安全な削除と鍵の破棄

rm でファイルを削除したり、ファイルを Recycle Bin に移動したりしても、オペレーティングシステムが削除するのは、ファイルを指しているディレクトリエントリだけです。実際のファイルデータは、新しいデータによって該当セクターが上書きされるまで、ストレージ媒体上に残ります。フォレンジックツールは、未割り当てセクターをスキャンしてデータを復元できます。そのため、安全な削除には単純な削除操作だけでは不十分です。

非常に高密度なプラッターを使用する古い磁気ハードドライブでは、1回の上書き後も残留磁化が理論上残る可能性があり、専門の研究所が磁気力顕微鏡を使ってデータを復元できるとされていました。これは古いドライブにおいてより重要な問題でした。最新の高密度ドライブでは、トラック幅とビット密度のため、このような復元は現実的ではありません。ただし、この懸念が DoD 5220.22-M のような複数回上書きの標準を生み出しました。

SSD では、安全な削除が大幅に複雑になります。TRIM は、消去可能な空きブロックを SSD コントローラーに通知しますが、実際に消去されるタイミングはコントローラーに依存し、後回しにされる場合があります。ウェアレベリングは書き込みを均等に分散するためにデータをセル間で移動させるため、OS が空き領域と見なしている場所に古いデータのコピーが残る可能性があります。SSD 上のファイルを直接上書きしても、データのすべてのコピーが確実に上書きされるわけではありません。

DoD 5220.22-M 標準では、歴史的に7回の上書き（0x00、0xFF、ランダムデータのパターンと検証パス）を規定していました。これは古い磁気ドライブ向けに設計されたもので、最新のドライブにはほとんど関係ありません。現在は、ほとんどのストレージタイプについて NIST SP 800-88 がこの標準に取って代わっています。NIST SP 800-88 では、最新の磁気ドライブには1回のクリアパス（ゼロまたは1での上書き）で十分だと推奨しています。

Linux の shred コマンドは、ファイルを削除する前に複数回上書きします：shred -vzun 3 secret.txt は、3回上書きし（-n 3）、最後にゼロで埋めるパスを追加し（-z）、その後ファイルを削除します（-u）。詳細な出力も表示されます（-v）。ただし、ウェアレベリングの影響を受ける SSD、古いデータをジャーナルに保持する可能性があるジャーナリングファイルシステム、Btrfs や ZFS のようなコピーオンライトファイルシステムでは、shred は信頼できません。

SSD や最新のストレージで安全に削除する最も信頼性の高い方法は、機密データを暗号化されていない状態で保存しないことです。最初からディスク全体を暗号化しておけば、平文が暗号化されていない状態で媒体上に存在することはありません。ドライブを廃棄するときに暗号鍵を破棄すれば（暗号学的消去）、ドライブ上のデータ量に関係なく、すべてのデータを瞬時に恒久的な復元不能状態にできます。

最新のハードドライブと SSD は、ATA Secure Erase コマンド（Linux では hdparm --security-erase）をサポートしています。このコマンドは、OS から直接アクセスできない再割り当てセクターを含め、すべてのユーザーデータ領域を消去するようドライブ内部のコントローラーに指示します。SSD では通常、すべてのフラッシュセルを消去済みの状態にリセットします。正しく実装されていれば、ソフトウェアによる上書きよりも徹底的で、数秒から数分しかかかりません。

暗号学的消去とは、すべてのデータを安全な場所にのみ保存した鍵で暗号化し、その後で鍵を破棄することです。鍵がなければ復号は計算上実行不可能になるため、データは恒久的に読み取れなくなります。クラウドプロバイダーは、ストレージを廃棄するときにこの方法を使用します。各顧客のデータを顧客ごとの鍵で暗号化し、その鍵を削除することで、データを直ちに復元不能にします。

secure-delete パッケージ（Linux）には、複数のユーティリティが含まれています。srm は安全なファイル削除（35回上書きする Gutmann 方式ですが、最新のドライブでは1～3回で十分です）、smem は安全なメモリ消去、sfill はディスクの空き領域の充填、sswap はスワップ領域の安全な消去に使用します。shred と同様に、これらは従来の磁気ドライブでは最も効果的ですが、SSD ではウェアレベリングのため信頼性が低くなります。

特に機密性の高い政府データや医療データでは、最高レベルの確実性を求める場合、物理的な破壊が最も信頼できる安全な削除方法です。消磁では、磁気媒体を強い磁場にさらして、すべての磁区をランダム化します。産業用シュレッダーでは、ドライブを小さな破片にまで粉砕します。十分な温度で焼却すれば、すべてのストレージ媒体を破壊できます。NIST SP 800-88 には、媒体の種類ごとに適切な破壊方法に関する指針が示されています。

NIST SP 800-88 は、媒体のサニタイズを3つのレベルに分類しています。Clear（ソフトウェアによる上書きで、組織内での再利用に適しています）、Purge（Secure Erase や消磁など媒体固有の手法で、組織外への提供に適しています）、Destroy（物理的な破壊で、最も高い機密区分に適しています）です。適切なレベルは、データの分類と、サニタイズ後に媒体をどう扱うかによって決まります。

安全な削除のまとめ：rm と Recycle Bin はディレクトリエントリを削除するだけで、復元可能なデータを残します。SSD とウェアレベリングにより、ソフトウェアによる上書きは信頼できません。最初から全ディスクを暗号化し、暗号鍵を破棄する方法が最も信頼性の高い戦略です。ATA Secure Erase はコントローラーレベルで SSD に作用し、消磁やシュレッダーによる物理的な破壊は、最も機密性の高いデータに対して最高レベルの確実性を提供します。