Beheer

Windows
Windows, bestanden

OneDrive-data niet verwijderd bij pc-reset

Reset-functie Windows 10 en 11 laat gegevens onversleuteld achter.

© Microsoft
1 maart 2022

Reset-functie Windows 10 en 11 laat gegevens onversleuteld achter.

Een bug in zowel Windows 10 als Windows 11 blijkt bestanden niet goed te wissen: resetten van het systeem laat sommige gebruikersgegevens open en bloot achter. Dit raakt ook data op systeemschijven die versleuteld zijn. Erger nog: versleutelde gegevens zijn na een schijnbaar gelukte reset onversleuteld, en dus toegankelijk voor derden.

"Bestanden kunnen mogelijk aanwezig blijven na het resetten van een Windows-apparaat", omschrijft Microsoft dit datalek. Dit betreft bijvoorbeeld lokaal opgeslagen bestanden die via OneDrive gesynchroniseerd worden met Microsofts cloudopslag. Bestanden die via OneDrive cloud-only zijn, worden niet geraakt door deze bug. Maar bestanden waarvoor synchronisatie aan staat, kunnen na een systeemreset dus onbedoeld achterblijven. De bug raakt Windows 10 vanaf de 20H2-release (herfst van 2020) tot en met de 21H2-releases van Windows 10 en opvolger 11.

'Omleiding' van bestanden

De boosdoener in het mogelijke scenario van achtergebleven en onversleutelde data schuilt in apps die zogeheten reparse data gebruiken. Bijbehorende reparse points zijn collecties van gebruikersgedefinieerde gegevens die in een formaat staan dat wordt begrepen door enerzijds de app die de data opslaat en anderzijds een filter van het bestandssysteem. Reparse points worden bijvoorbeeld gebruikt door Windows' bestandssysteem NTFS om system links te implementeren, waarmee bestanden en bestandslocaties zijn 'om te leiden'.

Microsofts eigen apps OneDrive, wat ingebouwd zit in Windows, en OneDrive for Business gebruiken dergelijke omleidingen om de schijnbare opslaglocatie te koppelen aan de daadwerkelijke plek waar data staan opgeslagen. Mogelijk dat bij het resetten van Windows de verwijzingen worden gewist vóórdat de eigenlijke data, op de 'ware locatie' worden gewist. Daardoor kan de eigenlijke data dan niet meer worden gewist.

Lokaal en op afstand

Wanneer een beheerder of gebruiker de resetfunctie van Windows activeert, is er de optie om ook alle gebruikersgegevens te wissen. Door de bug gebeurt dat niet geheel. Data van apps met reparse points kunnen achterblijven. Dit geldt zowel voor een handmatige inschakeling direct vanuit Windows als ook voor een reset op afstand. Laatstgenoemde valt te initiëren vanuit een MDM-applicatie (Mobile Device Management) of een beheerpakket zoals bijvoorbeeld Microsoft Intune.

Microsoft werkt nu nog aan een fix voor deze fout. Ondertussen reikt de softwaremaker twee manieren aan waarmee dit probleem valt aan te pakken. De eerste is het datalek voorkomen door OneDrive te ontkoppelen vóórdat de reset van Windows wordt geactiveerd. De tweede manier is voor systemen waar een reset al is uitgevoerd; daar raadt Microsoft aan de Windows.old-map te wissen.

Bitlocker uitgeschakeld

Die laatste oplossing is nodig vanwege het feit dat de reset-operatie de hele map met gebruikersgegevens verplaatst naar een Windows.old-map. Bij upgrades van Windows wordt die map aangemaakt om de vorige installatie te herbergen, zodat gebruikers de upgrade nog kunnen terugdraaien. Bij een reset wordt Windows' Bitlocker-versleuteling van data ongedaan gemaakt, waardoor de achterblijvende data in Windows.old dan toegankelijk zijn, legt de ontdekker van deze bug uit in een uitgebreide blogpost.

Opvallend is nog dat Microsoft in zijn workarounds alleen het eigen OneDrive behandelt, maar dat het meldt dat de bug geldt voor alle apps die reparse points gebruiken. Mogelijk dus dat het probleem nog wat groter is.

Reactie toevoegen
De inhoud van dit veld is privé en zal niet openbaar worden gemaakt.