Exclusão Segura e Destruição de Chaves

Quando você exclui um arquivo com rm ou o move para a Lixeira, o sistema operacional apenas remove a entrada de diretório que aponta para o arquivo. Os dados reais do arquivo permanecem no meio de armazenamento até que novos dados sobrescrevam esses setores. Uma ferramenta forense pode recuperar os dados examinando os setores não alocados. É por isso que a exclusão segura exige mais do que uma simples operação de exclusão.

Discos rígidos magnéticos mais antigos, com pratos de densidade muito alta, podem teoricamente manter uma magnetização residual após uma única sobrescrita, permitindo a recuperação de dados por laboratórios especializados que usam microscopia de força magnética. Isso era mais relevante para unidades antigas; as unidades modernas de alta densidade tornam essa recuperação impraticável devido à largura das trilhas e à densidade dos bits. No entanto, essa preocupação levou a padrões de sobrescrita em múltiplas passagens, como o DoD 5220.22-M.

Os SSDs complicam significativamente a exclusão segura. O TRIM informa ao controlador do SSD quais blocos estão livres para serem apagados, mas o momento efetivo da exclusão depende do controlador e pode ser adiado. O nivelamento de desgaste move os dados entre as células para distribuir as gravações de maneira uniforme, o que significa que cópias de dados antigos podem persistir em áreas que o OS considera livres. Sobrescrever diretamente um arquivo em um SSD não sobrescreve de forma confiável todas as cópias dos dados.

O padrão DoD 5220.22-M especificava historicamente a sobrescrita em 7 passagens (padrões de 0x00, 0xFF, dados aleatórios e passagens de verificação). Ele foi projetado para unidades magnéticas mais antigas e é amplamente irrelevante para as unidades modernas. O NIST SP 800-88 substituiu esse padrão para a maioria dos tipos de armazenamento, recomendando que uma única passagem de limpeza (sobrescrita com zeros ou uns) seja suficiente para unidades magnéticas modernas.

O comando shred no Linux sobrescreve um arquivo várias vezes antes de excluí-lo: shred -vzun 3 secret.txt sobrescreve 3 vezes (-n 3), adiciona uma passagem final de preenchimento com zeros (-z), depois remove o arquivo (-u), com saída detalhada (-v). No entanto, o shred não é confiável em SSDs devido ao nivelamento de desgaste, em sistemas de arquivos com registro em diário que podem preservar dados antigos nos diários e em sistemas de arquivos com cópia na gravação, como Btrfs ou ZFS.

A abordagem mais confiável para a exclusão segura em SSDs e sistemas de armazenamento modernos é nunca armazenar dados confidenciais sem criptografia. Se o disco inteiro for criptografado desde o início, os dados em texto puro nunca existirão sem criptografia no meio de armazenamento. Quando for necessário desativar a unidade, destruir a chave de criptografia (apagamento criptográfico) torna instantaneamente todos os dados permanentemente irrecuperáveis, independentemente da quantidade de dados existente na unidade.

Os discos rígidos e SSDs modernos são compatíveis com o comando ATA de apagamento seguro (hdparm --security-erase no Linux). Esse comando instrui o controlador interno da unidade a apagar todas as áreas de dados do usuário, incluindo setores remapeados que o OS não consegue acessar diretamente. Em SSDs, isso normalmente redefine todas as células de memória flash para seu estado apagado. Quando implementado corretamente, esse método é mais completo do que a sobrescrita por software e leva apenas de segundos a minutos.

O apagamento criptográfico consiste em criptografar todos os dados com uma chave armazenada apenas em um local seguro e depois destruir a chave. Os dados se tornam permanentemente ilegíveis porque, sem a chave, a descriptografia é computacionalmente inviável. Os provedores de nuvem usam essa abordagem para desativar armazenamentos: os dados de cada cliente são criptografados com uma chave específica do cliente, e excluir a chave torna os dados imediatamente irrecuperáveis.

O pacote secure-delete (Linux) fornece vários utilitários: srm para remoção segura de arquivos (método de Gutmann com 35 passagens, embora 1 a 3 passagens sejam suficientes para unidades modernas), smem para apagar a memória com segurança, sfill para preencher o espaço livre do disco e sswap para apagar a área de troca com segurança. Assim como o shred, esses utilitários são mais eficazes em unidades magnéticas tradicionais e menos confiáveis em SSDs devido ao nivelamento de desgaste.

Para obter o mais alto nível de garantia, especialmente no caso de dados governamentais ou de saúde sensíveis, a destruição física é o método mais confiável de exclusão segura. A desmagnetização expõe a mídia magnética a um campo magnético intenso, tornando aleatórios todos os domínios magnéticos. Trituradores industriais reduzem as unidades a pequenos fragmentos. A incineração em temperatura suficiente destrói toda a mídia de armazenamento. O NIST SP 800-88 fornece orientações sobre métodos de destruição adequados para cada tipo de mídia.

O NIST SP 800-88 define três níveis de higienização de mídias: Limpeza (sobrescrita por software, adequada para reutilização interna), Purga (técnicas específicas da mídia, como apagamento seguro ou desmagnetização, adequada para liberação externa) e Destruição (destruição física, adequada para as classificações de maior sensibilidade). O nível apropriado depende da classificação dos dados e do destino previsto para a mídia após a higienização.

Qual é o princípio por trás do apagamento criptográfico de mídias de armazenamento?

Resumo da exclusão segura: rm e a Lixeira apenas removem as entradas de diretório, deixando os dados recuperáveis; os SSDs e o nivelamento de desgaste tornam a sobrescrita por software não confiável; a criptografia do disco inteiro desde o início, combinada com a destruição criptográfica da chave, é a estratégia mais confiável; o apagamento seguro ATA atua no nível do controlador para SSDs; a destruição física (desmagnetização, trituração) oferece o mais alto nível de garantia para os dados mais sensíveis.