Остаточность данных — это остаточное представление цифровых данных , которое сохраняется даже после попыток удалить или стереть данные. Этот остаток может возникнуть в результате того, что данные остались нетронутыми в результате номинальной операции удаления файла , в результате переформатирования носителя, при котором не удаляются данные, ранее записанные на носитель, или в результате физических свойств носителя , которые позволяют восстановить ранее записанные данные. Остаточность данных может сделать возможным непреднамеренное раскрытие конфиденциальной информации , если носитель данных окажется в неконтролируемой среде ( например , выброшен в мусорное ведро (мусор) или утерян).
Для борьбы с остаточными данными были разработаны различные методы. Эти методы классифицируются как очистка, очистка/дезинфекция или уничтожение. Конкретные методы включают перезапись, размагничивание, шифрование и уничтожение носителя.
Эффективное применение контрмер может быть осложнено несколькими факторами, включая недоступные носители, носители, которые невозможно эффективно удалить, современные системы хранения, которые поддерживают историю данных на протяжении всего жизненного цикла данных, а также сохранение данных в памяти, которая обычно считается энергозависимой.
Существует несколько стандартов для безопасного удаления данных и устранения остаточных данных.
Многие операционные системы , файловые менеджеры и другое программное обеспечение предоставляют возможность, при которой файл не удаляется немедленно , когда пользователь запрашивает это действие. Вместо этого файл перемещается в зону хранения (т. е. в «корзину»), что позволяет пользователю легко исправить ошибку. Аналогичным образом, многие программные продукты автоматически создают резервные копии редактируемых файлов, чтобы позволить пользователю восстановить исходную версию или восстановиться после возможного сбоя ( функция автосохранения ).
Даже если явная возможность сохранения удаленных файлов не предусмотрена или когда пользователь ее не использует, операционные системы фактически не удаляют содержимое файла при его удалении, если только они не знают, что требуются явные команды удаления, как, например, на твердом носителе . -государственный привод . (В таких случаях операционная система выдает команду Serial ATA TRIM или команду SCSI UNMAP, чтобы сообщить диску, что удаленные данные больше не сохраняются.) Вместо этого они просто удаляют запись файла из каталога файловой системы , поскольку для этого требуется меньше работы и, следовательно, быстрее, а содержимое файла — фактические данные — остается на носителе . Данные останутся там до тех пор, пока операционная система не использует пространство повторно для новых данных. В некоторых системах также остается достаточно метаданных файловой системы, чтобы их можно было легко восстановить с помощью общедоступного служебного программного обеспечения . Даже когда восстановление стало невозможным, данные, пока они не были перезаписаны, могут быть прочитаны программным обеспечением, которое напрямую считывает сектора диска . Компьютерная криминалистика часто использует такое программное обеспечение.
Аналогично, переформатирование , переразметка или пересоздание образа системы вряд ли приведет к записи во все области диска, хотя все это приведет к тому, что диск будет казаться пустым или, в случае пересоздания образа, пустым, за исключением файлов, присутствующих в образе, для большинства программное обеспечение.
Наконец, даже когда носитель данных перезаписан, физические свойства носителя могут позволить восстановить предыдущее содержимое. Однако в большинстве случаев такое восстановление невозможно путем простого чтения с устройства хранения обычным способом, а требует использования лабораторных методов, таких как разборка устройства и прямой доступ/чтение с его компонентов.
В разделе «Осложнения» даются дополнительные объяснения причин остаточной информации.
Обычно выделяют три уровня устранения остаточных данных:
Очистка — это удаление конфиденциальных данных с устройств хранения таким образом, чтобы была уверенность в том, что данные невозможно будет восстановить с помощью обычных системных функций или программных утилит восстановления файлов/данных. Данные еще можно восстановить, но не без специальных лабораторных методов. [1]
Клиринг обычно представляет собой административную защиту от случайного раскрытия информации внутри организации. Например, перед повторным использованием жесткого диска внутри организации его содержимое может быть очищено, чтобы предотвратить его случайное раскрытие следующему пользователю.
Очистка или дезинфекция — это физическая перезапись конфиденциальных данных из системы или устройства хранения с намерением исключить возможность восстановления данных. [2] Очистка, пропорциональная конфиденциальности данных, обычно выполняется перед освобождением носителя из-под контроля, например, перед удалением старых носителей или перемещением носителей на компьютер с другими требованиями безопасности.
Носители данных становятся непригодными для использования на обычном оборудовании. Эффективность уничтожения средств массовой информации зависит от средства массовой информации и метода. В зависимости от плотности записи носителя и/или метода уничтожения данные могут быть восстановлены лабораторными методами. И наоборот, уничтожение с использованием соответствующих методов является наиболее безопасным методом предотвращения возвращения.
