Turvallinen poistaminen ja avainten tuhoaminen

Kun tiedosto poistetaan rm-komennolla tai siirretään Recycle Biniin, käyttöjärjestelmä poistaa vain tiedostoon osoittavan hakemistotietueen. Varsinaiset tiedot säilyvät tallennusvälineellä, kunnes uudet tiedot korvaavat kyseiset sektorit. Rikostekninen työkalu voi palauttaa tiedot etsimällä varaamattomia sektoreita. Siksi turvallinen poistaminen edellyttää muutakin kuin yksinkertaista poistotoimintoa.

Vanhojen magneettisten kiintolevyjen erittäin tiheät levypinnat saattoivat teoriassa säilyttää jäännösmagnetoitumaa yhden ylikirjoituksen jälkeen. Erikoislaboratoriot pystyivät tällöin palauttamaan tietoja magneettivoimamikroskopian avulla. Tämä koski enemmän vanhoja asemia; nykyaikaisten suuren tallennustiheyden asemien palauttaminen on raitaleveyden ja bittitiheyden vuoksi käytännössä mahdotonta. Huoli johti kuitenkin monipassisten ylikirjoitusstandardien, kuten DoD 5220.22-M:n, kehittämiseen.

SSD-levyt vaikeuttavat turvallista poistamista merkittävästi. TRIM ilmoittaa SSD-ohjaimelle, mitkä lohkot ovat vapaita tyhjennettäviksi, mutta tyhjennyksen todellinen ajoitus riippuu ohjaimesta ja sitä voidaan lykätä. Kulumantasaus siirtää tietoja solujen välillä kirjoitusten jakamiseksi tasaisesti, joten vanhoja tietokopioita voi säilyä alueilla, joita käyttöjärjestelmä pitää vapaina. Tiedoston suora ylikirjoittaminen SSD-levyllä ei siksi luotettavasti ylikirjoita kaikkia tietojen kopioita.

DoD 5220.22-M -standardissa määriteltiin historiallisesti 7 ylikirjoituskierrosta, joissa käytettiin malleja 0x00, 0xFF ja satunnaisdatan malleja sekä varmistuskierroksia. Se suunniteltiin vanhoille magneettisille asemille, joten sillä on nykyasemien kannalta vain vähän merkitystä. NIST SP 800-88 korvasi tämän standardin useimpien tallennustyyppien osalta ja suosittelee, että nykyaikaisille magneettisille asemille riittää yksi puhdas kierros, jossa tiedot ylikirjoitetaan nollilla tai ykkösillä.

Linuxin shred-komento ylikirjoittaa tiedoston useita kertoja ennen sen poistamista: shred -vzun 3 secret.txt ylikirjoittaa tiedoston 3 kertaa (-n 3), lisää lopuksi nollilla täyttävän kierroksen (-z), poistaa tiedoston (-u) ja näyttää yksityiskohtaisen tulosteen (-v). shred on kuitenkin epäluotettava SSD-levyillä kulumantasauksen vuoksi sekä päiväkirjaavissa tiedostojärjestelmissä, jotka voivat säilyttää vanhoja tietoja päiväkirjoissa, ja copy-on-write-tiedostojärjestelmissä, kuten Btrfsissä ja ZFS:ssä.

Luotettavin tapa poistaa tietoja turvallisesti SSD-levyiltä ja nykyaikaisilta tallennusvälineiltä on olla tallentamatta arkaluonteisia tietoja koskaan salaamattomana. Jos koko levy salataan alusta alkaen, selväkielisiä tietoja ei koskaan ole tallennusvälineellä salaamattomana. Kun levy poistetaan käytöstä, salausavaimen tuhoaminen eli kryptografinen poistaminen tekee kaikista tiedoista välittömästi ja pysyvästi palauttamattomia riippumatta siitä, kuinka paljon dataa levyllä on.

Nykyaikaiset kiintolevyt ja SSD-levyt tukevat ATA Secure Erase -komentoa (Linuxissa hdparm --security-erase). Se ohjaa aseman sisäistä ohjainta tyhjentämään kaikki käyttäjädatan alueet, myös uudelleenohjatut sektorit, joita käyttöjärjestelmä ei voi käyttää suoraan. SSD-levyillä tämä yleensä palauttaa kaikki flash-muistisolut tyhjennettyyn tilaan. Asianmukaisesti toteutettuna tämä on ohjelmistopohjaista ylikirjoittamista perusteellisempi ja kestää vain sekunneista minuutteihin.

Kryptografinen poistaminen tarkoittaa kaikkien tietojen salaamista avaimella, jota säilytetään vain suojatussa sijainnissa, ja sen jälkeen avaimen tuhoamista. Tietoja ei voi enää lukea pysyvästi, koska salauksen purkaminen ilman avainta on laskennallisesti mahdotonta. Pilvipalveluntarjoajat käyttävät tätä lähestymistapaa tallennustilan käytöstä poistamiseen: kunkin asiakkaan tiedot salataan asiakaskohtaisella avaimella, ja avaimen poistaminen tekee tiedoista välittömästi palauttamattomia.

secure-delete-paketti (Linux) tarjoaa useita apuohjelmia: srm tiedostojen turvalliseen poistamiseen, jossa käytetään 35 kierroksen Gutmann-menetelmää, vaikka nykyaikaisilla asemilla 1–3 kierrosta riittää, smem muistin turvalliseen pyyhintään, sfill vapaan levytilan täyttämiseen ja sswap sivutustilan turvalliseen pyyhintään. Kuten shred, nämä toimivat parhaiten perinteisillä magneettisilla asemilla ja ovat SSD-levyillä epäluotettavampia kulumantasauksen vuoksi.

Kun tarvitaan mahdollisimman varma menetelmä, erityisesti arkaluonteisille viranomais- tai terveydenhuollon tiedoille, fyysinen tuhoaminen on luotettavin turvallisen poistamisen tapa. Demagnetointi altistaa magneettisen tallennusvälineen voimakkaalle magneettikentälle ja satunnaistaa kaikki magneettiset alueet. Teollisuussilppurit pienentävät asemat pieniksi palasiksi. Polttaminen riittävän korkeassa lämpötilassa tuhoaa kaikki tallennusvälineet. NIST SP 800-88 antaa ohjeita sopivista tuhoamismenetelmistä tietovälinetyypin mukaan.

NIST SP 800-88 määrittelee kolme tallennusvälineen tyhjentämisen tasoa: Clear (ohjelmistopohjainen ylikirjoitus, joka soveltuu sisäiseen uudelleenkäyttöön), Purge (tietovälinekohtaiset menetelmät, kuten Secure Erase tai demagnetointi, jotka soveltuvat välineen luovuttamiseen organisaation ulkopuolelle) ja Destroy (fyysinen tuhoaminen, joka soveltuu korkeimman arkaluonteisuustason tiedoille). Sopiva taso riippuu tietojen luokituksesta ja siitä, mitä tallennusvälineelle tehdään tyhjentämisen jälkeen.

Turvallisen poistamisen yhteenveto: rm ja Recycle Bin poistavat vain hakemistotietueet, joten tiedot ovat edelleen palautettavissa; SSD-levyt ja kulumantasaus tekevät ohjelmistopohjaisesta ylikirjoittamisesta epäluotettavaa; koko levyn salaaminen alusta alkaen ja salausavaimen kryptografinen tuhoaminen on luotettavin strategia; ATA Secure Erase toimii SSD-ohjaimen tasolla; fyysinen tuhoaminen, kuten demagnetointi ja silppuaminen, tarjoaa korkeimman varmuuden erittäin arkaluonteisille tiedoille.