die logische (nicht die physische, die ist sowieso 4K) Sectorsize auf 4K nach außen präsentieren, um auch Platten >2TB nutzen zu können. Daher ist eine Verwendung der Platte auf der internen 512B oder externen 4K Lösung möglich, aber nicht ein nachträglicher Wechsel von einer auf die andere Seite. Zu Datenrettungszwecken gibt es zwar eine Lösung für unverschlüsselte Platten, bei encrypted Volumes wird das aber nicht funktionieren, weil im TC-Header auch die logische Sectorsize verschlüsselt im per CRC-32 validierten Teil liegt.

Der Jammer ist, dass all die Firmen, welche diese Chinateile unter einem eigenen Label unters Volk bringen, Null Ahnung über die tatsächliche technische Funktionsweise haben; in den Spezifikationen wird dieses feine technische Detail nicht erwähnt...

Eine Verwendung des Gehäuses ist damit in angedachter Weise nur möglich, wenn eine Platte dort JBOD eingebaut, die Daten draufgespielt und dann mit TC verschlüsselt wird.
Im Fehlerfall, wenn der ext. Controller einen Abgang macht, wurde man wieder exakt das gleiche Gehäuse nit gleicher Firmware-Revision benötigen und außerdem die TC-Rescue-CD, um an die Daten zu kommen..

Um jetzt noch festzustellen, welche Art von MBR-Shadowing der Controller treibt:

Mach mal mit der Platte im Gehäuse

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)
physical disk x ist um 1 höher als in der Datenträgerverwaltung

- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" NICHT entfernen)
In der Menüzeile wird rechts neben dem Sektor-Eingabefeld "of 488378646" angezeigt

========= extrahieren Sektor 0-7 (4K)
- Menü: Edit/select block/start-offset: 0 , length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!

========= extrahieren maxLBA-8, 8 Sektoren (4K)
- auf Reiter "harddisk x" klicken
- in der Menüzeile in das Sektor-Eingabefeld den Wert 488378638 mit copy&paste übertragen, Enter
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken, nicht in die Anzeige klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "JBOD1.txt" /speichern
- HxD beenden

Dann schließt Du die erste Platte des Gehäuses intern an, ohne sie im Truecrypt zu mounten
siehst wieder in der Datenträgerverwaltung nach, welcher Datenträger die Platte jetzt ist

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)
physical disk x ist um 1 höher als in der Datenträgerverwaltung
-
Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" NICHT entfernen)
In der Menüzeile wird rechts neben dem Sektor-Eingabefeld "of 3907029168" angezeigt

========= extrahieren Sektor 0-63 (512B)
- Menü: Edit/select block/start-offset: 0 , length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!

========= extrahieren maxLBA-64, 64 Sektoren (512B)
- auf Reiter "harddisk x" klicken
- in der Menüzeile in das Sektor-Eingabefeld den Wert 3907029104 mit copy&paste übertragen, Enter
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken, nicht in die Anzeige klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "SATA.txt" /speichern
- HxD beenden

Die beiden .txt files gezippt in den Anhang stellen

Es wäre weiters noch sehr interessant, ob CrystalDiskInfo oder HDTune in der JBOD- Einstellung die SMART-Werte beider Platten auslesen können, um deren Vitalzustand überwachen zu können.
Falls nicht, könntest Du es noch mit HD Sentinel probieren ?

Außerdem wäre noch zum Ausloten der Gehäuseeigenheiten der Versuch, eine 1,5TB Platte(oder noch kleiner, falls vorhanden) dort reinzustecken, sinnvoll. Die 1,5 TB Platte hat nominal 2930277168 512-Byte Sektoren, wenn die dann da drinnen auch nur 1/8, also 366284646 4K-Sektoren aufweist, scheint das generell bei allen Größen zu passieren (obwohl es eigentlich erst ab 2,5TB im JBOD, oder 2x1,5TB im RAID0, Sinn macht - uuups, kleiner Designfehler)
 
Zuletzt bearbeitet:
Also.... ich mach das jetzt nur noch aus akademischen Interesse und um uns beide die Arbeitsweise verstehen zu lassen, das Gehäuse kommt zurück zum Händler und ich muss mir etwas (offensichtlich grundsätzlich) anderes einfallen lassen. (die "Texte" Kommen in Kürze)

Crystal Disk Info zeigt alles 100% richtig an, inklusive Temperatur, Größe, Firmware, Anbindung (USB / Sata), Betriebsstunden, Seriennummer,....

