सुरक्षित विलोपन और कुंजी विनाश

जब आप rm से कोई फ़ाइल मिटाते हैं या उसे रीसायकल बिन में ले जाते हैं, तो ऑपरेटिंग सिस्टम केवल उस फ़ाइल की ओर संकेत करने वाली निर्देशिका प्रविष्टि हटाता है। वास्तविक फ़ाइल डेटा तब तक भंडारण माध्यम पर बना रहता है, जब तक कोई नया डेटा उन सेक्टरों पर अधिलेखित नहीं हो जाता। कोई फोरेंसिक उपकरण आवंटित न किए गए सेक्टरों को स्कैन करके उस डेटा को पुनर्प्राप्त कर सकता है। इसी कारण सुरक्षित विलोपन के लिए केवल साधारण विलोपन कार्रवाई पर्याप्त नहीं होती।

बहुत अधिक घनत्व वाले प्लेटर वाली पुरानी चुंबकीय हार्ड ड्राइव एक बार अधिलेखित किए जाने के बाद सैद्धांतिक रूप से अवशिष्ट चुंबकीय प्रभाव बनाए रख सकती थीं। इससे विशेष प्रयोगशालाएँ चुंबकीय बल माइक्रोस्कोपी का उपयोग करके डेटा पुनर्प्राप्त कर सकती थीं। यह चिंता पुरानी ड्राइवों के लिए अधिक प्रासंगिक थी; आधुनिक उच्च-घनत्व वाली ड्राइवों में ट्रैक की चौड़ाई और बिट घनत्व के कारण ऐसी पुनर्प्राप्ति अव्यावहारिक है। फिर भी, इसी चिंता के कारण DoD 5220.22-M जैसे बहु-चरणीय अधिलेखन मानक बनाए गए।

SSD सुरक्षित विलोपन को काफ़ी जटिल बना देते हैं। TRIM SSD नियंत्रक को बताता है कि कौन-से ब्लॉक मिटाने के लिए खाली हैं, लेकिन वास्तविक विलोपन का समय नियंत्रक पर निर्भर करता है और इसमें देरी हो सकती है। घिसाव-संतुलन लेखन को समान रूप से वितरित करने के लिए डेटा को अलग-अलग सेल में ले जाता है, इसलिए पुराने डेटा की प्रतिलिपियाँ उन स्थानों पर बनी रह सकती हैं जिन्हें OS खाली मानता है। SSD पर किसी फ़ाइल को सीधे अधिलेखित करने से डेटा की सभी प्रतिलिपियाँ विश्वसनीय रूप से अधिलेखित नहीं होतीं।

DoD 5220.22-M मानक में ऐतिहासिक रूप से 7 बार अधिलेखन निर्दिष्ट था (0x00, 0xFF, यादृच्छिक डेटा और सत्यापन चरणों के पैटर्न)। इसे पुरानी चुंबकीय ड्राइवों के लिए बनाया गया था और आधुनिक ड्राइवों के लिए यह अधिकांशतः अप्रासंगिक है। अधिकांश भंडारण प्रकारों के लिए NIST SP 800-88 ने इस मानक का स्थान ले लिया है और अनुशंसा की है कि आधुनिक चुंबकीय ड्राइवों के लिए एक बार साफ़ करने वाला चरण पर्याप्त है (शून्य या एक से अधिलेखन)।

लिनक्स पर shred कमांड किसी फ़ाइल को मिटाने से पहले उसे कई बार अधिलेखित करता है: shred -vzun 3 secret.txt फ़ाइल को 3 बार अधिलेखित करता है (-n 3), अंत में शून्य से भरने वाला एक चरण जोड़ता है (-z), फिर फ़ाइल हटाता है (-u) और विस्तृत परिणाम दिखाता है (-v)। हालांकि, घिसाव-संतुलन के कारण SSD पर, ऐसे जर्नल वाले फ़ाइल सिस्टम पर जो पुराने डेटा को जर्नल में सुरक्षित रख सकते हैं, और Btrfs या ZFS जैसे कॉपी-ऑन-राइट फ़ाइल सिस्टम पर shred अविश्वसनीय है।

SSD और आधुनिक भंडारण माध्यमों पर सुरक्षित विलोपन का सबसे विश्वसनीय तरीका यह है कि संवेदनशील डेटा को कभी भी अनएन्क्रिप्टेड रूप में संग्रहीत न किया जाए। यदि पूरी डिस्क को शुरुआत से ही एन्क्रिप्ट किया गया हो, तो सादा डेटा माध्यम पर कभी भी अनएन्क्रिप्टेड रूप में मौजूद नहीं रहता। जब ड्राइव को सेवा से हटाना हो, तो एन्क्रिप्शन कुंजी को नष्ट करना (क्रिप्टोग्राफ़िक विलोपन) तुरंत सभी डेटा को स्थायी रूप से अप्राप्य बना देता है, चाहे ड्राइव पर कितना भी डेटा मौजूद हो।