Распространенным методом противодействия остаточным данным является перезапись носителя новыми данными. Это часто называют стиранием или уничтожением файла или диска по аналогии с распространенными методами уничтожения печатных носителей , хотя этот механизм не имеет к ним никакого сходства. Поскольку такой метод часто может быть реализован только в программном обеспечении и может выборочно охватывать только часть мультимедиа, он является популярным и недорогим вариантом для некоторых приложений. Перезапись обычно является приемлемым методом очистки, если носитель доступен для записи и не поврежден.
Самый простой метод перезаписи записывает везде одни и те же данные — часто просто набор нулей. Как минимум, это предотвратит получение данных путем простого повторного чтения с носителя с использованием стандартных системных функций.
В попытке противостоять более продвинутым методам восстановления данных часто предписывались определенные шаблоны перезаписи и несколько проходов. Это могут быть общие шаблоны, предназначенные для уничтожения любых сигнатур трассировки, например семипроходный шаблон: 0xF6, 0x00, 0xFF, случайный, 0x00, 0xFF, случайный; иногда ошибочно относят к стандарту США DOD 5220.22-M .
Одна из проблем перезаписи заключается в том, что некоторые области диска могут быть недоступны из-за ухудшения качества носителя или других ошибок. Перезапись программного обеспечения также может быть проблематичной в средах с высоким уровнем безопасности, которые требуют более строгого контроля над объединением данных, чем может обеспечить используемое программное обеспечение. Использование передовых технологий хранения также может сделать перезапись файлов неэффективной (см. обсуждение ниже в разделе «Осложнения»).
Существуют специализированные машины и программное обеспечение, способные перезаписывать. Программное обеспечение иногда может представлять собой отдельную операционную систему, специально предназначенную для уничтожения данных. Существуют также машины, специально предназначенные для очистки жестких дисков в соответствии со спецификациями Министерства обороны DOD 5220.22-M. [3]
Питер Гутманн исследовал восстановление данных с номинально перезаписанных носителей в середине 1990-х годов. Он предположил, что магнитно-силовая микроскопия может восстановить такие данные, и разработал конкретные шаблоны для конкретных приводных технологий, предназначенные для противодействия таким данным. [4] Эти закономерности стали известны как метод Гутмана .
Дэниел Финберг, экономист частного Национального бюро экономических исследований , утверждает, что вероятность восстановления перезаписанных данных с современного жесткого диска равняется «городской легенде». [5] Он также указывает на « разрыв в 18 + 1/2 минуты » , созданный Роуз Мэри Вудс на записи Ричарда Никсона , обсуждающего взлом Уотергейта . Стертая информация в промежутке не была восстановлена, и Финберг утверждает, что сделать это будет легкой задачей по сравнению с восстановлением современного цифрового сигнала высокой плотности.
По состоянию на ноябрь 2007 года Министерство обороны США считает перезапись приемлемой для очистки магнитных носителей в одной и той же зоне/зоне безопасности, но не в качестве метода очистки. Для последних допустимо только размагничивание или физическое уничтожение. [6]
С другой стороны, согласно специальной публикации NIST 800-88, ред. 1 (стр. 7) 2014 г.: «Для устройств хранения данных, содержащих магнитные носители, один проход перезаписи с фиксированным шаблоном, например двоичными нулями, обычно препятствует восстановлению данных даже если для получения данных будут применены современные лабораторные методы». [7] Анализ Райта и др. методов восстановления, включая магнитно-силовую микроскопию, также приходит к выводу, что для современных накопителей достаточно одного стирания. Они отмечают, что длительное время, необходимое для многократного удаления данных, «создало ситуацию, когда многие организации игнорируют проблему [полностью], что приводит к утечкам и потере данных». [8]
Размагничивание — это удаление или уменьшение магнитного поля диска или накопителя с помощью устройства, называемого размагничивателем, которое было разработано для стираемого носителя. Применительно к магнитным носителям размагничивание может быстро и эффективно очистить весь элемент носителя.
Размагничивание часто приводит к неработоспособности жестких дисков , поскольку стирается низкоуровневое форматирование , которое выполняется только на заводе во время производства. В некоторых случаях вернуть привод в работоспособное состояние можно, проведя его сервисное обслуживание у производителя. Однако в некоторых современных устройствах размагничивания используется такой сильный магнитный импульс, что двигатель, вращающий пластины, может выйти из строя в процессе размагничивания, а обслуживание может оказаться нерентабельным. Размагниченную компьютерную ленту, такую как DLT , обычно можно переформатировать и повторно использовать со стандартным потребительским оборудованием.
