Jeśli posiadasz prywatne dane na ostatnim, normalnym dysku twardym - ile przepustek musisz usunąć, aby uniemożliwić ich odzyskanie?
Nie w tym sensie, że zespół sądowy składający się z 20 ekspertów z budżetem 100 milionów euro lub dolarów i 10 lat na przywrócenie kilku bajtów ze znanego adresu z 80% dokładnością, ale kilka osób z kilkoma 1000 € / $ budżet, który nie spędziłby więcej niż dwa tygodnie w pracy i nie wie, gdzie na dysku szukają.
Linux / GNU shredmówi w instrukcji:
-n, --iterations=N
overwrite N times instead of the default (3)
ale z jednej strony słyszałem o sugestii NSA, by zastąpić 27 razy, az drugiej strony profesjonalne firmy do odzyskiwania danych nie mogły odzyskać danych z dysku, który został wyczyszczony tylko raz.
Dowody, dokumenty, dowód?
Uwaga: czym nie jest to pytanie:
- Nie chodzi o złe sektory, w których dane mogą się przesuwać
- Nie chodzi o stare dyski MFM / RLL z początku lat 90
- Nie chodzi o różne narzędzia
- Nie chodzi o metodę (losowe liczby 0s, 0xFF i fantazyjne wzory).
- Nie chodzi o różne techniki bezpiecznego czyszczenia (moc magnetyczna, topienie, wypełnianie piaskiem i obracanie).
- Nie chodzi o specjalne problemy z dyskami flash
hard-drive
data-recovery
secure-erase
nieznany użytkownik
źródło
źródło
Odpowiedzi:
Pewnego razu.
Nowoczesne media magnetyczne są dość wydajne i pozostawiają bardzo mało dowodów na poprzednie pozycje bitów. To, co pozostaje, wymaga mikroskopów elektronowych i / lub zaawansowanych technologicznie skanerów magnetometrycznych (lub jakkolwiek to się nazywa). Wszystkie takie urządzenia są strasznie drogie, a nawet przy najlepszym sprzęcie i najbardziej wykwalifikowanych ekspertach zajmuje to ogromną ilość czasu (pomyśl o latach na jednym talerzu; wszystkie dyski twarde mają wiele talerzy) i ma bardzo wysoką awaryjność.
Jeśli masz do czynienia z tajemnicami rządowymi (takimi jak jest NSA), wtedy pisanie prawdopodobnie nie jest wystarczająco dobre, ponieważ Chiny nie mają problemu z uzyskaniem i używaniem tych urządzeń, ani z zatrudnieniem zespołów setek wyspecjalizowanych ekspertów do ich wykorzystania.
Z drugiej strony, jeśli masz do czynienia tylko z hasłami do bankowości osobistej i tajnym składnikiem pr0n, pojedyncze przejście wystarcza, aby uniemożliwić odzyskanie danych z jakichkolwiek praktycznych środków.
To powiedziawszy, nowoczesne dyski są dość szybkie, a jeśli nie wyczyścisz całego dysku twardego, wiele przebiegów zajmuje tak mało czasu, że naprawdę nie ma powodu, aby ich nie robić. Tak więc, chociaż błąd, który trzeba wielokrotnie zastępować złożonymi wzorami przejść, jest na tyle rozpowszechniony, że całe oprogramowanie „bezpiecznego usuwania” ma domyślnie wiele przebiegów, naprawdę nie ma sensu nadpisywanie tych ustawień domyślnych. Kiedy użyłem
shred(domyślna liczba przejść: 3), pozwoliłem mu wykonać 3 przejścia; kiedy używam Eraser w systemie Windows (domyślna liczba przejść w pliku: 35), pozwalam mu wykonać 35 przejść. (Gumka domyślnie ma tylko jedno przejście podczas usuwania wolnego miejsca na dysku twardym; to również pozwalam na domyślną pracę).Tak więc odpowiedź na twoje pytanie (ile przepustek jest potrzebnych?) Brzmi: „Jeden”. Odpowiedź na twoje dorozumiane pytanie (Czy mam zastąpić domyślne 3 podania Shred?) Brzmi: „Nie”.
Z drugiej strony, jeśli jesteś tajnym agentem rządu, dobrze, jeden przejść naprawdę nie wystarczy, ponieważ zrobić mają Chinach po danych. W takim przypadku należy jednak zapytać przełożonego / opiekuna, jakie są przepisy Twojej agencji dotyczące bezpiecznego usuwania wrażliwych danych, a nie SU. ;-)
Uwaga: nośniki oparte na technologii Flash wykorzystują system o nazwie „poziomowanie zużycia”, aby przedłużyć żywotność urządzenia. Bez wchodzenia w szczegóły, co oznacza ten termin lub przyczyny, oznacza to, że naprawdę nie można bezpiecznie usunąć plików z nośnika flash, chyba że bezpiecznie wyczyścisz cały nośnik, a nawet to nie zawsze gwarantuje, że Algorytmy wyrównywania zużycia nie pozostawiły danych, które nie zostały usunięte, do których nie można było pisać. W przypadku nośników Flash najlepiej jest po prostu zaszyfrować wszystkie wrażliwe dane, które na nie trafią, używając silnego hasła.
Dokumentacja TrueCrypt zawiera doskonałe omówienie tego problemu i sposoby jego rozwiązania.
źródło
To stare pytanie, ale czułem się zmuszony wrzucić moje dwa centy, biorąc pod uwagę, że mam doświadczenie w odzyskiwaniu danych kryminalistycznych.
