Secure Erase (ATA)

Veel harde schijven en SSD’s kunnen zichzelf wissen. De daarvoor bestemde opdracht heet Secure Erase en maakt al jaren deel uit van de ATA-standaard. Klinkt eenvoudig – maar in de praktijk hangt het resultaat sterk af van de schijf. Hier leest u hoe de opdracht werkt en waar de grenzen liggen.

Hoe Secure Erase werkt

Secure Erase maakt deel uit van de "Security Feature Set" van de ATA-standaard. Om te voorkomen dat de functie per ongeluk wordt geactiveerd, moet eerst een schijfwachtwoord worden ingesteld. Daarna start de opdracht SECURITY ERASE UNIT het wissen. De schijf meldt vooraf hoe lang het proces naar verwachting duurt. Na succesvolle afronding is het wachtwoord weer verwijderd.

De standaard kent twee varianten:

Variant	Wat er gebeurt (vereenvoudigd)
Normal Secure Erase	Overschrijft het normale gebruikersgegevensgebied, bij HDD’s doorgaans met nullen
Enhanced Secure Erase	Schrijft door de fabrikant gedefinieerde patronen in alle gebruikersgegevensgebieden, inclusief niet meer gebruikte, omgeleide sectoren

Bij SSD’s voeren fabrikanten de opdracht verschillend uit. Sommigen wissen alle flashblokken, anderen vervangen de interne sleutel – dat komt dan overeen met een Crypto Erase.

Beperkingen en risico’s

• Uitvoering per fabrikant: Wat de opdracht precies doet, wordt door de firmware bepaald. Van buitenaf is dat slechts beperkt te controleren. Onderzoek heeft aangetoond dat afzonderlijke schijven gegevens niet volledig hebben gewist.
• Vergrendelde schijven: Veel computers zetten schijven bij het opstarten in een "frozen"-toestand waarin de opdracht is geblokkeerd.
• Afbreken: Wordt het proces onderbroken, dan kan de schijf met ingesteld wachtwoord vergrendeld blijven.
• Verborgen gebieden: Een Host Protected Area of een DCO-gebied kan afhankelijk van de uitvoering onaangeroerd blijven als het niet eerder is opgeheven.
• Geen bewijs: De opdracht levert geen wisrapport op. Voor audits is software nodig die resultaat en serienummer vastlegt.

Afbakening ten opzichte van Sanitize en NVMe

Nieuwere ATA-schijven ondersteunen bovendien de Sanitize-opdracht. Deze bestrijkt uitdrukkelijk alle opslaggebieden inclusief caches en zet het wissen na een stroomuitval voort. NVMe-SSD’s gebruiken eigen opdrachten zoals NVMe Format en NVMe Sanitize. Professionele wissoftware kiest per schijf de passende methode en controleert het resultaat. Een overzicht voor HDD’s en SSD’s biedt onze gids Harde schijven en ssd's veilig wissen.

Relatie met Second IT

Second IT wist HDD’s, SSD’s en mobiele apparaten met Blancco. De software herkent ook verborgen gebieden zoals HPA en DCO en geremapte sectoren en legt elke wisbewerking vast in een digitaal ondertekend wiscertificaat met serienummer. Gegevensdragers die zich niet veilig laten wissen, worden in eigen huis conform DIN 66399 vernietigd. Meer over gecertificeerde gegevensvernietiging.

Veelgestelde vragen over Secure Erase

Is Secure Erase veilig bij SSD’s?

Dat hangt af van de uitvoering door de fabrikant. Veel SSD’s wissen daarmee alle blokken of vervangen de interne sleutel. Omdat dit van buitenaf moeilijk te controleren is, moet het resultaat worden gecontroleerd en per schijf worden vastgelegd.

Wat is het verschil tussen Secure Erase en formatteren?

Bij formatteren maakt het besturingssysteem meestal alleen een nieuw bestandssysteem aan en blijven de gegevens vaak leesbaar. Secure Erase is een opdracht aan de schijf zelf die de gebruikersgegevens wist.

Waarom is de schijf "frozen"?

Veel computers vergrendelen bij het opstarten de beveiligingsfuncties van de schijf, zodat malware geen wachtwoord kan instellen. Zolang deze toestand actief is, kan Secure Erase niet worden uitgevoerd. Wissoftware voor professioneel gebruik heft de vergrendeling gericht op.

Wat is het verschil tussen Secure Erase en Enhanced Secure Erase?

Beide zijn ATA-opdrachten. Het normale Secure Erase overschrijft het normale gebruikersgegevensgebied, Enhanced Secure Erase schrijft door de fabrikant gedefinieerde patronen in alle gebruikersgegevensgebieden, ook in omgeleide sectoren. Hoe grondig beide werken, wordt bepaald door de firmware van de fabrikant.

Werkt Secure Erase bij NVMe-SSD’s?

Nee. Secure Erase is een ATA-opdracht voor SATA-schijven. NVMe-SSD’s gebruiken eigen opdrachten zoals NVMe Format en NVMe Sanitize. Professionele wissoftware kiest per schijf de passende methode en controleert het resultaat.