Υπολειπόμενα δεδομένα (remanence)

Όταν ο χρήστης διαγράφει ένα αρχείο, το λειτουργικό σύστημα συνήθως αφαιρεί μόνο την καταχώρησή του στο ευρετήριο του συστήματος αρχείων και σημειώνει τον χώρο ως ελεύθερο. Τα πραγματικά bits παραμένουν στο μέσο μέχρι να τα επανεγγράψουν άλλα δεδομένα, κάτι που μπορεί να μην συμβεί ποτέ. Μέχρι τότε, ένα διαγραμμένο αρχείο συχνά μπορεί να ανακτηθεί με ευρέως διαθέσιμα εργαλεία. Το άδειασμα του κάδου και η γρήγορη διαμόρφωση ενός τόμου αλλάζουν ελάχιστα, γιατί και τα δύο επιδρούν στο ευρετήριο, όχι στα ίδια τα δεδομένα.

Η επανεγγραφή λειτουργεί καλά στα μαγνητικά μέσα, αν και αμυδρά ίχνη μπορεί να μείνουν στα άκρα των κομματιών. Τα μέσα flash είναι δυσκολότερα στον έλεγχο: ο ελεγκτής μετακινεί δεδομένα ανάμεσα σε κελιά, και η εντολή TRIM απλώς δηλώνει ότι κάποια μπλοκ δεν χρειάζονται, χωρίς εγγύηση. Στη RAM, το σενάριο «cold boot» μπορεί να εξαγάγει κλειδιά κρυπτογράφησης από μηχάνημα σε λειτουργία.

Επειδή η remanence δεν μπορεί να θεωρηθεί ανύπαρκτη, υπάρχουν πρακτικές απολύμανσης μέσων που την αφαιρούν σκόπιμα. Περιλαμβάνουν την επανεγγραφή ολόκληρου του μέσου, όπου το επιτρέπει, τις εντολές secure erase και purge του κατασκευαστή που είναι ενσωματωμένες στη συσκευή, την απομαγνήτιση και τον φυσικό θρυμματισμό μέσων που εγκαταλείπουν τον οργανισμό.

Για τα SSD, η πρακτική προσέγγιση είναι η κρυπτογραφική διαγραφή: η καταστροφή του κλειδιού κρυπτογράφησης καθιστά το υπόλοιπο κρυπτοκείμενο μη ανακτήσιμο. Οδηγίες κύκλου ζωής, όπως η NIST SP 800-88, αντιστοιχίζουν τη μέθοδο απολύμανσης στο μέσο και στην ευαισθησία των δεδομένων που φιλοξενούσε.

Η remanence μετατρέπει κάθε απόσυρτο laptop, πωλημένο διακομιστή ή επιστραμμένο μισθωμένο δίσκο σε πιθανή αποκάλυψη δεδομένων. Εμπιστευτικά έγγραφα, διαπιστευτήρια και κλειδιά έχουν ανακτηθεί επανειλημμένα από μεταχειρισμένα μέσα. Γι' αυτό η απολύμανση μέσων είναι βασική προσδοκία σε ελέγχους ασφαλείας και σε καθεστώτα προστασίας δεδομένων.

Η remanence δεν εξαφανίζεται στο cloud ή στην εικονικοποιημένη αποθήκευση. Απλώς βγαίνει από τα χέρια του πελάτη. Όταν διαγράφεται ένας εικονικός δίσκος, τα μπλοκ του επιστρέφουν σε κοινή δεξαμενή, και το αν μηδενίζονται πριν από την επανεκχώρησή τους εξαρτάται από την πλατφόρμα. Τα snapshots, οι κλώνοι και οι τόμοι thin provisioning πολλαπλασιάζουν τα σημεία όπου υπάρχει ένα μπλοκ. Γι' αυτό οι μισθωτές συνήθως κρυπτογραφούν τα πάντα από την αρχή και θεωρούν την καταστροφή του κλειδιού ως το γεγονός της διαγραφής, το μόνο βήμα που ελέγχουν πλήρως. Στις διαχειριζόμενες υπηρεσίες, η εγγύηση απολύμανσης είναι συμβατική: τι δεσμεύεται να κάνει ο πάροχος όταν απελευθερώνεται ένας τόμος και ποια τεκμήρια παρέχει.

Η απολύμανση που δεν μπορεί να αποδειχθεί δεν ικανοποιεί τον ελεγκτή. Οι ώριμες διαδικασίες απόσυρσης ακολουθούν τρία βήματα. Η καταγραφή που προκύπτει γίνεται επίσης αλυσίδα τεκμηρίων, αν αργότερα βρεθεί ότι μια συσκευή έφυγε από τον οργανισμό με δεδομένα.

1. 1

   Καταγραφή κάθε συσκευής

   Σημειώστε τον σειριακό αριθμό, την κατηγοριοποίηση των δεδομένων, τη μέθοδο, το εργαλείο και την έκδοσή του, τον χειριστή και την ημερομηνία.

2. 2

   Επαλήθευση του αποτελέσματος

   Κάντε δειγματοληπτική επανανάγνωση που να επιβεβαιώνει ότι οι διευθυνσιοποιήσιμες περιοχές δεν επιστρέφουν αναγνωρίσιμα δεδομένα.

3. 3

   Καταστροφή όσων δεν επαληθεύονται

   Όταν η επαλήθευση είναι αδύνατη, για παράδειγμα σε δίσκο που δεν δέχεται πλέον εντολές, η φυσική καταστροφή είναι η τεκμηριωμένη εναλλακτική.

Κάθε συσκευή χρειάζεται μια καταγραφή που διατηρείται μέχρι τη διάθεσή της. Στο απόθεμα υλικού η κάρτα της συσκευής περιλαμβάνει τον σειριακό αριθμό, την κατάσταση και τον υπεύθυνο, ώστε κάθε μηχάνημα να συνδέεται με το αρχείο απόσυρσής του. Η τήρηση αυτού του μητρώου αποτελεί μέρος της διαχείρισης πάγιων IT.

Συχνά λάθη είναι η γρήγορη διαμόρφωση ενός τόμου με την υπόθεση ότι είναι καθαρός και οι πολλαπλές επανεγγραφές σε SSD με την υπόθεση ότι φτάσαμε σε όλα τα κελιά. Επίσης, καθαρίζεται το laptop, αλλά ξεχνιέται το τηλέφωνο, η ταινία αντιγράφων ασφαλείας ή ο εφεδρικός δίσκος σε ένα συρτάρι. Το πιο επικίνδυνο κενό είναι το διάστημα μεταξύ απόσυρσης και διάθεσης, όταν πράγματι χάνονται οι περισσότερες συσκευές.