الحذف الآمن وإتلاف المفاتيح

عند حذف ملف باستخدام rm أو نقله إلى سلة المحذوفات، يزيل نظام التشغيل إدخال الدليل الذي يشير إلى الملف فقط. أما بيانات الملف الفعلية فتبقى على وسيط التخزين إلى أن تستبدل بيانات جديدة تلك القطاعات. ويمكن لأداة جنائية استرداد البيانات من خلال البحث في القطاعات غير المخصصة. ولهذا يتطلب الحذف الآمن أكثر من عملية حذف بسيطة.

يمكن للأقراص الصلبة المغناطيسية الأقدم ذات الأطباق عالية الكثافة جدًا أن تحتفظ نظريًا بمغنطة شبحية بعد الكتابة فوقها مرة واحدة، مما يتيح للمختبرات المتخصصة استرداد البيانات باستخدام المجهرية بالقوة المغناطيسية. وكان ذلك أكثر صلة بالأقراص القديمة؛ إذ تجعل الأقراص الحديثة عالية الكثافة هذا الاسترداد غير عملي بسبب عرض المسارات وكثافة البتات. ومع ذلك، أدى هذا القلق إلى ظهور معايير الكتابة المتعددة التمريرات مثل DoD 5220.22-M.

تعقد أقراص SSD الحذف الآمن تعقيدًا كبيرًا. إذ يخبر TRIM وحدة تحكم SSD بالكتل المتاحة للمحو، لكن توقيت المحو الفعلي يعتمد على وحدة التحكم وقد يُؤجّل. وتنقل موازنة التآكل البيانات بين الخلايا لتوزيع عمليات الكتابة بالتساوي، مما يعني أن نسخًا قديمة من البيانات قد تبقى في مناطق يعتبرها نظام التشغيل خالية. ولا تضمن الكتابة مباشرة فوق ملف على SSD الكتابة فوق جميع نسخ البيانات.

حدد معيار DoD 5220.22-M تاريخيًا الكتابة فوق البيانات بسبع تمريرات، باستخدام أنماط من 0x00 و0xFF وبيانات عشوائية، مع تمريرات للتحقق. وقد صُمم هذا المعيار للأقراص المغناطيسية القديمة، وأصبح غير ذي صلة إلى حد كبير بالأقراص الحديثة. وحل NIST SP 800-88 محل هذا المعيار لمعظم أنواع التخزين، إذ يوصي بأن تكون تمريرة مسح واحدة، أي الكتابة فوق البيانات بالأصفار أو الواحدات، كافية للأقراص المغناطيسية الحديثة.

يكتب الأمر shred في Linux فوق الملف عدة مرات قبل حذفه: shred -vzun 3 secret.txt يكتب فوقه 3 مرات (-n 3)، ويضيف تمريرة نهائية لملء المساحة بالأصفار (-z)، ثم يزيل الملف (-u)، مع عرض إخراج تفصيلي (-v). ومع ذلك، لا يمكن الاعتماد على shred في أقراص SSD بسبب موازنة التآكل، ولا في أنظمة الملفات ذات التسجيل journaling التي قد تحتفظ بالبيانات القديمة في السجلات، ولا في أنظمة الملفات ذات النسخ عند الكتابة مثل Btrfs أو ZFS.

تتمثل الطريقة الأكثر موثوقية للحذف الآمن على أقراص SSD ووسائط التخزين الحديثة في عدم تخزين بيانات حساسة غير مشفّرة مطلقًا. فإذا شُفّر القرص بالكامل منذ البداية، فلن يوجد النص الصريح على الوسيط. وعند الحاجة إلى إخراج محرك الأقراص من الخدمة، يؤدي إتلاف مفتاح التشفير، أي المحو التشفيري، إلى جعل جميع البيانات غير قابلة للاسترداد نهائيًا، بغض النظر عن كمية البيانات الموجودة على محرك الأقراص.

