SSD mit eCryptFS wird nicht erkannt

Die Datenrettung von eCryptFS Ordnern und Dateien wird von unseren Kunden häufig angefragt. eCryptfs ist ein kryptographisches Dateisystem für Linux, das auf bestehende Dateisysteme aufsetzt. Es bietet eine ähnliche Funktionalität wie die von GnuPG, nur dass der Prozess der Ver- und Entschlüsselung der Daten transparent erfolgt.

eCryptfs nutzt den Schlüsselbund des Linux-Kernels, die kryptografische Kernel-API, das Linux Pluggable Authentication Mod Framework (PAM), OpenSSL/GPGME, das Trusted Platform Module (TPM) und den GnuPG-Schlüsselring, um den Prozess der Verwaltung der Authentifizierungstokens für den Endbenutzer nahtlos zu machen.

Alle kryptografischen Metadaten werden dabei in den Headern der Dateien gespeichert, so dass verschlüsselte Daten leicht verschoben, zur Sicherung gespeichert und wiederhergestellt werden können. Es gibt weitere Vorteile, aber auch Nachteile, zum Beispiel ist eCryptfs nicht für die Verschlüsselung kompletter Partitionen geeignet. Verwendet wird das eCryptfs vor allem unter Linux um die Nutzerprofile zu verschlüsseln. Ein Zugriff auf die Ordner und Dateien ist erst nach Eingabe des korrekten Passworts möglich.

eCryptfs wird aber ebenso häufig auf NAS Systemen wie QNAP Turbostation oder Synology Diskstation verwendet, um sensible Daten mit einem Passwort zu schützen und die Daten zu verschlüsseln.

Im vorliegenden Fall wurde uns eine mit eCryptfs verschlüsselte Samsung SSD mit 2TB Kapazität übersendet. Die SSD stammte aus einem Laptop mit einer Linux-Installation. Die SSD wurde vom Laptop plötzlich nicht mehr korrekt erkannt und eine Anmeldung sowie die entschlüsselung der eCryptfs Ordner und Dateien war somit nicht mehr möglich.

Eine Datenrettung der eCryptfs Ordner war jedoch dringend erforderlich, da der Kunde keine regelmäßigen Sicherungen angelegt hatte.

eCryptfs Datenrettung von defekter SSD

Nachdem die defekte SSD zur Datenrettung eingegangen war wurde zunächst eine Untersuchung der Elektronik des Solid State Drives durchgeführt. Hierbei wurde kein Schaden an der Elektronik der SSD festgestellt.

Das Laufwerk wurde an ein spezialisiertes Datenrettungstool für die SSD Datenrettung angeschlossen mit dem der Zustand der Samsung SSD überprüft werden konnte. Die SSD reagierte nur sehr langsam und das Fehlerprotokoll zeigte an dass das Laufwerk viele defekte NAND-Speicherzellen aufweist.

Flash-Laufwerke wie SSDs können nicht unendlich häufig beschrieben werden. Je mehr auf eine SSD geschrieben wird, je häufiger also die Flash-Speicherzellen gelöscht und neu beschrieben werden desto höher ist das Risiko dass Speicherzellen zunächst schwach werden und dann ausfallen.

Sind zu viele Speicherzellen der SSD defekt wird der Speichercontroller des Laufwerkes überlastet, da der SSD-Controller neben vielen anderen Aufgaben eine Fehlerkorrektur durchführen muss. Anhand von ECC-Daten werden die nicht mehr lesbaren Datenbereiche errechnet. Wenn nun zu viele Speicherzellen defekt sind dann wird der Prozessor überlastet und die SSD wird nicht mehr erkannt.

Im schlimmsten Fall kann die Firmware der SSD Schaden nehmen, es kommt zu einem Controller-Schaden und eine Datenrettung ist nur noch mit sehr hohem Aufwand möglich.

eCryptfs wiederherstellen: Ablauf der Datenrettung

Im vorliegenden Fall einer eCryptfs Datenrettung war die SSD zwar sehr instabil, es lag aber noch kein Defekt des SSD-Controllers vor. Die verschlüsselte SSD wurde an spezialisierte Datenrettungstools angeschlossen, um die defekte SSD auszulesen.

Es wurden zahlreiche Optimierungen durchgeführt, um ein Auslesen der verschlüsselten Ordner und Dateien zu ermöglichen und die Spezialisten konnten so einen vergleichsweiste stabilen Zustand erreichen.

Die Datenbereiche wurden selektiert und eine sektorgenaue Arbeitskopie der Samsung SSD erstellt. Der Prozess der Datenrettung mußte dauerhaft beobachtet und immer wieder nachjustiert werden, um das Maximum an Daten wiederherstellen zu können. Die beschädigte SSD wurde in mehreren Durchgängen immer wieder gelesen, bis keine ungelesenen Speicherzellen mehr übrig waren.

In einem weiteren Schritt wurde dann der eCryptfs Schlüssel generiert, um die verschlüsselten Ordner und Dateien entschlüsseln zu können. Die Entschlüsselung wurde in einer speziellen virtuellen Umgebung durchgeführt und abschließend wurden die Nutzerdaten aus den Benutzerprofilen der Linux-Installation auf eine neue Festplatte extrahiert.

eCryptfs Daten retten: Erfolgreich!

Trotz eines schweren Schadens an der Samsung SSD und der vorliegenden eCryptfs Dateisystem-Verschlüsselung konnten alle Daten des Kunden erfolgreich wiederhergestellt werden.