Dyscyplina, a nie pojedyncze działanie
Pojęcia pokrewne opisują każde tylko jeden fragment obrazu. Remanencja to zjawisko: fizycznie odzyskiwalne ślady danych, które przetrwały usunięcie. Czyszczenie (purge) to technika: nieodwracalne usunięcie przez nadpisanie, kasowanie blokowe albo zniszczenie klucza. Ochrona danych szczątkowych to praktyka zbudowana wokół nich. Polega na tym, że z góry ustala się, jak każda kopia danych stanie się nieodzyskiwalna po zakończeniu jej cyklu życia, i potrafi się to udowodnić.
To sprawia, że jest to kwestia całego cyklu życia, a nie tylko dnia utylizacji. Wybory decydujące o tym, jak dokładnie można zneutralizować dane szczątkowe, zapadają długo przed tym, zanim cokolwiek zostanie wyrzucone. Czy nośnik był szyfrowany od pierwszego zapisu? Jak zorganizowano kopie zapasowe i migawki? Które urządzenia przechowywały dane? Zanim laptop zostanie wycofany z eksploatacji, opcje są już ograniczone tym, co działo się podczas jego użytkowania.
Zestaw narzędzi
Praktyka opiera się na niewielkim zestawie technik. Każda pasuje do innego nośnika i innego poziomu wrażliwości:
| Technika | Co robi |
|---|---|
| Czyszczenie (clearing) | Nadpisuje pamięć ustalonym wzorcem. Blokuje zwykłe narzędzia odzyskiwania. |
| Czyszczenie właściwe (purging) | Kasowanie blokowe lub rozmagnesowanie. Domyślne dla nośników opuszczających organizację. |
| Kasowanie kryptograficzne | Niszczy klucz, szyfrogram staje się nieczytelny. Dane nie są nadpisywane. |
| Szyfrowanie od pierwszego zapisu | Każda kopia szczątkowa jest już szyfrogramem w chwili utylizacji. |
| Fizyczne zniszczenie | Rozdrabnianie lub spalanie, gdy weryfikacja jest niemożliwa. |
| Weryfikacja i dokumentacja | Próbkowanie potwierdza, że nie wracają dane. Każdy krok jest zapisany. |
Dlaczego szyfrowanie przed utylizacją zmienia problem
Trudno zagwarantować usunięcie każdej kopii wszędzie. Kontrolery flash przenoszą dane bez wiedzy hosta. Platformy chmurowe zwracają bloki do wspólnych pul, do których najemca nie ma dostępu. Uszkodzony dysk nie przyjmuje żadnych poleceń. Szyfrowanie przed utylizacją odwraca ten problem. Jeśli dane były szyfrowane przez cały cykl życia, utylizacja sprowadza się do zniszczenia klucza. Każda pominięta kopia, na przykład zużyta komórka, stara kopia zapasowa czy zapomniana macierz, staje się szyfrogramem, którego nikt nie odczyta.
Ta metoda w pełni zależy od zarządzania kluczami. Klucz, który przetrwa w depozycie, w kopii konfiguracji albo na serwerze kluczy objętym kopiami zapasowymi, unieważnia kasowanie. Etap niszczenia musi więc objąć każde miejsce, w którym klucz istnieje. Drugie zastrzeżenie dotyczy historii. Szyfrowanie chroni tylko dane zapisane po jego włączeniu. Dysk, który przez dwa lata działał w postaci jawnej, a potem został zaszyfrowany, nadal ma pod spodem okres danych jawnych. Wymaga pełnej sanityzacji lub zniszczenia, a nie samego usunięcia klucza. Dlatego kasowanie kryptograficzne jest tak mocne, jak zarządzanie kluczami, które za nim stoi.
Gdzie kryją się dane szczątkowe poza dyskami
Sanityzacja nośnika dotyczy urządzenia, które się utylizuje. Ochrona danych szczątkowych musi objąć też każde inne miejsce, w którym dane po cichu się utrzymują:
- Pozostałości systemu plików: pliki tymczasowe, pamięć wymiany, pliki hibernacji i kopie w tle woluminów.
- Kopie zapasowe i repliki: migawki, repliki, ekstrakty i indeksy, każde z własnym okresem retencji.
- Urządzenia peryferyjne: drukarki, skanery i sprzęt sieciowy z pamięcią wewnętrzną.
- Nośniki mobilne i wymienne: telefony, tablety, pamięci USB i karty aparatów. Często omijają formalną utylizację.
- Pamięć: przejściowa remanencja w RAM. Ma znaczenie, gdy działające maszyny można schłodzić.
Prowadzenie tego jako program
Sama technika nie przetrwa audytu. Działający program prowadzi inwentarz istniejących nośników. Wiąże wybór metody z klasyfikacją danych, które przechowywał każdy nośnik. Śledzi każde urządzenie od wycofania z eksploatacji do utylizacji, czyli w oknie, w którym sprzęt najczęściej znika.
Zdarzenia sanityzacji rejestruje się dla każdego urządzenia: numer seryjny, klasyfikację danych, metodę, narzędzie i jego wersję, operatora, datę i wynik weryfikacji. Gdy utylizację zleca się firmie zewnętrznej, certyfikaty dostawcy i łańcuch dostaw stają się częścią tej dokumentacji. Reżimy ochrony danych oceniają organizację na podstawie dowodów, które potrafi przedstawić, a nie intencji zapisanej w polityce. Rejestry samego produktu podlegają tej samej zasadzie: konsola może usunąć rejestry incydentów według wieku, liczby lub daty.
1 / 2
Typowe punkty awarii
Powtarzające się błędy są takie same w różnych organizacjach. Szybkie formatowanie traktuje się jak kasowanie. Wielokrotne nadpisywanie działa na SSD, którego wear leveling po cichu zachowuje stare komórki. Laptop zostaje wyczyszczony, a dysk stacji dokującej, telefon i taśmy zapasowe zostają zapomniane. Kasowanie kryptograficzne podważa kopia klucza w kopii zapasowej. Nośnik ginie w transporcie, a zgłoszenie utylizacji wciąż jest otwarte. Wolumeny chmurowe uznaje się za czyste, bo konsola pokazała „usunięto”, choć realną gwarancję daje umowa z dostawcą, której nikt nie sprawdził. Każdy błąd jest tani w zapobieganiu i drogi w wykryciu, zwykle wtedy, gdy urządzenie wraca z danymi wciąż na nim. Retencja też ma znaczenie: nieaktualne dane, których nikt nie przegląda, nadal są danymi szczątkowymi.
Od czego zacząć
Zacznij od danych wrażliwych, których wyciek zaszkodziłby najbardziej, a potem zmapuj kanały, którymi naprawdę krążą. Program, który próbuje wyczyścić wszystkie dyski naraz, utyka, więc zacznij od nośników i kopii, które opuszczają budynek w pierwszej kolejności.
Czytaj dalej: Techniczny wyciek informacji: czym jest i jak się chronić?.
Dane szczątkowe to kopia, o której nikt nie pamięta, że ją zrobił. Znajdź ją przed datą utylizacji, a nie wtedy, gdy urządzenie znowu się pojawi.
Anexet Team