تدعم الأقراص الصلبة وأقراص SSD الحديثة الأمر ATA Secure Erase ‏(hdparm --security-erase في Linux). ويطلب هذا الأمر من وحدة التحكم الداخلية لمحرك الأقراص محو جميع مناطق بيانات المستخدم، بما في ذلك القطاعات المعاد تعيينها التي لا يستطيع نظام التشغيل الوصول إليها مباشرة. وفي أقراص SSD، يعيد هذا الأمر عادةً جميع خلايا الذاكرة الوميضية إلى حالتها الممحوة. وعند تنفيذه بشكل صحيح، يكون أكثر شمولًا من الكتابة فوق البيانات برمجيًا، ولا يستغرق سوى ثوانٍ إلى دقائق.

يعني المحو التشفيري تشفير جميع البيانات باستخدام مفتاح لا يُخزَّن إلا في موقع آمن، ثم إتلاف المفتاح. فتصبح البيانات غير قابلة للقراءة نهائيًا، لأن فك تشفيرها دون المفتاح غير ممكن عمليًا من الناحية الحسابية. ويستخدم موفرو الخدمات السحابية هذا الأسلوب عند إخراج وحدات التخزين من الخدمة: تُشفّر بيانات كل عميل باستخدام مفتاح خاص بذلك العميل، ويؤدي حذف المفتاح فورًا إلى جعل البيانات غير قابلة للاسترداد.

توفر حزمة secure-delete في Linux عدة أدوات: srm لإزالة الملفات بشكل آمن باستخدام طريقة Gutmann ذات التمريرات الـ35، رغم أن تمريرة واحدة إلى ثلاث تمريرات تكفي للأقراص الحديثة، وsmem للمحو الآمن للذاكرة، وsfill لملء مساحة القرص الحرة، وsswap للمحو الآمن لمساحة التبديل. وكما هو الحال مع shred، تكون هذه الأدوات أكثر فاعلية على الأقراص المغناطيسية التقليدية وأقل موثوقية على أقراص SSD بسبب موازنة التآكل.

للحصول على أعلى مستوى من الضمان، ولا سيما مع البيانات الحكومية أو بيانات الرعاية الصحية الحساسة، يُعد الإتلاف المادي الطريقة الأكثر موثوقية للحذف الآمن. إذ تعرض إزالة المغنطة الوسائط المغناطيسية لمجال مغناطيسي قوي، مما يبعثر جميع المجالات المغناطيسية. وتحوّل آلات التقطيع الصناعية محركات الأقراص إلى شظايا صغيرة. كما يؤدي الحرق في درجة حرارة كافية إلى إتلاف جميع وسائط التخزين. ويوفر NIST SP 800-88 إرشادات بشأن طرق الإتلاف المناسبة لكل نوع من الوسائط.

يحدد NIST SP 800-88 ثلاثة مستويات لتطهير الوسائط: المسح (Clear)، وهو الكتابة فوق البيانات برمجيًا ومناسب لإعادة الاستخدام داخل المؤسسة؛ والتطهير (Purge)، باستخدام تقنيات خاصة بالوسيط مثل Secure Erase أو إزالة المغنطة، وهو مناسب لإخراج الوسيط إلى جهة خارجية؛ والإتلاف (Destroy)، أي الإتلاف المادي، وهو مناسب لأعلى تصنيفات الحساسية. ويعتمد المستوى المناسب على تصنيف البيانات والمصير المقصود للوسيط بعد تطهيره.

مراجعة الحذف الآمن: لا يزيل rm وسلة المحذوفات سوى إدخالات الدليل، مما يترك البيانات قابلة للاسترداد؛ وتجعل أقراص SSD وموازنة التآكل الكتابة فوق البيانات برمجيًا غير موثوقة؛ ويُعد تشفير القرص بالكامل منذ البداية مع إتلاف مفتاح التشفير الاستراتيجية الأكثر موثوقية؛ ويعمل ATA Secure Erase على مستوى وحدة التحكم في أقراص SSD؛ ويوفر الإتلاف المادي، مثل إزالة المغنطة والتقطيع، أعلى مستوى من الضمان للبيانات الأكثر حساسية.