OneDrive-data niet verwijderd bij pc-reset

"Bestanden kunnen mogelijk aanwezig blijven na het resetten van een Windows-apparaat", omschrijft Microsoft dit datalek. Dit betreft bijvoorbeeld lokaal opgeslagen bestanden die via OneDrive gesynchroniseerd worden met Microsofts cloudopslag. Bestanden die via OneDrive cloud-only zijn, worden niet geraakt door deze bug. Maar bestanden waarvoor synchronisatie aan staat, kunnen na een systeemreset dus onbedoeld achterblijven. De bug raakt Windows 10 vanaf de 20H2-release (herfst van 2020) tot en met de 21H2-releases van Windows 10 en opvolger 11.

'Omleiding' van bestanden

De boosdoener in het mogelijke scenario van achtergebleven en onversleutelde data schuilt in apps die zogeheten reparse data gebruiken. Bijbehorende reparse points zijn collecties van gebruikersgedefinieerde gegevens die in een formaat staan dat wordt begrepen door enerzijds de app die de data opslaat en anderzijds een filter van het bestandssysteem. Reparse points worden bijvoorbeeld gebruikt door Windows' bestandssysteem NTFS om system links te implementeren, waarmee bestanden en bestandslocaties zijn 'om te leiden'.

Microsofts eigen apps OneDrive, wat ingebouwd zit in Windows, en OneDrive for Business gebruiken dergelijke omleidingen om de schijnbare opslaglocatie te koppelen aan de daadwerkelijke plek waar data staan opgeslagen. Mogelijk dat bij het resetten van Windows de verwijzingen worden gewist vóórdat de eigenlijke data, op de 'ware locatie' worden gewist. Daardoor kan de eigenlijke data dan niet meer worden gewist.

Lokaal en op afstand

Wanneer een beheerder of gebruiker de resetfunctie van Windows activeert, is er de optie om ook alle gebruikersgegevens te wissen. Door de bug gebeurt dat niet geheel. Data van apps met reparse points kunnen achterblijven. Dit geldt zowel voor een handmatige inschakeling direct vanuit Windows als ook voor een reset op afstand. Laatstgenoemde valt te initiëren vanuit een MDM-applicatie (Mobile Device Management) of een beheerpakket zoals bijvoorbeeld Microsoft Intune.

Microsoft werkt nu nog aan een fix voor deze fout. Ondertussen reikt de softwaremaker twee manieren aan waarmee dit probleem valt aan te pakken. De eerste is het datalek voorkomen door OneDrive te ontkoppelen vóórdat de reset van Windows wordt geactiveerd. De tweede manier is voor systemen waar een reset al is uitgevoerd; daar raadt Microsoft aan de Windows.old-map te wissen.

Bitlocker uitgeschakeld

Die laatste oplossing is nodig vanwege het feit dat de reset-operatie de hele map met gebruikersgegevens verplaatst naar een Windows.old-map. Bij upgrades van Windows wordt die map aangemaakt om de vorige installatie te herbergen, zodat gebruikers de upgrade nog kunnen terugdraaien. Bij een reset wordt Windows' Bitlocker-versleuteling van data ongedaan gemaakt, waardoor de achterblijvende data in Windows.old dan toegankelijk zijn, legt de ontdekker van deze bug uit in een uitgebreide blogpost.

Opvallend is nog dat Microsoft in zijn workarounds alleen het eigen OneDrive behandelt, maar dat het meldt dat de bug geldt voor alle apps die reparse points gebruiken. Mogelijk dus dat het probleem nog wat groter is.