Komplettverschlüsselung einer SSD mit Bitlocker. Over-Provisioning? Funktioniert TRIM?

[m.fessler]

Hallo Zusammen,

ist es im Falle einer vollständigen Verschlüsselung einer SSD mittels Bitlocker empfehlenswert, einen kleinen Teil der Gesamtgröße als eine unverschlüsselten Partition anzulegen um dem Controller (zusätzlich zum Werkseitigen Over-Provisioning) freien Platz ua. für das Wear-Levelling zur Verfügung zu stellen?

Die Meinungen gehen hier scheinbar auseinander.
Einerseits liest man, dass bei Full-Disk Encryption für den Controller praktisch alle Blöcke belegt sind - dann würde das ja durchaus Sinn machen.
Andererseits soll Bitlocker TRIM unterstützten und somit der Controller den freien Speicherplatz auf der verschlüsselten Partition "erkennen" und somit für "Wartungsaufgaben" mitverwenden können.

Aber funktioniert TRIM wirklich? Das Tool "trimcheck" zeigt mir nämlich bei verschlüsselter Partition das Ergebnis "INDETERMINATE" an.
Unverschlüsselt funktioniert es dagegen einwandfrei (Ergebnis: "TRIM appears to be WORKING").
Mit VeraCrypt dasselbe Ergebnis. (Blockieren des TRIM Befehls in den Einstellungen natürlich nicht aktiv.)

Was stimmt denn nun? Sieht der Controller (trotz TRIM?!) wirklich nur eine volle SSD?

Wie sind Eure Erfahrungen diesbezüglich? Erstellt ihr einen unverschlüsselten Bereich oder "verlasst" ihr Euch rein auf das werkseitige Over-Provisioning?
Gibt es diesbezüglich irgendwelche offizielle Empfehlungen seitens Microsoft?

Danke fürs Lesen und für jeden Hinweis!

Grüße,
Martin

// War mir beim Bereich etwas unsicher... SSD, Sicherheit oder Windows 10? Falls es nicht passt bitte verschieben - Danke!


//edit:
Habe ein paar Tests mit dem Tool "Active Disk Editor" gemacht.
Sofern ich das richtig sehe und verstehe, sind bei einer verschlüsselten Partition tatsächlich fast alle leeren Bereiche mit Daten (anstatt Nuller) befüllt.
Also sieht der Controller tatsächlich nur eine volle SSD?
Warum ist dann von TRIM bei Bitlocker/VeraCrypt die Rede und bei VC wird sogar extra darauf hingewiesen, dass im Falle von TRIM bestimmte "Risiken" (z.B. bezüglich der glaubhaften Abstreitbarkeit) in Kauf genommen werden müssen?
Oder habe ich irgendwo ein Denkfehler?

 

[Tornhoof]

Unter Windows 10 wird der freie Speicher nur noch optional verschlüsselt:
https://docs.microsoft.com/de-de/wi...tlocker-device-encryption-overview-windows-10

 

[Ray519]

@Tornhoof ich meine, das betrifft das nur die initiale Verschlüsselung.

Weil es beides gibt. Es kommt drauf an wer die Verschlüsselung übernimmt. Wenn Bitlocker die Arbeit in Software machen soll, ist für die SSD alles belegt (spätestens nachdem nach der anfänglichen "nur belegt" Verschlüsselung einmal alles beschrieben wurde) und du verlierst performance.

Wenn du aber eine kompatible SSD hast, übernimmt die die Verschlüsselung, und dann kann auch TRIM gehen.
Das macht Sinn, da SSDs sowieso intern ihre Daten verschlüsseln sollten, damit ein Secure Erase nicht alles überschreiben muss, sondern nur den Schlüssel wegwerfen kann.

https://docs.microsoft.com/en-us/windows/security/information-protection/encrypted-hard-drive

Wenn die SSD das handhabt, hat man allerdings keine Kontroller mehr, ob sie das richtig macht. Da gingen mal ein paar Security-Fails durch die IT-News...

Ich glaube aber, dass das nur für Whole-Drive-Encryption funktioniert, und nicht für einzelne Partitionen mit dem normalen Bitlocker Assistent. Bei meiner Samsung 970 Evo gibt es in Samsung Magician eine Option die SSD für "Encrypted Drive" vorzubereiten, bei einer Neuinstallation soll Windows dann automatisch die gesamte SSD mit dieser Selbstverschlüsselung verwenden.