Notebook mit SSD FullDiskEncryption sinnvoll?

Erst mal Hallo an alle Forenmitglieder.

[Einleitung]
Ich plane mir ein Notebook zuzulegen. Es sollte eigentlich eine HDD haben, weil ich mich bei den SSD's nicht auskenne, die Speicherkapazität klein und teuere ist und ich diesen für Fotoverwaltung mit RAW Dateien nutzen möchte.

[Meine Erfahrungen mit SSD]
Habe einen Firmenlaptop mit SSD und Festplattenverschlüsselung. Am Anfang startete dieser sehr schnell, mittlerweile dauerts schon länger und ich fahre ihn nur selten runter und nutze den Sleep modus. Ansonsten ist der Rechner schon schell. Die längere Startzeit kann sicherlich auch damit zu tu haben, dass ich einige Programme installiert habe. Die SSD jetzt schon voller ist. Ich mich um die SSD nicht groß kümmere sonderen einfach nur nutze. Wenn nur noch wenig Speicherplatz verfügbar ist, Daten lösche. Auf OS Ebene kenne ich mich ein bischen aus, aber nicht wirklich fundiert und tief.

[Fragen]
Habe jetzt hier im Forum herauszufinden, ob die Verbaute SSD "Vernünftig" ist, aber habe sie nicht gefunden. Statdessen hat mich etwas verunsichert, dass es noch unterschiedliche Probleme gibt wie 8MB oder Sleep Mode problem.
Hat die Toshiba THNSFC256GBSJ, 256GB CJFA0203 auch solche Problem oder kann die Empfohlen werden?
Habe die in den empfehlungs Threads und auch sonst nicht gefunden. Es soll ein Fujitsu Celsius H710 werden. Notbookcheck hat die o.g. SSD beim Test angegeben: http://www.notebookcheck.com/Test-Fujitsu-Celsius-H710-Notebook.57641.0.html

Auf der Homepage habe ich gesehen, dass es die Notebooks mit SSD nur mit FullEncryption gibt. Irgendwo habe ich gelesen, das man eine SSD nicht komplett formatieren soll, damit für WireLeaving (oder so) immer noch freie Blöcke da sind für Schreibzugriffe. Das dies aber bei FullEncrypten nicht möglich ist. Sind solche SSD's trotzdem zu empfehlen?
Muss ich noch was beachten?

Meine Fotos würde ich über USB 3.0 auf ext. HDD archievien. Zu Hause habe ich ein NAS.
Ich würde ja den H710 mit 500GB HDD nehmen, der hat aber 4 Wochen lieferzeit mit i7-2720. Die Version mit i7-2820 und 256SSD FullDiskEncryption ist in 3 Tagen lieferbar und kostet nur 12Euro mehr.

Vielen Dank für euere Hilfe
Nehonimo

Für ein Notebook (ein handliches Gerät das schnell geklaut ist) macht eine Verschlüsselung der Daten durchaus Sinn. Alternative: Mit TrueCrypt komplett verschlüsseln.

Da du ja Backups an anderer Stelle machst, würde ich mir um die SSD selber weniger Sorgen machen. Ist sie kaputt, dann ist sie kaputt, big deal, wobei manche Vorschläge zur Pflege einer SSD veraltet bzw. stellenweise hysterisch rüberkommen.

Danke,
aber eigentlich ist es mir gar nicht wichtig daten zu verschlüsseln, da ich (momentan) nicht vor habe auf meinem privaten Laptop sensibele Daten mit zu nehmen. Ok, einen Passwortspeicher habe ich schon, der aber im Programm selbst verschlüsselt.

Ich hatte nur sorge, dass eine FullDiskEncryption für die Performance einer SSD bescheiden ist. Das H710 mit SSD bekommt man aber nicht ohne eingeschaltete Verschlüsselung. Das ergab die Anfrabe bei Fujitsu.

Gruß Nehonimo

Es ist generell nicht empfehlenswert eine SSD zu 100% (Also Full-Disk-Encryption) zu verschlüsseln. Grund liegt im TRIM begründet. TRIM funktioniert ab 80% Füllgrad nur noch sehr bedingt und ab 85-90% Füllgrad GAR NICHT mehr!

