RAID, Datenschutz und wie das mit den Bits so funktioniert

Das ist keine Anleitung sondern ein Erfahrungsbericht aus einer Schulung die ich zum Thema Datenrecovery im SAN Umfeld gehalten habe.
Die 1,5 Stunden dauernde Schulung war mit rund 50 Leuten aus dem Fachbereich einer größeren Firma gefüllt. Inhalt war eigentlich wie man an gelöschte Daten an dummen Blockspeicherarrays wieder rankommen kann und wie das mit dem "ich bin ein Arraymember" so bei einigen Herstellern so gemacht wird.
So nach einer Stunde war dann eine kleine Fragerunde geplant. Erste Frage war dann wie das mit Dysfunktionalen RAIDs (worum es primär ging) steht und das löste dann die Publikumsmeldung aus "geht nicht, alles verloren". Da ich in der Datenrettung arbeite, habe ich das erst einmal kommentiert: richtig bei SED Drives oder mit crypting controllern, falsch bei allen was sonst so rumläuft, egal ob Software RAID, fake RAID oder Hardware RAID (ungleich RAID2).

Grundaussage: alles was blockweise RAID Volumen aufbaut (RAID0,4,5,6,7,Z1/2/3..... + Kombis daraus) und oben drüber keinen Crypting Layer führt schreibt die Bits wunderschön in einer Reihe (bis zur definierten Strip/Cluster Size) und nur die Parity Blöcke sind real unlesbar.
Folge großer Aufsturm kann gar nicht sein, .... Hersteller von HBA/RAIDs ... und was auch immer: Daten liegen unlesbar auf jedem einzelnen Member und Basta.
Ich habe daraufhin von meinem gehassten Powerpoint abgelassen und bin zu einem Whiteboard gegangen (hoffe ich habe nicht den permanent Edding erwischt) und zeichnete mal einen Datenstrom und einen typ. Mechanismus einer RAID(5) Logik auf.
Nach weiteren 30 Min angeregter Diskussion (sicher 90% waren der Meinung das RAID = Verschlüsselung bedeutet), habe ich dann mit dem Notebook und ein paar SATA Adaptern ein SoftRAID5 mit meinem installierten 2008R2 aufgebaut; vorher die benutzten SSDs genullt und gleiche 4kByte Signaturen daraufgeschrieben in einem x MB großen Loopback.
Dann Array aufgelöst und die HDs einzeln mit dd ausgelesen und via grep gefiltert: tata war natürlich da en masse auf den ersten drei SSDs=> Ernüchterung, dann verneinung: Windows RAID nutzt damit ja keiner, proprietär, so kleine Arrays, böse SSDs, ...nicht richtig gelöscht vorher, ....
=>Das ganze dann erneut unter einem Linux Bootstick (GParted); SSDs kurz mit Nullen gelöscht und dann kurz ausgelesen=> gut auch für die Paranoiker. Dann btrfs init mit eben diesen 3 Membern und R5 initiert; init abgewartet und dann das Array hart abgesteckt und nach einem neuen Reboot mit je nur einer SSD dann via dd ausgelesen und gefiltert: nichts (klar); dann wieder mit allen Membern hochgefahren, gemountet, die Suchsignatur (war ein openssl public Key mit 4k Inhalt) via Stick und Loopback mehrere hundert MB vollgeschrieben, runtergefahren, alle members abgesteckt, W2k8R2 gestartet, SSD einzeln angesteckt und tata wieder gefunden=> raunen, gut anderes Notebook mit GParted CD (es wird schlimmer ihr seht) gestartet, dd auf die SSD angesetzt und wieder das selbe Ergebnis.

Je weiter das lief (3 Stunden waren nun vergangen) umso weniger Zweifler gab es , 10% hardcore Paranoia Anhänger blieben bis zum Schluß. Daraus folgte dann der Datenschutzbeauftragte dieser Firma, welcher mir dann mitteilte das deren ServerHDs ohne Rückfrage immer einzeln verschrottet oder zum Austausch gegeben wurden, im sicheren (un)Wissen das die Daten nicht wiederherstellbar seien. Dann kam der Rechenzentrumsleiter (es waren nun 4 Stunden vergangen) dazu sowie der Gewerksnehmer für den Speicherbereich und langes Reden: keiner war Schuld denn jeder kennt dieses Problem, schlecht nachvollziehbar und wirtschaftlich nicht vertretbar alles Schreddern lassen zu müssen und SED ist sowieso schon in Ausschreibung und mit den neuen ISE HDs geht ja auch ein löschen wenn die HD nicht mehr geht (...eigentlich nur wenn der Controller sein immer benutztes Passwort vergisst) und ausgetauscht werden muss,..... Dann hat noch einer eine alte (NetApp) Array HD angebracht zusammen mit einem Rechner inkl. SAS HBA und auch dort konnten wir den kurzen Imageauszug wunderschön reintext lesen (danke an strings von sysinternals).

Nach 5 Stunden bei der Firma bin ich dann total irritiert in meine Firma zurück und dort zu meinem Bereichsleiter gerufen worden: die Fremdfirma (atos) und die auftraggebende Firma (für den Vortrag) hätten sich beschwert welche revolutionären Unwahrheiten ich da verkündet habe. Sie haben sich bei deren Dienstleistern versichern lassen das dies rein technisch nicht geht und ich dort erst wieder erscheinen soll wenn ich meine "Hausaufgaben" gemacht habe. Da ich bisher noch nie inhaltlich gerügt wurde (ich überziehe gerne....) wollte er meine Seite dazu mal hören.

Erstaunlich was mir da so nach 23 Jahre in dem Bereich noch so passieren kann und wie ignorant IT Leitung sein kann. Ein CISO hätte wohl genau anders herum reagiert (was mir auch nicht ganz geheuer ist). Evtl. habe ich ja ein paar Leuten gezeigt das mit Arbeit man an vieles rankommt, das zahlt sich nur im alltäglichen Betrieb selten aus. HD/SSD/Tapes aber einfach so auszutauschen und ungelöscht (weil nicht mehr löschbar oder Kontroller defekt) ist schon bedenkenswert....

Gruß
Sam