Ich hatte testweise eine unverschlüsselte 160GB-Platte drin, und ich meine, die Sektorenanzahl hätte stimmen können, etwas weniger als die angeblichen 250Gb meiner 2Tbyte-Platte
Ergänzung ()

ähhh..... jetzt habe ich nach Neustart am internen Port einen RAW-Datenträger mit 250Gbyte (MEINE GEFÜLLTE 2-TBYTE-PLATTE!!!! und eine 4MB-Fat-Partition (Datenträger 2 und Datenträger 6) Wie zur Hölle bekomme ich meine Daten wieder????

Und wie ist das passiert? Ich habe in HxD GANZ SICHER nur lesend zugegriffen und auch sonst nix verbogen.

CDI zeigt mir eine gesunde 2Tbyte-Platte an, in der Win-Datenträgerverwaltung steht
Volume: "232,88 GB"
 
Zuletzt bearbeitet:
Ich hatte testweise eine unverschlüsselte 160GB-Platte drin, und ich meine, die Sektorenanzahl hätte stimmen können, etwas weniger als die angeblichen 250Gb meiner 2Tbyte-Platte
Die Sektoranzahl (512 Byte) einer 160GB ist üblicherweise 312581808 (mit Ausnahmen)
ähhh..... jetzt habe ich nach Neustart am internen Port einen RAW-Datenträger mit 250Gbyte (MEINE GEFÜLLTE 2-TBYTE-PLATTE!!!! und eine 4MB-Fat-Partition (Datenträger 2 und Datenträger 6) Wie zur Hölle bekomme ich meine Daten wieder????
Solche Merkwürdigkeiten sollten mit einem Screenshot dokumentiert werden

CDI zeigt mir eine gesunde 2Tbyte-Platte an, in der Win-Datenträgerverwaltung steht
Volume: "232,88 GB"
Eine unverschlüsselte 2TB im ext.Case? oder intern angeschlossen, nachdem sie mal im Case war? Dafür gäbe es eine Erklärung.
Es ist schwierig bis unmöglich, irgendetwas nachzuvollziehen, wenn nicht präzise step-by-step der chronologische Ablauf der Aktionen festgehalten wird.
Nach einer undefinierten Anzahl der Probierens verschiedener Anschlussvarianten ist eine möglicherweise auch unvollständige verbale Beschreibung zu wenig.
Volume ist 232,88GB, und was steht im Feld rechts davon? 232GB frei, oder eine 232GB Partition RAW? Ein Screenshot der Datenträgerverwaltung bedarf keiner Worte, da ist alles zu sehen.
 
also die 4MB sind geklärt (Flash-Device zum Laden, verpeilt), aber die 232GB sind eben jetzt auch intern da, siehe Anhang:

Und das ist auch besagte WD20EARS, die ich intern problemlos hatte, im USB3-Gh nicht richtig erkannt wurde und jetzt an sata auch die gleichen Symptome hat...

schräg finde ich, dass eben angezeigt wird, die HDD sei komplett RAW und insgesamt nur 232Gb groß..
 

Anhänge

  • HDD2.jpg
    HDD2.jpg
    52,3 KB · Aufrufe: 260
Zuletzt bearbeitet:
Das ist also eine unverschlüsselte gewesen?
Dann mach doch die HxD Steps (zweiter Teil für interne SATA) und poste die txt-files.
Immer wieder lustig, das wird die umgekehrte Variante von verunstalteten RAID-Memberplatten sein, wenn sie dem Windows einzeln unter die Finger kommen...
 
die 160er war eine unverschlüsselte, die 2TByte-Platte war/ist die mit Truecrypt verschlüsselte. Wie gesagt, intern nie ein Problem, extern nicht einbindbar und nun auch intern falsche Werte und offensichtlich kaputte Partition?

