[Ungelöst] Bitlocker - wie kann ich die externen Schlüssel löschen?

[Dwayne_Johnson]

Weiß jmd, wie ich die externen Schlüssel, bis auf den Letzten von meinem Datenlaufwerk löschen kann?

Letzter Eintrag in der Liste, ist der aktive Schlüssel...

Im OS werden die wohl nicht abgelegt, weil ich zum Test ein frisches OS geladen hab. Auf dem Daten-Laufwerk selbst auch nicht. Bliebe nur noch das MB selbst

Dem MB hab ich vorhin ein neues Updates verpasst. Dabei sollte doch ALLES gelöscht werden oder nicht?

 

[BobbyD]

Im OS werden die wohl nicht abgelegt, weil ich zum Test ein frisches OS geladen hab. Auf dem Daten-Laufwerk selbst auch nicht. Bliebe nur noch das MB selbst

Dem MB hab ich vorhin ein neues Updates verpasst. Dabei sollte doch ALLES gelöscht werden oder nicht?

Interessant, dann wohl auf dem Laufwerk selbst. Wüsste zumindest nicht, was dagegen spräche.

Weiß jmd, wie ich die externen Schlüssel, bis auf den Letzten von meinem Datenlaufwerk löschen kann?

manage-bde -protectors scheint das zu können.

manage-bde -protectors -get C:

 

[Dwayne_Johnson]

Konnte alle unnötigen Schlüssel mit "manage-bde -protectors -delete ..." löschen
Allerdings verliert man die Verknüpfung zu den *.bek´s

Aber mit "Macrium Reflect" (Backup-Software) konnte ich alle *.bek´s und Wiederherstellungsschlüssel aus dem OS herausextrahieren (rechts die entpackte *.wim). Die *.bek´s von Reflect sind etwas größer, als die orginal-bek´s weil es ext. *bek´s sind

Hätte es gerne mit Boardmitteln gemacht, aber irgendwie klappt es nicht

 

[Spieluhr]

Dem MB hab ich vorhin ein neues Updates verpasst. Dabei sollte doch ALLES gelöscht werden oder nicht?

Ist jetzt eine Vermutung meinerseits aber da BT ja definitiv auch hardwareseitig durch die IMEI gesteuert wird (wie so ziemlich alles), könnten die im TPM Modul hinterlegt worden sein.
Also nein, wenn das so sein sollte wäre das ja fatal wenn die BT Schlüssel mit gelöscht werden würden und selektieren kann man da nicht.

ps: es gibt zwar die Möglichkeit (wenn dir das Board diese Option offiziell bietet) über TPM Device Selection fTPM bzw. dTPM zu deaktivieren, nur dass ist eine Option die man mit großer Vorsicht genießen sollte, denn dann sind alle Daten weg, dass TCG-EFI Protokoll und die INT1A Schnittstelle nicht mehr verfügbar. Dazu kommt dann halt, die Validierung mit der IMEI die dann auch Probleme bereiten dürfte, da niemand (außer halt Intel) weiß, ob da nicht noch irgendwo in den IMEI Areas eine Art "Sicherheitskopie" der Schlüssel schlummern, die im Notfall (zb. Wechsel/Ausfall des TPM Moduls nach validierung einfach zurück geschrieben werden). Und in die IMEI kommst du definitiv nicht rein. Das ist Intels heiliger Gral.

edit: ..stelle ich mir also alles "über Boardmittel" sehr schwierig vor, wenn dass so sein sollte. Vermutung liegt jedenfalls nahe, da TPM sich dafür anbietet. Also bleibt ja nur der Weg, den du in Post #3 gewählt hast.