Trwałe kasowanie danych: mit, czy naciąganie producentów?

Od dawna pokutuje przekonanie, że aby naprawdę bezpiecznie usunąć dane z twardego dysku, należy nadpisać je kilkukrotnie, używając różnych wzorców bitów. Przeczy mu fakt, że firmy zajmujące się odzyskiwaniem danych otwarcie przyznają, że jeśli cały dysk został zapisany zerami tylko raz, to wszystkie dane są nieodwracalnie stracone.

Craig Wright, ekspert zajmujący się informatyką śledczą, uważa, że należy wreszcie skończyć z legendą. Wraz z kolegami przeprowadził specyficzne studium, w którym przyjrzał się bliżej dyskom twardym stworzonym przez różnych producentów na przestrzeni kilku ostatnich lat. Obserwował pod mikroskopem magnetycznym powierzchnię talerzy po nadpisaniu ich danymi. W efekcie powstał zaprezentowany na konferencji ICISS 200. dokument, który Springer AG opublikował w serii zatytułowanej "Lecture Notes in Computer Science" (Craig Wright, Dave Kleiman, Shyaam Sundhar, "Overwriting Hard Drive Data: The Great Wiping Controversy").

Badacze doszli do wniosku, że po jednym nadpisaniu danych na dysku, niezależnie od tego, czy był to stary 1-gigabajtowy napęd, czy urządzenie wyprodukowane niedawno (w czasie trwanie badań), prawdopodobieństwo odzyskania danych jest praktycznie zerowe. Dokładniej rzecz ujmując: odzyskanie pojedynczego bitu o znanej lokalizacji jest możliwe w 5. procentach (w jednym z prezentowanych przykładów). Jednak aby odczytać w ten sposób bajt, pozycjonowanie głowicy musi być powtórzone osiem razy, a prawdopodobieństwo sukcesu spada do 0,97 procent. Łatwo sobie wyobrazić, że odzyskiwanie danych dłuższych niż bajt jest odpowiednio trudniejsze.

Mimo to producenci oprogramowania wymazującego informacje z twardych dysków proponują swoim klientom narzędzia, które nadpisują dane nawet 3. razy, polegając na standardach stworzonych kilkadziesiąt lat temu i przeznaczonych dla dyskietek. Użytkownik, kupując taki program, zyskuje jedynie poczucie satysfakcji wynikające z rzekomo solidnie wykonanej przez aplikację pracy, gdy tymczasem po prostu traci czas potrzebny na wielokrotne powtórzenie zapisu.

O wiele ważniejsze z punktu widzenia bezpieczeństwa jest upewnienie się, że wszystkie kopie danej informacji zostały również bezpiecznie skasowane. Jeśli na domowym komputerze klasy PC edytujemy poufny dokument, to nadpisanie tylko zawierającego go zbioru jest czynnością mało skuteczną, ponieważ podczas pracy z tekstem edytor zapisywał dane w wielu plikach tymczasowych, kopiach zapasowych, plikach wymiany czy tzw. kopiach cieniach (ang. shadow copies). Zauważmy, że nawet popularny, znany z systemów typu Unix, edytor tekstu vi korzysta z pliku swap. Do tego dojść mogą jeszcze wszelkie niezależne od narzędzia mechanizmy pamiętania stanu systemu plików czy wykonywania kopii bezpieczeństwa. Tak więc, aby mieć pewność, że dane na pewno zostaną usunięte z dysku, należy zamazać całą zawartość dysku, sektor po sektorze. Niestety, zajmuje to czas i jest mało praktyczne w przypadku pojedynczego dokumentu, chociaż w każdej dystrybucji systemu GNU/Linux można tego dokonać, używając polecenia dd.

Na bezpieczne usuwanie pojedynczych zbiorów trzeba trochę poczekać. Coraz częściej systemy plików w sposób przezroczysty dla aplikacji obsługują dziennik zmian (journal) oraz kopie stanów (snapshots) i wobec tego, nawet gdyby edytor ostrożnie działał i bezpiecznie usuwał plik, to i tak kopie zawartych w dokumencie informacji będą zachowane w kilku miejscach. Istnieje wprawdzie znane z systemów typu Unix narzędzie shred, jednak ono również nie będzie skuteczne –. nawet nadpisując zawartość kilkadziesiąt razy – jeśli system plików wyposażony jest w wymienione mechanizmy. Aby bezpieczne kasowanie pojedynczych dokumentów było możliwe, muszą zostać spełnione dwa warunki. Pierwszy to obsługa poufnych zbiorów w jądrze systemu operacyjnego, a drugi to użycie tego mechanizmu przez aplikacje. Można to zrealizować wprowadzając dodatkowy atrybut pliku, który informuje system o tym, że zawiera on wrażliwe z punktu widzenia bezpieczeństwa dane. Przykładowy edytor tekstu, pracując z dokumentem pochodzącym z takiego zbioru,
ustawiałby taką samą flagę dla wszystkich tworzonych przy okazji edycji plików. Z kolei system operacyjny, obsługując go, wyłączałby obsługę dziennika, a tuż przed skasowaniem wypełniał zawartość zerami.

Użytkownicy dystrybucji systemu GNU/Linux mogą już dziś poprawić trochę swoje bezpieczeństwo w tej materii, przenosząc dziennik zmian systemu plików na osobny dysk lub partycję, których zawartość jest szyfrowana z użyciem podprogramu podłączonego do urządzenia loop lub mechanizmu LUKS.

wydanie internetowe www.heise-online.pl