TRIM wird benötigt, damit ein längeres Leben der SSD gewährleistet ist und damit die SSD immer gleichschnell bleibt. TRIM kannst du dir so vorstellen:

Wie eine HDD ist eine SSD im Prinzip auch. Nur, dass die SSD quasi ein eigenes, kleines System ist. Die Daten der SSD rotieren immer, das heißt, es wird ständig kontrolliert, wie oft die Zelle schon beschrieben wurde, und ob man jetzt Daten draufpacken soll oder nicht. Da aber nur die SSD weiß, wo welche Daten genau gespeichert sind (und nicht das Betriebssystem), braucht es ein transparentes "Mitteilungs-System", welchem dem Betriebssystem sagt, welche Blöcke (so nennt man die Speichereinheiten einer SSD => ähnlich den Sektoren der HDD) frei sind und welche belegt sind.

TRIM sagt dann also bei jedem Löschvorgang dem Betriebssystem "Zelle 29 wurde soeben gelöscht, Zelle 11180 wurde soeben gelöscht, du kannst diese jetzt für den nächsten Flashvorgang von den Daten befreien"

Da SSDs ihre Zellen und Blöcke (Mehrere Hundert Zellen im Verbund) nicht direkt wiederbeschreiben können wie Festplatten, müssen die Zellen/Blöcke vorher gelöscht werden. Dies geschiet, indem eine hohe Spannung angelegt wird, dann sind die Zellen wieder leer. Warum verlängert TRIM das Leben einer SSD?

Ganz einfach: Je mehr freie Zellen/Blöcke auf einer SSD, desto länger lebt sie. Das ist einfach eine simple, algorythmische Lösung. Je mehr Zellen verfügbar, desto mehr Möglichkeiten gibt es, die nächsten Zellen woanders hinzuschieben. Je weniger Zellen, desto radikal weniger Speicherplatz und desto schneller werden die Zellen überschrieben.

Allerdings nur in der Theorie, denn die meisten SSDs haben zum dynamischen Wear-Leveling - das funktioniert nur für freie Speicherzellen, nutzt also nicht die schon belegten Speicherzellen) noch ein statisches Wearleveling. Was ist Wear-Leveling? Wear-Leveling ist das "Karussel" der Daten, die bestmögliche Ausnutzung aller Speicherzyklen. Die Daten, die häufiger benutzt werden, werden in bestimmten Zeitabständen und wenn entdeckt wird, dass noch nicht oft auf die entsprechenden Zellen Daten geschrieben wurden, in andere Zellen verschoben. Also die Daten wechseln sozusagen den Speicherplatz.

Das ist also ganz anders als bei einer Festplatte, wo Daten immer an der gleichen Stelle bleiben! Deshalb kommt das Wear-Leveling zum Einsatz, und der simple Grund des Wear-Levelings ist, dass jede einzelne Speicherzelle nur etwa 1000-10000 mal (bei MLC-Speicher) oder 100000 - 5mio Mal, bei SLC-Speicher) beschrieben werden kann.

TRIM sorgt also im Grunde dafür, dass die Zellen immer vorher optimal gelöscht wurden. Und jetzt ist noch wichtig zu wissen, dass SSD nicht jede einzelne Zelle löschen können. Eine Zelle ist winzig! Und der Aufwand wäre gigantisch groß, jede Zelle bräuchte ihre einzelnen Signalleitungen! Sowas wäre fast unmöglich und irre teuer.

Nein - daher sind die Zellen im VERBUND angeordnet. Immer eine Platte aus mehreren hundert/Tausend Zellen oder auch mehr, je nach Kapazität der SSD. Und das nennt man dann einen BLOCK! So, die SSD kann also nur blockweise gelöscht werden.

Wie schon gesagt, sorgt TRIM dafür, dass die BLÖCKE, die auch wirklich gelöschte Daten enthalten, komplett gelöscht werden. UND TRIM sorgt so dafür, dass kein Chaos auf der SSD herrscht. Chaos würde zu einer verkürzten Lebensdauer der Zellen führen!