В некоторых средах с высоким уровнем безопасности может потребоваться использовать размагничиватель, одобренный для этой задачи. Например, в правительственных и военных юрисдикциях США может потребоваться использовать размагничиватель из «Списка проверенных продуктов» АНБ . [9]
Шифрование данных перед их сохранением на носителе может снизить опасения по поводу остаточного хранения данных. Если ключ дешифрования надежный и тщательно контролируется, он может фактически сделать невозможным восстановление любых данных на носителе. Даже если ключ хранится на носителе, может оказаться проще и быстрее перезаписать только ключ, а не весь диск. Этот процесс называется крипто-шреддингом .
Шифрование может выполняться пофайлово или по всему диску . Атаки с холодной загрузкой — один из немногих возможных методов взлома метода полнодискового шифрования , поскольку нет возможности сохранить простой текстовый ключ в незашифрованном разделе носителя. Дополнительную информацию см. в разделе «Осложнения: данные в оперативной памяти».
Другие атаки по побочным каналам (такие как кейлоггеры , получение письменной заметки, содержащей ключ дешифрования, или криптоанализ с помощью резинового шланга ) могут дать больше шансов на успех, но не полагаются на слабости используемого криптографического метода. Таким образом, их актуальность для данной статьи незначительна.
Полное уничтожение базового носителя данных — наиболее надежный способ противодействия остаточному хранению данных. Однако этот процесс, как правило, трудоемкий, громоздкий и может потребовать чрезвычайно тщательных методов, поскольку даже небольшой фрагмент носителя может содержать большие объемы данных.
К конкретным методам уничтожения относятся:
Носители данных могут иметь области, которые становятся недоступными обычными способами. Например, на магнитных дисках после записи данных могут образовываться новые поврежденные сектора , а на лентах требуются промежутки между записями. Современные жесткие диски часто имеют функцию перераспределения краевых секторов или дорожек, автоматизированную таким образом, что операционной системе не нужно с ней работать. Эта проблема особенно актуальна для твердотельных накопителей (SSD), которые полагаются на относительно большие перемещенные таблицы сбойных блоков. Попытки противодействовать остаточным данным путем перезаписи в таких ситуациях могут не увенчаться успехом, поскольку остатки данных могут сохраняться в таких номинально недоступных областях.
Системы хранения данных с более сложными функциями могут сделать перезапись неэффективной, особенно для каждого файла. Например, журналируемые файловые системы повышают целостность данных, записывая операции записи в нескольких местах и применяя семантику, подобную транзакциям ; в таких системах остатки данных могут существовать в местах «за пределами» номинального места хранения файлов. Некоторые файловые системы также реализуют копирование при записи или встроенный контроль версий , чтобы запись в файл никогда не перезаписывала данные на месте. Кроме того, такие технологии, как RAID и методы защиты от фрагментации , могут привести к записи данных файла в несколько мест либо намеренно (для отказоустойчивости ), либо в виде остатков данных.
Выравнивание износа также может предотвратить стирание данных за счет перемещения блоков между моментом их первоначальной записи и моментом их перезаписи. По этой причине некоторые протоколы безопасности, адаптированные к операционным системам или другому программному обеспечению с функцией автоматического выравнивания износа, рекомендуют выполнять очистку свободного пространства данного диска, а затем копировать множество небольших, легко идентифицируемых «ненужных» файлов или файлов, содержащих другие неконфиденциальные данные, для заполнения как большую часть этого диска, оставляя только тот объем свободного места, который необходим для удовлетворительной работы системного оборудования и программного обеспечения. По мере роста требований к хранилищу и системе файлы «ненужных данных» можно удалять по мере необходимости, чтобы освободить место; даже если удаление файлов «ненужных данных» не является безопасным, их первоначальная нечувствительность сводит практически к нулю последствия восстановления оставшихся от них данных. [ нужна цитата ]
Поскольку оптические носители не являются магнитными, они не стираются при обычном размагничивании. Оптические носители однократной записи ( CD-R , DVD-R и т. д.) также не могут быть очищены путем перезаписи. Перезаписываемые оптические носители, такие как CD-RW и DVD-RW , могут быть подвержены перезаписи. Методы успешной дезинфекции оптических дисков включают расслаивание или истирание металлического слоя данных, измельчение, сжигание, разрушительную электрическую дугу (например, при воздействии микроволновой энергии) и погружение в поликарбонатный растворитель (например, ацетон ).