Sektoren bei internem Anschluss laut HxD: 3907029168

Habe die IcyBox jetzt eingepackt und auch schon die Retoure angemeldet, ich hoffe, ich brauche die nicht mehr zu weiteren Datenrettungsversuchen....
Ergänzung ()

hier nun die beiden dateien als 7z.
 

Anhänge

Zuletzt bearbeitet:
Der ausgelesene Inhalt ist recht unergiebig und rätselhaft.
Es befindet sich nur ein gültiger Standard-MBR auf der Platte, d.h. sie wurde initialisiert
Dieser zeigt absolut unüblich einen Partitionstyp einer FAT16-Partition von Sektor 0 bis 488378645
Alle anderern ausgelesenen Sektoren enthalten nur 00en, was für ein encrypted Volume nicht zutrifft.

Es kann nur folgendes daraus geschlossen werden:
Die Partitionierung kann nach dem Sektorendwert nur unter Sektorgröße 4K, also im IB-Case, stattgefunden haben, über die gesamte Größe.
Üblicherweise ist der Startsektor aber nicht 0, und eine FAT16-Partition macht in dieser Größe keinen Sinn.

Mit HxD wird nur lesend auf die Platte zugegriffen, der Inhalt damit nicht verändert.
Die TC-verschlüsselte Platte zeigte anfangs nach Deinen Angaben (Post#9, Datenträger 5)
im IB-Gehäuse einen Basis-initiierten Datenträger mit einer Partition der vollen Größe von 2TB(da die Anzahl Sektoren *4096= 2TB ergibt), Dateisystem RAW - was mit dem ausgelesenen MBR übereinstimmt.

Unter Anschluss per SATA ist die Partition natürlich nur 1/8 dieser Größe, da hier *512 gerechnet wird.
Warum sich Windows allerdings verirrt und den ganzen Datenträger in auch dieser Größe anzeigt, kann nur mit dem unüblichen MBR-Eintrag in Verbindung stehen, der eigentlich in dieser Form nur für GPT-Datenträger Verwendung findet (allerdings mit anderem Partitionstyp)

Dein zweites TC-verschlüsseltes 2TB Laufwerk ist ja noch intakt - oder?
Kannst Du mal zum Vergleich nur per SATA angeschlossen, nicht im TC gemounted, von dieser Platte mit HxD den Inhalt auslesen?
 
Zuletzt bearbeitet:
mich verwirrt das auch sehr...
Die 2. TrueCrypt-HDD war nur kurz in der IcyBox, die läuft intern an sata noch 1a.
Dann werde ich mal das Procedere für die intakte HDD wiederholen...
Ergänzung ()

so, nun das ganze nochmal für die intakte:
 

Anhänge

Da keimt ja richtig Hofffnung auf...
Es ist nicht der Datenträger verschlüsselt, also kann es nur eine TC-Partition sein.
Hier zeigt sich ein normaler MBR mit einer richtig eingetragenen NTFS-Partition, welche auf 1MB-Grenzen ausgerichtet ist, also auf Sektor 2048 beginnt.
Das lässt sich einfach reparieren...
Bloss noch eine Kleinigkeit- die Festplatten-ID im MBR ist auf der malträtierten Platte auf 0000-0001 gesetzt; ich hab keine Ahnung, ob die im TC eine Rolle spielt.
Sicherheithalber sollten wir vor irgendwelchen Experimenten in der Registry die dort gespeicherten alten Werte erheben.
Du verwendest für jede der Truecrypt-Partitions zum Einbinden einen eigenen (aber immer denselben) Laufwerksbuchstaben?
Wenn ja, welcher war das bei der jetzt nicht mehr funktionierenden Platte?
 
ich verwendete meistens den selben Buchstaben, ja, ich meine einfach X:
 
Dann stell mal einen Screenshot der Registry (Aufruf per regedit) wie in diesem Beispiel in den Anhang.
Vielleicht steht unter x: noch die alte Platten-ID
 
Zuletzt bearbeitet:
Zurück
Oben