Denn du musst bedenken, wenn eine SSD den Auftrag "Schreibe jetzt 500 MB Daten" bekommt, braucht sie ja auch den freien Platz dafür! Und was tun, wenn der nicht vorhanden ist (wenn TRIM eben nicht funktioniert, weil zu voll => 85-90% Füllgrad) oder weil eben das System kein TRIM unterstützt? Na ganz einfach: Dann muss aufwändig eine Datei/mehrere Daten verschoben werden. Dies kostet Zyklen. Und wie du weißt, sind SSDs nur begrenzt beschreibbar, nämlich wie schon gesagt, etwa 1000 (TLC), bis 10000 mal (MLC). Bei 25nm sind es derzeit 3000-5000 Zyklen!

TRIM sorgt also dafür, dass weniger Speicherzyklen verbraucht werden, indem es die SSD immer optimal vorbereitet auf Schreibvorgänge hält. Und TRIM sorgt so dafür, dass die SSD immer schnell bleibt! Denn Schreibvorgänge brauchen vergleichsweise lange auf einer SSD!

Ich hoffe, du hast das Prinzip jetzt verstanden. Und deshalb bringt dir eine Vollverschlüsselung nichts. Du würdest damit nur TRIM deaktivieren! Denn wenn man vollverschlüsselt, ist ja praktisch für die SSD gesehen die ganze SSD voll!

SmartSirius schrieb:

Ich hoffe, du hast das Prinzip jetzt verstanden. Und deshalb bringt dir eine Vollverschlüsselung nichts. Du würdest damit nur TRIM deaktivieren! Denn wenn man vollverschlüsselt, ist ja praktisch für die SSD gesehen die ganze SSD voll!

Zum Vergrößern anklicken....

Ok, das hatte ich vermutet.
Aussage von Fujitsu: "Die Abschaltung von FDE ist weder möglich noch nötig, da es keinen Performancevorteil bringen würden"

Da es ein H710 sein soll, also einen mit HDD nehmen (halt einen Monat oder länger warten) und dann selbst irgendwann eine SSD einbauen. Da H710 nur mit FDE SSD's erhältlich sind.

Danke hat geholfen, dann nehme ich keine mit FDE.
Gruß nehonimo

@ nehonimo:

Das ist etwas anderes. Wenn Fujitsu eine SSD-interne Verschlüsselung meint, ist das OK. Das BEEINTRÄCHTIGT TRIM NICHT! Die werden dann irgendwelche Mechanismen dafür integriert haben (das ist wie bei Sandforce-SSDs). Genau kann dir das nur Fujitsu sagen. Aber man sollte auf keinen Fall die gesamte SSD mit einer Software verschlüsseln. Weil dann TRIM sofort ausfällt aufgrund der zu hohen Speicherplatz-Nutzung.

Grund: Es bleibt nur noch der Spare-Platz frei (das sind zwischen 7 und 20% der SSD-Kapazität! Z.b. bei einer 64 GB SSD sind das grob gesagt 4 GB die für den Notfall vorgesehen sind => Ersatzspeicherzellen). Und das reicht nicht für TRIM! Das mit den 80-90% gilt immer noch. Sobald diese Schwelle erreicht wird, wird die SSD merklich langsamer, wenn TRIM erstmal versagt. Und es werden eben mehr Zyklen verbraucht je Tag.
Die einzigen SSD, bei denen diese Regel nicht greift, sind Sandforce-SSDs. Weil die von vornherein nach einem anderen Prinzip arbeiten und sogesehen gar kein TRIM brauchen! Sandforce-SSD sind von Natur aus mit Kompression versehen. Die quetschen ihre zu schreibenden Daten also vorher nochmal zusammen, um möglichst wenig Daten zu schreiben und so das Schreibvolumen/Tag klein zu halten. Deswegen brauchen die kein Trim. Die haben nichtmal nen separaten Cache-Baustein, weil der eben da nicht benötigt wird. Und deswegen haben diese SSDs in der Regel auch kein TRIM, weil sie ein eigenes Verfahren benutzen und weil diese SSDs mit der Zeit sowieso nichtmehr groß langsamer werden.