आधुनिक हार्ड ड्राइव और SSD ATA सुरक्षित विलोपन कमांड का समर्थन करते हैं (लिनक्स पर hdparm --security-erase)। यह ड्राइव के आंतरिक नियंत्रक को सभी उपयोगकर्ता डेटा क्षेत्रों को मिटाने का निर्देश देता है, जिसमें पुनः-मानचित्रित सेक्टर भी शामिल हैं, जिन्हें OS सीधे ऐक्सेस नहीं कर सकता। SSD पर यह आमतौर पर सभी फ़्लैश सेल को उनकी मिटाई हुई अवस्था में रीसेट कर देता है। सही ढंग से लागू होने पर यह सॉफ़्टवेयर से अधिलेखन की तुलना में अधिक व्यापक होता है और इसमें केवल कुछ सेकंड से कुछ मिनट लगते हैं।

क्रिप्टोग्राफ़िक विलोपन का अर्थ है सभी डेटा को ऐसी कुंजी से एन्क्रिप्ट करना जो केवल किसी सुरक्षित स्थान पर संग्रहीत हो, और फिर उस कुंजी को नष्ट कर देना। डेटा स्थायी रूप से अपठनीय हो जाता है, क्योंकि कुंजी के बिना डिक्रिप्शन व्यावहारिक गणना से असंभव होता है। क्लाउड सेवा प्रदाता भंडारण को सेवा से हटाने के लिए इस तरीके का उपयोग करते हैं: प्रत्येक ग्राहक का डेटा ग्राहक-विशिष्ट कुंजी से एन्क्रिप्ट किया जाता है और कुंजी हटाते ही डेटा तुरंत अप्राप्य हो जाता है।

secure-delete पैकेज (लिनक्स) कई उपयोगिताएँ उपलब्ध कराता है: सुरक्षित फ़ाइल विलोपन के लिए srm (35-चरणीय गुटमैन विधि, हालांकि आधुनिक ड्राइवों के लिए 1–3 चरण पर्याप्त हैं), मेमोरी को सुरक्षित रूप से मिटाने के लिए smem, खाली डिस्क स्थान भरने के लिए sfill और स्वैप को सुरक्षित रूप से मिटाने के लिए sswap। shred की तरह ये पारंपरिक चुंबकीय ड्राइवों पर सबसे प्रभावी हैं और घिसाव-संतुलन के कारण SSD पर कम विश्वसनीय हैं।

सबसे अधिक भरोसे की आवश्यकता होने पर, विशेष रूप से संवेदनशील सरकारी या स्वास्थ्य-सेवा डेटा के लिए, भौतिक विनाश सुरक्षित विलोपन का सबसे विश्वसनीय तरीका है। डीगॉसिंग में चुंबकीय माध्यम को प्रबल चुंबकीय क्षेत्र में रखकर सभी चुंबकीय डोमेन को बेतरतीब किया जाता है। औद्योगिक श्रेडर ड्राइवों को छोटे टुकड़ों में बदल देते हैं। पर्याप्त तापमान पर भस्मीकरण सभी भंडारण माध्यमों को नष्ट कर देता है। NIST SP 800-88 प्रत्येक माध्यम प्रकार के लिए उपयुक्त विनाश विधियों पर मार्गदर्शन देता है।

NIST SP 800-88 माध्यम स्वच्छीकरण के तीन स्तर परिभाषित करता है: साफ़ करना (सॉफ़्टवेयर से अधिलेखन, आंतरिक पुनःउपयोग के लिए उपयुक्त), शुद्ध करना (Secure Erase या डीगॉसिंग जैसी माध्यम-विशिष्ट तकनीकें, बाहरी पक्ष को जारी करने के लिए उपयुक्त) और नष्ट करना (भौतिक विनाश, उच्चतम संवेदनशीलता वाली श्रेणियों के लिए उपयुक्त)। उपयुक्त स्तर डेटा के वर्गीकरण और स्वच्छीकरण के बाद माध्यम की नियोजित अंतिम स्थिति पर निर्भर करता है।

सुरक्षित विलोपन का पुनरावलोकन: rm और रीसायकल बिन केवल निर्देशिका प्रविष्टियाँ हटाते हैं, इसलिए डेटा पुनर्प्राप्त किया जा सकता है; SSD और घिसाव-संतुलन सॉफ़्टवेयर से अधिलेखन को अविश्वसनीय बना देते हैं; शुरुआत से किया गया पूर्ण-डिस्क एन्क्रिप्शन और उसके बाद क्रिप्टोग्राफ़िक कुंजी को नष्ट करना सबसे विश्वसनीय रणनीति है; ATA सुरक्षित विलोपन SSD के नियंत्रक स्तर पर काम करता है; भौतिक विनाश (डीगॉसिंग, श्रेडिंग) सबसे संवेदनशील डेटा के लिए उच्चतम भरोसा प्रदान करता है।