Penghapusan Aman dan Pemusnahan Kunci

Saat Anda menghapus berkas dengan rm atau memindahkannya ke Tong Sampah, sistem operasi hanya menghapus entri direktori yang menunjuk ke berkas tersebut. Data berkas sebenarnya tetap berada di media penyimpanan sampai data baru menimpa sektor-sektor tersebut. Alat forensik dapat memulihkan data dengan memindai sektor yang tidak dialokasikan. Inilah sebabnya penghapusan aman memerlukan lebih dari sekadar operasi penghapusan sederhana.

Hard disk magnetik lama dengan platter berkepadatan sangat tinggi secara teoretis dapat menyimpan magnetisasi samar setelah satu kali penimpaan, sehingga memungkinkan pemulihan data oleh laboratorium khusus menggunakan mikroskopi gaya magnet. Hal ini lebih relevan untuk drive lama; drive modern berkepadatan tinggi membuat pemulihan semacam itu tidak praktis karena lebar jalur dan kepadatan bit. Namun, kekhawatiran tersebut mendorong standar penimpaan beberapa kali seperti DoD 5220.22-M.

SSD secara signifikan mempersulit penghapusan aman. TRIM memberi tahu pengendali SSD blok mana yang tersedia untuk dihapus, tetapi waktu penghapusan sebenarnya bergantung pada pengendali dan mungkin ditunda. Penyeimbangan keausan memindahkan data antar-sel untuk mendistribusikan penulisan secara merata, sehingga salinan data lama dapat tetap ada di area yang dianggap kosong oleh OS. Menimpa berkas secara langsung pada SSD tidak dapat diandalkan untuk menimpa semua salinan data.

Standar DoD 5220.22-M secara historis menetapkan penimpaan sebanyak 7 lintasan (pola 0x00, 0xFF, data acak, dan lintasan verifikasi). Standar ini dirancang untuk drive magnetik lama dan sebagian besar tidak relevan bagi drive modern. NIST SP 800-88 menggantikan standar ini untuk sebagian besar jenis media penyimpanan dan merekomendasikan bahwa satu lintasan pengosongan (menimpa dengan nol atau satu) sudah cukup untuk drive magnetik modern.

Perintah shred di Linux menimpa berkas beberapa kali sebelum menghapusnya: shred -vzun 3 secret.txt menimpa 3 kali (-n 3), menambahkan lintasan akhir pengisian dengan nol (-z), lalu menghapus berkas (-u), dengan keluaran terperinci (-v). Namun, shred tidak andal pada SSD karena penyeimbangan keausan, pada sistem berkas berjurnal yang mungkin mempertahankan data lama di jurnal, dan pada sistem berkas salin-saat-tulis seperti Btrfs atau ZFS.

Pendekatan paling andal untuk penghapusan aman pada SSD dan media penyimpanan modern adalah tidak pernah menyimpan data sensitif tanpa enkripsi. Jika seluruh disk dienkripsi sejak awal, teks biasa tidak pernah ada tanpa enkripsi pada media tersebut. Saat drive perlu dipensiunkan, menghancurkan kunci enkripsi (penghapusan kriptografis) segera membuat semua data tidak dapat dipulihkan secara permanen, terlepas dari jumlah data yang ada di drive.

Hard disk modern dan SSD mendukung perintah Penghapusan Aman ATA (hdparm --security-erase di Linux). Perintah ini menginstruksikan pengendali internal drive untuk menghapus semua area data pengguna, termasuk sektor yang dipetakan ulang dan tidak dapat diakses langsung oleh OS. Pada SSD, perintah ini biasanya mengatur ulang semua sel flash ke keadaan terhapus. Jika diterapkan dengan benar, metode ini lebih menyeluruh daripada penimpaan oleh perangkat lunak dan hanya memerlukan waktu beberapa detik hingga beberapa menit.

Penghapusan kriptografis berarti mengenkripsi seluruh data dengan kunci yang hanya disimpan di lokasi aman, lalu menghancurkan kunci tersebut. Data menjadi tidak dapat dibaca secara permanen karena tanpa kunci, dekripsi tidak praktis dilakukan secara komputasi. Penyedia komputasi awan menggunakan pendekatan ini untuk menonaktifkan penyimpanan: data setiap pelanggan dienkripsi dengan kunci khusus pelanggan, dan menghapus kunci tersebut segera membuat data tidak dapat diambil kembali.

Paket secure-delete (Linux) menyediakan beberapa utilitas: srm untuk menghapus berkas secara aman (metode Gutmann 35 lintasan, meskipun 1–3 lintasan cukup untuk drive modern), smem untuk menghapus isi memori secara aman, sfill untuk mengisi ruang disk kosong, dan sswap untuk menghapus isi area swap secara aman. Seperti shred, semua utilitas ini paling efektif pada drive magnetik tradisional dan kurang andal pada SSD karena penyeimbangan keausan.

Untuk tingkat kepastian tertinggi, terutama bagi data sensitif pemerintah atau layanan kesehatan, pemusnahan fisik merupakan metode penghapusan aman yang paling andal. Demagnetisasi memaparkan media magnetik pada medan magnet kuat untuk mengacak semua domain magnetik. Mesin pencacah industri menghancurkan drive menjadi fragmen-fragmen kecil. Pembakaran pada suhu yang memadai menghancurkan semua media penyimpanan. NIST SP 800-88 memberikan panduan mengenai metode pemusnahan yang sesuai untuk setiap jenis media.

NIST SP 800-88 mendefinisikan tiga tingkat sanitasi media: Pengosongan (penimpaan perangkat lunak, sesuai untuk penggunaan ulang internal), Pembersihan (teknik khusus media seperti Penghapusan Aman atau demagnetisasi, sesuai untuk pelepasan ke pihak eksternal), dan Pemusnahan (pemusnahan fisik, sesuai untuk klasifikasi dengan tingkat sensitivitas tertinggi). Tingkat yang sesuai bergantung pada klasifikasi data dan tujuan akhir media setelah disanitasi.

Ringkasan penghapusan aman: rm dan Tong Sampah hanya menghapus entri direktori sehingga data tetap dapat dipulihkan; SSD dan penyeimbangan keausan membuat penimpaan perangkat lunak tidak andal; enkripsi seluruh disk sejak awal ditambah penghancuran kunci kriptografis merupakan strategi paling andal; Penghapusan Aman ATA bekerja pada tingkat pengendali untuk SSD; pemusnahan fisik (demagnetisasi, pencacahan) memberikan tingkat kepastian tertinggi untuk data yang paling sensitif.