Nachtrag: Sandforce-SSDs macht das fehlende TRIM daher im Gegensatz zu standardkonformen SSDs (solche mit herkömmlichem Controller) nichts aus. Sandforce-SSDs gleichen das nämlich mit der Echtzeit-Datenkomprimierung aus. So werden z.b. bei einer Windows 7-Installation statt üblichen 15-20 GB nur etwa 7 GB geschrieben. Das ist eben alles komprimiert. Man darf aber nicht vergessen, dass Sandforce-SSDs genre mal ausfallen.

Hi SmartSirius,

hoffe ich habs jetzt richtig verstanden.
Die SSD im H710 macht also keine Software Verschlüsselung (sondern über die interne HW der SSD). Ich werde auch keine Software Verschlüsselung einsetzen. Also erst mal alles gut.

Dann hatte ich gelesen, dass man die SSD nicht komplett Formatieren soll (wegen dem Wear-Leveling). Ist das mit einer SSD-FDE auch möglich bzw. notwendig?

Gruß Nehonimo

@ nehonimo:

Nein, das hast du falsch verstanden. Die Fujitsu-SSD macht WAHRSCHEINLICH HW-Verschlüsselung. Ob es aber wirklich so ist: Frage bitte dort nach.

Was das SSD-Formatieren angeht: Nein. Du kannst sie schon komplett formatieren. Mach ich doch auch. Man kann sie zwar schneller machen, wenn man weniger Platz formatiert. Aber letztendlich ist das nur kosmetisch und bringt nicht wirklich merkbar etwas Also formatier sie ruhig anständig. Aber bitte Windows 7 auch richtig installieren! Beim "Klonen einer Festplatte/SSD" kann das Aligment nämlich verlorengehen.

FDE war bereits ein Pseudo-Standard für HDDs mit Hardware-Verschlüsselung. Das ganze ist eine Weiterentwicklung des ATA-Passwortes, wodurch im BIOS ein Passwort abgefragt wird, welches mit dem Passwort in der HDD verglichen wurde. Bei den SSDs wird die Verschlüsselung mit dem ATA-Passwort von einigen Controllern unterstützt, z.B. auch die neueren Intel-Controller. Problematisch ist die Verschlüsselung vor allem, wenn der Passwortaustausch über einen TPM-Chip geschieht - in diesem Fall bedeutet ein defektes Mainboard den totalen Datenverlust.

SmartSirius schrieb:

Es ist generell nicht empfehlenswert eine SSD zu 100% (Also Full-Disk-Encryption) zu verschlüsseln.

Zum Vergrößern anklicken....

Stimmt.

SmartSirius schrieb:

Grund liegt im TRIM begründet. TRIM funktioniert ab 80% Füllgrad nur noch sehr bedingt und ab 85-90% Füllgrad GAR NICHT mehr!

Zum Vergrößern anklicken....

Quatsch! Natürlich werden die Vorteile die man durch TRIM haben will geringer, umso voller die SSD ist, aber das TRIM dann nicht mehr funktioniert ist totaler Blödsinn. Hier habe ich schon mal erklärt, wie TRIM und GC funktionieren und zusammenspielen.

TRIM dient dazu GC zu unterstützen und den Zeitpunkt vorzuverlegen, wann der Controller eben erfährt, welche Daten noch benötigt werden. Beim den meißten Cryptographielösungen werden die Partitionen / Platten dauernd gefüllt gehalten indem die Adressen gelöschter Dateien sofort mit Zufallsdaten überschrieben werden. Das hebt die Wirkung von TRIM natürlich auf, wenn durch das sofortige Überschreiben der LBAs erfärht der Controller sowieso gleich, dass die alten Daten die unter den Adressen gespeichert waren jetzt ungültig sind. Die SSD ist für den Controller also ständig 100% gefüllt, wenn man die ganze Platte encrypted oder die encryptete Partition die gesamte Nutzkapazität belegt. Deshalb maximal die Partition encrypten (besser nur die Dateien) und einen Teil unpartitioniert lassen (ab Neuzustand oder nach Secure Erease, nachträglich verkleinern bringt nichts).

@ Holt: Oh Mann. Lesen scheint absolut nicht deine Stärke zu sein. In etwa das, was du jetzt hier geschrieben hast, habe ich genauso oben geschrieben, nur etwas anschaulicher und ausführlicher. Lesen? Denken? Posten? Wie war das nochmal? Im Übrigen vergisst du in deiner Rechnung (die ich oben noch ergänzt habe), dass es auch andere SSDs gibt, die sich nicht auf TRIM stützen, weil sie einfach ein anderes Prinzip haben. Als Beispiel hier z.b. Sandforce.