Исследования Центра магнитной записи и исследований Калифорнийского университета в Сан-Диего выявили проблемы, связанные с стиранием данных, хранящихся на твердотельных накопителях (SSD). Исследователи обнаружили три проблемы с хранением файлов на твердотельных накопителях: [10]
Во-первых, встроенные команды эффективны, но производители иногда неправильно их реализуют. Во-вторых, двойная перезапись всего видимого адресного пространства SSD обычно, но не всегда, достаточна для очистки диска. В-третьих, ни один из существующих методов очистки отдельных файлов, ориентированных на жесткие диски, не эффективен на твердотельных накопителях. [10] : 1
Твердотельные накопители на основе флэш-памяти отличаются от жестких дисков по двум причинам: во-первых, способом хранения данных; и, во-вторых, в том, как алгоритмы используются для управления этими данными и доступа к ним. Эти различия можно использовать для восстановления ранее стертых данных. SSD-накопители поддерживают уровень косвенности между логическими адресами, используемыми компьютерными системами для доступа к данным, и внутренними адресами, которые идентифицируют физическое хранилище. Этот уровень косвенности скрывает уникальные медиа-интерфейсы и повышает производительность, надежность и срок службы SSD (см. выравнивание износа ), но он также может создавать копии данных, которые невидимы для пользователя и которые может восстановить опытный злоумышленник. Было обнаружено, что для очистки целых дисков команды очистки, встроенные в аппаратное обеспечение твердотельного накопителя, эффективны при правильной реализации, а программные методы очистки всего диска работают в большинстве случаев, но не во всех случаях. [10] : раздел 5. При тестировании ни один из программных методов не оказался эффективным для очистки отдельных файлов. В их число вошли такие известные алгоритмы, как метод Гутмана , US DoD 5220.22-M , RCMP TSSIT OPS-II, Schneier 7 Pass и Secure Empty Trash в macOS (функция, включенная в версии OS X 10.3-10.9). [10] : раздел 5
Функция TRIM во многих SSD-устройствах, если она правильно реализована, в конечном итоге сотрет данные после их удаления [11] [ нужна цитация ] , но этот процесс может занять некоторое время, обычно несколько минут. Многие старые операционные системы не поддерживают эту функцию, и не все комбинации дисков и операционных систем работают. [12]
Остаточная память данных наблюдалась в статической оперативной памяти (SRAM), которая обычно считается энергозависимой ( т. е . ее содержимое ухудшается при потере внешнего питания). В одном исследовании сохранение данных наблюдалось даже при комнатной температуре. [13]
Остаточность данных также наблюдалась в динамической памяти с произвольным доступом (DRAM). Современные чипы DRAM имеют встроенный модуль самообновления, поскольку они не только требуют источника питания для сохранения данных, но также должны периодически обновляться, чтобы предотвратить исчезновение содержимого данных из конденсаторов в их интегральных схемах. Исследование выявило остаточную намагниченность данных в DRAM: данные сохраняются от секунд до минут при комнатной температуре и «полную неделю без обновления при охлаждении жидким азотом». [14] Авторы исследования смогли использовать атаку с холодной загрузкой для восстановления криптографических ключей для нескольких популярных систем полнодискового шифрования , включая Microsoft BitLocker , Apple FileVault , dm-crypt для Linux и TrueCrypt . [14] : 12
Несмотря на некоторую деградацию памяти, авторы описанного выше исследования смогли воспользоваться избыточностью способа хранения ключей после их расширения для эффективного использования, например, при планировании ключей . Авторы рекомендуют выключать компьютеры, а не оставлять их в « спящем » состоянии, когда владелец не находится под физическим контролем. В некоторых случаях, например в определенных режимах программы BitLocker, авторы рекомендуют использовать загрузочный пароль или ключ на съемном USB-устройстве. [14] : 12 TRESOR — это патч ядра для Linux, специально предназначенный для предотвращения атак «холодной загрузки» на ОЗУ, гарантируя, что ключи шифрования недоступны из пользовательского пространства и хранятся в ЦП, а не в системной ОЗУ, когда это возможно. Новые версии программного обеспечения для шифрования дисков VeraCrypt могут шифровать ключи и пароли в оперативной памяти в 64-разрядной версии Windows. [15]
{{cite book}}: CS1 maint: другие ( ссылка ){{cite journal}}: Требуется цитировать журнал |journal=( помощь ){{cite journal}}: Требуется цитировать журнал |journal=( помощь ){{cite journal}}: Требуется цитировать журнал |journal=( помощь ){{cite journal}}: Требуется цитировать журнал |journal=( помощь ){{cite journal}}: Требуется цитировать журнал |journal=( помощь ){{cite journal}}: Требуется цитировать журнал |journal=( помощь ){{cite journal}}: Требуется цитировать журнал |journal=( помощь )