Technika sanityzacji danych

W codziennej mowie metodę i technikę używa się zamiennie. W praktyce operacyjnej różnica ma znaczenie. Metoda sanityzacji określa działanie i poziom, który musi osiągnąć: wyczyszczenie, oczyszczenie albo zniszczenie, zgodnie ze skalą NIST SP 800-88. Technika sanityzacji to konkretny mechanizm, który realizuje to działanie na konkretnym nośniku: nadpisywanie sektorów, rozmagnesowanie domen magnetycznych, wywołanie funkcji kasowania kontrolera, zniszczenie klucza szyfrującego albo rozdrobnienie urządzenia.

Konsekwencja jest praktyczna. Polityka zapisuje się w metodach, a wykonanie odbywa się w technikach. Polityka może wymagać, by dyski odchodzących pracowników zostały oczyszczone, ale to inżynier trzymający uszkodzony dysk SSD wybiera mechanizm. Jedna technika może nawet obsłużyć dwie metody: rozmagnesowanie oczyszcza dysk magnetyczny, a jednocześnie go niszczy.

W praktyce prawie całą sanityzację pokrywa pięć mechanizmów, a każdy z nich ma podstawę fizyczną, która decyduje, gdzie działa. Na sprawnym dysku magnetycznym jedno przejście nadpisywania uniemożliwia odzyskanie danych programowo. Kolejne przejścia wydłużają czas, ale nie zwiększają pewności.

Każdy mechanizm radzi sobie z innym rodzajem pozostałości danych: danymi, które przetrwają na nośniku po zwykłym usunięciu.

O poprawności techniki decyduje nie jej siła na papierze, lecz fizyka nośnika. Przejście nadpisywania, które na dysku twardym nie zostawia nic do odzyskania, nie sięga komórek, które kontroler dysku SSD wyłączył z widoczności.

Pamięć flash nie znosi nadpisywania. Wear leveling i over-provisioning utrzymują część fizycznych komórek poza przestrzenią adresową hosta, poza zasięgiem każdego polecenia zapisu. Techniką wiodącą dla SSD jest funkcja sanityzacji kontrolera albo kasowanie kryptograficzne. Dysk zbyt uszkodzony, by wykonać którąkolwiek z nich, trafia prosto do zniszczenia.

Chmura obliczeniowa odrzuca każdą fizyczną technikę z przeciwnego powodu: najemca nigdy nie dotyka nośnika. To, czy bloki usuniętego woluminu są wyzerowane przed ponownym użyciem, zależy od platformy. Wymazanie jest więc albo kryptograficzne, przez zniszczenie klucza, albo umowne, na podstawie zobowiązań dostawcy.

Każdy nośnik wyklucza część technik. ✓ oznacza technikę działającą na danym nośniku, a ✗ technikę, która zawodzi albo nie może być zastosowana. Kasowanie kryptograficzne liczy się tylko tam, gdzie nośnik był szyfrowany od pierwszego użycia. Dla SSD drugą techniką wiodącą jest wbudowana funkcja sanityzacji kontrolera.

Technikę ocenia się według siły, jakiej wymaga jej metoda. Wyczyszczenie musi pokonać zwykłe programowe narzędzia odzyskiwania. Oczyszczenie musi uniemożliwić odzysk nawet w laboratorium. Zniszczenie musi pokonać każdego. Nadpisanie wystarczające do ponownego użycia laptopa wewnątrz firmy okazuje się niewystarczające, gdy laptop trafia do sprzedaży. Technika jest ta sama, ale werdykt się zmienia, bo zmienił się cel.

Wykonanie bez weryfikacji to założenie, a nie sanityzacja. Po nadpisaniu odczytuje się próbkę przestrzeni, by potwierdzić, że nic rozpoznawalnego nie wraca. Kasowanie blokowe zapisuje status zakończenia. Zniszczenie dokumentuje się numerem seryjnym, metodą i łańcuchem przekazania. W ramach programu sanityzacji nośników każdy z tych zapisów zachowuje się razem z zadaniem. Dysk, który w połowie nadpisywania przestaje przyjmować polecenia, idzie do zniszczenia.

Większość błędów wynika z zastosowania techniki do nośnika, do którego nie była przeznaczona. Wielokrotne nadpisywanie dysku SSD zużywa go, a wycofane komórki zachowują dane. Rozmagnesowanie pamięci flash albo nośników optycznych nic nie daje. Grube rozdrobnienie SSD może zostawić fragmenty z czytelnymi danymi, więc rozmiar cząstek musi odpowiadać gęstości zapisu. Częste są też szybkie formatowania przedstawiane jako sanityzacja, kasowania kryptograficzne z drugą żywą kopią klucza w kopii zapasowej oraz woluminy w chmurze uznane za czyste, bo konsola pokazała „usunięto”. Każda z tych technik została wykonana uczciwie i niczego nie dowiodła. O wyniku decyduje nośnik, a nie wysiłek.

Między polityką a działaniem leży decyzja inżynierska, która waży praktyczne ograniczenia wobec wymaganej siły. Sprawdzaj po kolei:

1. 1

   Potwierdź nośnik

   Ustal typ pamięci i to, czy nośnik jeszcze przyjmuje polecenia. Dysk, który nie odpowiada, ma już tylko jedną technikę: zniszczenie.

2. 2

   Dopasuj technikę

   Na podstawie tabeli odrzuć techniki, których nośnik nie obsłuży, na przykład nadpisywanie na pamięci flash.

3. 3

   Oceń przepustowość

   Nadpisywanie zajmuje godziny na terabajt, a kasowanie kryptograficzne sekundy.

4. 4

   Sprawdź zarządzanie kluczami

   Kasowanie kryptograficzne zakłada szyfrowanie od pierwszego użycia i brak zachowanych kopii klucza w kopii zapasowej lub depozycie.

5. 5

   Uwzględnij koszt i lokalizację

   Degaussery i niszczarki są drogie, a zniszczenie kończy wartość urządzenia do ponownego użycia. Oddział bez tego sprzętu polega na wymazaniu programowym albo na przekazaniu nośnika kurierowi.

Zacznij od nośnika, a nie od narzędzia. Wypisz urządzenia, które opuszczają Twoją organizację, typ pamięci w każdym z nich i technikę, która na nim działa. Traktuj usunięty plik jako wciąż obecny, dopóki jedna z tych technik nie zostanie wykonana.

Wymazanie jest zakończone dopiero wtedy, gdy zapis to potwierdza. Przy każdym urządzeniu zachowaj metodę, technikę, numer seryjny i osobę, która zatwierdziła wynik.