Gute Nacht, Wolf xD

@ nehonimo: Du hast jetzt deine Antwort. Hab es dir erklärt, wieso man es nicht komplett verschlüsseln sollte. Holt hat das nur ein wenig ergänzt. Aber im Prinzip hab ich das so gesagt. Eine SSD ist eben kompliziert. Und aus diesem Grund sollte man sie auch nicht defragmentieren, da sonst die Zyklen unnötig verbraucht werden. Allerdings ist das bei SLCs ein anderes Thema.

SmartSirius, das ist nicht alles gelesen haben ist richtig, aber ich habe keine Lust immer den ganzen Unsinn von dir zu lesen und alle Fehler einzeln zu korrigieren, zumal es ja in der Vergangenheit ja auch nichts gebracht hat.

Zum Sandforce-Cotnroller nur soviel: Dessen Performance geht natürlich in die Knie wenn man die Daten oder gar die Partition verschlüsselt, denn verschlüsselten Daten kann er dann nicht mehr komprimieren und somit hat er auch nur wenig freien Bereich alls gewöhnlich zur Verfügung. Wenn er gewöhnlich den ganzen Inhalt auf 70% komprimiert, dann hat er selbst dann noch 30% frei, wenn die Partition komplett gefüllt wird. Bei verschlüsselten Daten bleibt ihm dann aber auch nur seine Spare Area die der Hersteller vorgesehen hat plus dem was man dann noch extra freigelassen hat. Die Spare Area ab Werk ist der Unterschied zwischen dem installierten NAND und der nutzbaren Kapazität abzüglich den Platz für Verwaltungsdaten (Adressemapping, Firmware, Fehlerkorrekturdaten, etc). Auch wenn eine SSD mit 128GiB (128*1024*1024*1024 Byte) installiertem NAND und Sandforrce Cotnroller nur 120GB (120*1000*1000*1000 Byte) Nutzkapazität hat und andere wie die m4 128GB, so hat die SF deswegen nicht automatisch mehr freien Platz zur Verfügung, denn alleine die RAISE Fehlerkorrektur des SF braucht immer eine ganze Die für sich alleine. Durch die Datenkompression dürfe auch die Zuordnung von LBAs zu Flashadressen mehr Platz als bei anderen SSDs beanspruchen.

Ob dieser freie Platz wie bei einer HDD ganz oder teilweise solange ungenutzt als Reserve für ausgefallene Blöcke bleibt (wie bei einer HDD) oder ständig mitgenutzt wird und sich bei Ausfall von Blöcken entsprechend reduziert, hängt vom Controller bzw. dessen FW ab.

Hmm, habe nicht alles im Detail verstanden.

Also bei HW-Verschlüsselung von SSD's wird die komplette SSD verschlüsselt, welches keine (besonderen) Probleme bei Performance machen. Je nach Controler wird auch der Trim Befehl genutzt was bei "nicht SF Controlern" wichtig ist?

Da der Laptop TPM 1.2 hat, wird er wohl auch die SSD damit verschlüsselt sein. Motherboard kaputt, --> Daten futsch. Aber frage ich nochmal bei Fuji nach, wie verschlüsselt wird.

Ich habe versucht die Toshiba
THNSFC256GBSJ, 256GB CJFA0203
irgendwo auf der Toshiba Seite zu finden. Ohne Erfolg.
Weis jemand was genaueres über die Platte? Sanford oder Marver Controler?
Taugt die Platte was?

Danke und Gruß
Nehonimo

Toshibas SSDs gibt es im Handel praktisch nicht zu kaufen, die sind nur an OEMs gegangen. Die SSD dürfte aber den Toshiba Controller enthalten, der auch auf Kingstons SSDNow V100+ zusammen mit Toshiba NANDs verbaut war. Es handelt sich dabei um einen JMicron der speziell auf Toshiba NANDs angepasst ist. Die seq. Transferraten sind gut, aber die Randomwerte sehr bescheiden. Dafür sollen die recht zuverlässig und problemlos sein.

