Hoe we een NVMe wissen wanneer je een instance vrijgeeft

De NVMe van iedere instance is een LUKS2-volume met een sleutel die bij het aanmaken wordt gegenereerd en in de host-TPM wordt bewaard, verzegeld aan dat instance-ID. Als je de instance vrijgeeft, vraagt die vrijgave de TPM de sleutel te vernietigen — op dat moment is de inhoud van de schijf ciphertext zonder sleutel waar dan ook. Daarna voeren we blkdiscard uit op de namespace en draaien we een verificatiepass van 30 seconden die 2.000 willekeurige LBA’s bemonstert en controleert dat ze als nul uitlezen. Pas daarna gaat de slot terug naar de voorraad. Dit voegt ongeveer 90 seconden toe aan het vrijgeven. Wij vinden dat het waard is.