Zadawane pytanie ma charakter czysto akademicki, więc odpowiedź jest również czysto akademicka. W praktyce zaakceptowana odpowiedź jest poprawna; wystarczy jeden przebieg, aby uniemożliwić odzyskanie danych z dysku. Istnieje jednak powód , dla którego rządy nakazują wielokrotne podanie .
Ludzie myślą o dysku twardym jako urządzeniu cyfrowym; że bity magnetyczne są ułożone w ciasny wzór i „włączane” lub wyłączane przez głowice napędowe. Ale w rzeczywistości dysk twardy jest urządzeniem analogowym, jeśli chodzi o fizykę mediów magnetycznych. Powierzchnia talerzy jest pokryta podłożem pełnym dipoli magnetycznych, które są mniejsze niż kodowane przez nich cyfrowe „bity”. Wystarczająca liczba tych dipoli w jednej orientacji w stosunku do drugiej stanowi rezystancję elektryczną netto na poziomie poszczególnych bitów. To próg rezystancji określa, czy bit jest interpretowany jako 1 czy 0, a nie cyfrowa polaryzacja „wł.” Lub „wył.”.
Jeśli chodzi o elektronikę napędu, sygnał elektryczny pochodzący z głowic jest modulowaną falą sinusoidalną, a nie bitowym strumieniem zer i jedynek. Dokładnie w ten sposób taśmy magnetyczne rejestrowały sygnały audio kilkadziesiąt lat temu - dopiero teraz podłoże jest o wiele gęstsze i używamy matematyki do wydobywania sygnału cyfrowego z analogowego „szumu”.
Teraz fizycznie niemożliwe jest wyprodukowanie talerza w 100% idealnego, a nawet jeśli można, środowisko operacyjne nigdy nie jest w 100% idealne. W skali fizyki, w jakiej działają współczesne dyski twarde, istnieją dosłownie setki czynników, które spiskują, aby stworzyć mikroskopijne niedoskonałości sygnału, i stanowią problem na tyle znaczący, że nawet 1-2% miejsca na typowym dysku to „zmarnowane” na korekcję błędów, aby sobie z nimi poradzić. Dysk twardy jest dosłownie wychodzi z błędów cały czas . Normalne działanie dysku twardego jest w rzeczywistości grą prawdopodobieństwa, w której „dobry” sektor ma jedynie n% prawdopodobieństwo, że dane tam zakodowane są dokładne.
Teraz spójrzmy na przypadek złych sektorów i zobaczymy, jak tę samą technikę można zastosować do dobrych.
Jeśli sektor jest oznaczony jako „zły” (przez kontroler, a nie przez system operacyjny), oznacza to, że prawdopodobieństwo WSZYSTKICH bitów danych w danym sektorze, gdy jest traktowane jako całość, spadło poniżej progu odzysku matematycznego przez algorytmy korekcji błędów napędu. To nie znaczy, że bity są martwe; tylko że kontroler nie może mieć pewności, że są poprawne.
Możesz jednak odzyskać zły sektor, czytając go setki, a może tysiące razy, w zależności od tego, jak duże są szkody. Z każdym przejściem przez „zły” sektor sektor odczytuje nieco inaczej. Chwianie się talerza, temperatura, wibracje, pochylenie zegara itp. Mogą się nieznacznie różnić. Ale jeśli porównasz każde przejście z tysiącem przejść przed nim wystarczająco dużo razy, możesz odzyskać (z nieco mniejszą niż absolutną pewnością), jakie dane zawierał zły sektor, zanim został zepsuty. Właśnie tak działa oprogramowanie do odzyskiwania danych, takie jak SpinRite.
Zastosujmy teraz tę logikę do „dobrego” sektora. Po wyczyszczeniu dysku jednym przejściem kontroler ma 100% pewności, że każdy sektor zawiera dowolny wzorzec bitów, który został wypełniony przez dysk. Ale nadal występują błędy w tych odczytach, a kontroler nadal je poprawia. Niektóre z tych błędów są środowiskowe, ale istnieje duża szansa, że wiele z nich jest również pozostałością wszelkich danych, które istniały przed nadpisaniem sektora.
Pamiętaj, że mówimy o tej samej technologii, której używaliśmy na taśmach audio od dziesięcioleci. Nie wszystkie dipole magnetyczne zostały odwrócone w tym pojedynczym przejściu, więc w hałasie nadal występuje sygnał „ducha”.
Cytując Adama Savage'a (z Pogromców mitów): „Odrzucam twoją rzeczywistość i zastępuję własną”. Jeśli wyjmiesz kontroler napędu (z jego matematyczną pewnością wymazanego wzoru danych) z równania i po prostu spojrzysz na falę sinusoidalną wychodzącą z elektroniki napędu, teoretycznie może być możliwe odtworzenie danych, które były obecne na dysku zanim został wyczyszczony - tak jak to robiliśmy z taśmami audio, które zostały „wymazane”.
Albo może nie. To nie pomogło z brakującymi 18 minutami taśm Nixon Watergate ... A może to? ;-)
Czy to jest praktyczne? Czy takie urządzenie, które potrafi to zrobić, faktycznie istnieje? Może. Może nie. Gdyby tak było, z pewnością byłby to tajemnica państwowa. Ale ponieważ jest to teoretycznie możliwe, musisz teoretycznie się przed tym chronić. Oznacza to wykonywanie wielu przejść z wieloma wzorami bitowymi, aby jak najlepiej szyfrować sygnał ducha.
Jeśli jesteś rządem, który próbuje skasować dane niejawne, należy to rozważyć. Jeśli jest to twoja tajna skrytka pr0n, prawdopodobnie nie jest (chyba że twoja żona pracuje dla NSA).
źródło