Vielen Dank,
Zuverlässig höhrt sich ja gut an.
Schlechte Randomwerte hören sich ja nicht so gut an.
Besser als HDD Notebook Platten sind die aber schon, oder?
Kannst du das etwas einordnen, wie schnell/langsam diese bei Random sind?

Es ist ja immerhin die Systemplatte, wo bestimmt die Random Zugriffe wichtig sind.

Gruß nehonimo

nehonimo schrieb:

Schlechte Randomwerte hören sich ja nicht so gut an.
Besser als HDD Notebook Platten sind die aber schon, oder?

Zum Vergrößern anklicken....

Bei Notebookcheck haben die ja das SSD mit AS-SSD getestet. Das sind in der Tat gegenüber aktuellen SSDs nicht ganz so tolle 4k Werte. Aber lass mal AS-SSD auf einer HDD laufen! Oder nein, mach es lieber nicht, denn der Test dauert bis morgen abend, weil die 4k Werte auf der HDD im Bereich von 0,x MB/s liegen. Und das selbst auf einer schnellen 7200K Desktop-Platte!

Eben, wiee etheReal schon sagt: Die sind noch immer deutlich besser als eine HDD, aber eben vielleicht im Bereich unter den SSD die langsamsten. HDDs liegen irgendwo um 100IOPS, gute SSD um 50.000IOPS und wenn die dann nur ein paar Tausend IOPS hat, dann ist das eben wenig für eine SSD aber immer noch sehr viel mehr als eine HDD. Aber wenn wir von Verschlüsselung reden, dann kostet das immer Performance und vor allen bei den Randomwerten.

Danke fürs Einordnen.

Holt schrieb:

Aber wenn wir von Verschlüsselung reden, dann kostet das immer Performance und vor allen bei den Randomwerten.

Zum Vergrößern anklicken....

Gilt das auch bei Hardware Verschlüsselung?

Kann man so eine SSD die HW Verschlüsselt ist auch ohne Verschlüsselung betreiben (Nach neu Installation)?
Ich stelle mir vor, ich kauf den Laptop und finde irgendwie die Installationsnummer raus. Um Win 7 neu zu installieren, nachdem ich irgendwie die HW Verschlüsselung ausgeschaltet habe und die SSD neu Formatiert habe.
Geht das so? Sorry für die Frage, aber ich hab noch nie mit einer HW verschlüsselten Platte zu tun gehabt.

Gruß Nehonimo.

nehonimo schrieb:

Ich habe versucht die Toshiba
THNSFC256GBSJ, 256GB CJFA0203
irgendwo auf der Toshiba Seite zu finden. Ohne Erfolg.
Weis jemand was genaueres über die Platte? Sanford oder Marver Controler?
Taugt die Platte was?

Danke und Gruß
Nehonimo

Zum Vergrößern anklicken....

ich habe letztens eine 120er Toshiba im Arbeitsbook verschlüsselt getestet, soweit ich sehen konnte brach die Leistung trotz voller befüllung nicht ein. (ein großer leistungsverlust war in unseren Anwendungen nicht festzustellen, klar sequential write hat sich ca. um 1/3 verringert auf ca. 120mb/s, aber dennoch mehr als genug leistung im vergleich zu den schrottigen hdds)

Klar die Leistung kann nicht mit highend ssd mit halten, aber ich denke für verschlüsselungsgeschichten sind vielleicht diese Controller besser geeignet? (Sofern die Leistung so robust bleibt)

(Getestet mit Bitlocker)

nächste woche könnte ich dir benchmark werte vorher nacher posten.

nehonimo schrieb:

Gilt das auch bei Hardware Verschlüsselung?

Zum Vergrößern anklicken....

Das hängt wohl von der Hardware ab, aber da ich sowas nicht nutze, kann ich dazu nichts sagen.

Hier habe ich einen Artikel dazu gefunden. Demnach ist die Verschlüsselung bei Intel 320er Reihe wohl geeignet und kann eine vergleichbare starke Softwareverschlüsselung ersetzen. Vom Sandforce kann man das aber nicht behaupten und zum Samsung 830 gibt es keine Aussage.