Como funciona
Um meio que suporta apagamento criptográfico cifra os dados no momento da gravação. A chave de cifragem fica guardada no dispositivo, normalmente protegida por uma segunda chave. Esta pode vir de uma palavra-passe, de um módulo de segurança de hardware ou de um serviço de gestão de chaves.
Os dados nos pratos ou nas células flash são texto cifrado desde a primeira gravação. Nenhum texto simples chega ao meio.
- 1
Cifrar na gravação
Cada gravação é cifrada antes de chegar ao meio.
- 2
Proteger a chave
A chave fica numa pequena área protegida, separada dos dados do utilizador.
- 3
Destruir a chave
O texto cifrado permanece, mas já não pode ser decifrado.
Rápido em qualquer tamanho
Outras técnicas de sanitização têm de tocar nos próprios dados. A sobrescrita regrava cada bloco e o apagamento a nível de bloco limpa cada célula, por isso o tempo cresce com a capacidade. O apagamento criptográfico destrói uma chave de poucas centenas de bytes. A operação termina em segundos, mesmo numa unidade de vários terabytes. Por isso é viável em matrizes de armazenamento, memória flash de dispositivos móveis e volumes na nuvem.
Onde se aplica
A técnica surge nestas configurações habituais.
| Configuração | O que faz a destruição da chave |
|---|---|
| Unidades com auto-cifragem | O controlador descarta a chave interna e limpa toda a unidade |
| Dispositivos móveis | Descartar a chave do dispositivo apaga o armazenamento quase de imediato |
| Volumes na nuvem e máquinas virtuais | Eliminar a chave do volume desativa-o sem acesso físico |
| Software de cifragem de disco e de ficheiros | Eliminar a chave apaga os dados no âmbito da cifragem |
O seu lugar na sanitização
A NIST Special Publication 800-88, guia de referência para a sanitização de meios, indica o apagamento criptográfico como forma de atingir o nível de purga. Esse nível basta para meios que saem da organização.
A técnica só se qualifica para esse nível se se verificarem três condições. O meio estava cifrado antes de ser gravado qualquer dado sensível. A força da cifragem cumpre as normas atuais. O mecanismo de destruição da chave está verificado como funcional. Se faltar uma condição, a mesma ação conta apenas como limpeza (clearing), ou não conta como sanitização.
Arquivos excluídos comuns não são sanitizados de forma alguma: os dados continuam legíveis até que algo os sobrescreva.
O que pode comprometê-lo
O apagamento criptográfico só é tão forte como a gestão de chaves que o sustenta. Apagar a chave no dispositivo não apaga as outras cópias dela.
- Uma chave copiada para um backup, um depósito ou um serviço de chaves mantém os dados recuperáveis por meio dessas cópias.
- Texto simples gravado antes de ativar a criptografia pode deixar remanência recuperável fora da área criptografada.
- Um meio nunca criptografado, ou cuja criptografia não pode ser verificada, exige sobrescrita, apagamento de bloco ou destruição física.
Por onde começar
Antes de escolher um método, verifique quando a criptografia foi ativada em cada dispositivo. Se ela estava ativa desde a primeira gravação e a destruição da chave está verificada, o apagamento criptográfico é o caminho mais rápido até o nível de purge. Se não estava, planeje sobrescrita ou destruição física, seguindo as regras mais amplas de sanitização de mídia.
Leitura adicional: Criptografia, codificação e hashing – qual é a diferença?.
Um disco criptografado desde a primeira gravação é fácil de descartar. Um disco criptografado depois precisa de comprovação antes que alguém confie nele.
Anexet Team