Co właściwie robi usunięcie
W klasycznym systemie plików plik opisują metadane: wpis w katalogu oraz rekord wskazujący bloki z jego treścią. Zwykłe usunięcie kasuje lub oznacza ten rekord i zwraca bloki do listy wolnych. Same bloki pozostają nietknięte, więc treść przetrwa w całości jako remanencja, dopóki system plików nie przydzieli tego miejsca czemuś innemu. Na mało obciążonym woluminie może to nigdy nie nastąpić, a na intensywnie używanym stanie się w ciągu minut. „Usunięty” opisuje więc widoczność pliku, a nie obecność jego danych.
Etapy usuwania
Tylko ostatni etap, czyszczenie, niszczy dane w sensie rzeczywistym, i tylko on może być udokumentowany jako zniszczenie.
- 1
Kosz
Plik zostaje przeniesiony, a nie usunięty. Jest w pełni widoczny i można go przywrócić.
- 2
Opróżniony kosz
Wpis w katalogu zostaje skasowany. Treść trwa jako przestrzeń nieprzydzielona.
- 3
Nadpisany
Nowe dane zapisano na części lub na wszystkich pierwotnych blokach. Odzysk staje się częściowy, a potem niemożliwy.
- 4
Trwale wymazany
Treść zostaje celowo zniszczona: nadpisaniem, wymazaniem kryptograficznym klucza lub poleceniem czyszczenia urządzenia.
Odzyskiwanie i dlaczego działa
Treść przeżywa swoje metadane. Narzędzia odzyskiwania przeszukują przestrzeń nieprzydzieloną w poszukiwaniu rozpoznawalnych struktur: sygnatur plików, nagłówków i znanych układów. Składają pliki bez żadnych informacji katalogowych. Technika ta nazywa się wycinaniem plików (file carving). Praktyka śledcza opiera się na tym, a usunięte dokumenty, fragmenty wiadomości i obrazy są rutynowym znaleziskiem. Ta sama cecha sprawia, że zwykłe usunięcie jest niewystarczającym zabezpieczeniem, gdy urządzenie opuszcza organizację, a to częsta droga do kradzieży danych.
Gdzie zostają kopie
Nawet trwale wymazany plik może przetrwać w innym miejscu, ponieważ nowoczesne systemy automatycznie kopiują treść, często przez kopie zapasowe i usługi synchronizacji. Skuteczne usuwanie zaczyna się od inwentaryzacji: trzeba ustalić, gdzie dane istnieją, a nie tylko jak skasować jedną ich kopię.
| Rodzaj kopii | Co zostaje |
|---|---|
| Kopie zapasowe i migawki | Kopie wykonane przed usunięciem, często objęte zasadami retencji |
| Historia wersji | Wcześniejsze wersje zachowane przez system plików, platformy dokumentów i chmurę |
| Synchronizacja | Kopie na innych urządzeniach i kontach w chmurze, każda kasowana inaczej |
| Pamięci podręczne i podglądy | Miniatury, pliki autozapisu i wpisy indeksu z wydobytą treścią |
| Kolejki wydruku i dzienniki | Dzienniki baz danych i systemu plików, które zarejestrowały treść |
Rodzaj nośnika zmienia mechanikę
Na nośnikach flash (SSD, eMMC, karty pamięci) kontroler sam decyduje o rozmieszczeniu danych, stosując równoważenie zużycia i nadmiarową przestrzeń. Nadpisanie wysłane przez system operacyjny może więc nie trafić w komórki, które przechowywały pierwotne dane. Nadpisywanie sektor po sektorze jest na tych nośnikach niepewne. Uznane metody to polecenie czyszczenia lub bezpiecznego wymazania urządzenia albo wymazanie kryptograficzne: szyfrowanie nośnika od początku i zniszczenie klucza, co czyni cały pozostały szyfrogram bezużytecznym w jednym kroku. Zniszczenie fizyczne pozostaje ostatecznością dla nośników, których nie da się zweryfikować ani uznać za wiarygodne.
Usuwanie jako obowiązek
Ramy ochrony danych wymagają, aby nie przechowywać danych dłużej, niż to konieczne. RODO daje osobom prawo do usunięcia danych w określonych okolicznościach. Harmonogramy retencji, weryfikowalne procedury wymazywania i dokumentacja utylizacji nośników pomagają organizacjom spełniać te obowiązki. Wycofane laptopy, dyski i telefony nie mogą też opuścić organizacji z danymi, które wciąż dają się odzyskać.
Polecenie usunięcia kasuje tylko wskaźnik. Dane znikają dopiero po udokumentowanym zniszczeniu.
Anexet Team