การลบข้อมูลอย่างปลอดภัยและการทำลายกุญแจ

เมื่อคุณลบไฟล์ด้วย rm หรือย้ายไฟล์ไปยังถังรีไซเคิล ระบบปฏิบัติการจะลบเพียงรายการในไดเรกทอรีที่ชี้ไปยังไฟล์เท่านั้น ข้อมูลไฟล์จริงยังคงอยู่บนสื่อจัดเก็บจนกว่าจะมีข้อมูลใหม่เขียนทับเซกเตอร์เหล่านั้น เครื่องมือพิสูจน์หลักฐานดิจิทัลสามารถกู้คืนข้อมูลได้โดยสแกนหาเซกเตอร์ที่ไม่ได้จัดสรร นี่คือเหตุผลที่การลบอย่างปลอดภัยต้องทำมากกว่าการลบแบบธรรมดา

ฮาร์ดไดรฟ์แม่เหล็กรุ่นเก่าที่มีจานบันทึกความหนาแน่นสูงมากอาจเก็บแม่เหล็กตกค้างหลังการเขียนทับเพียงครั้งเดียวได้ในทางทฤษฎี ทำให้ห้องปฏิบัติการเฉพาะทางสามารถกู้คืนข้อมูลได้โดยใช้กล้องจุลทรรศน์แรงแม่เหล็ก ประเด็นนี้เกี่ยวข้องกับไดรฟ์รุ่นเก่ามากกว่า ส่วนไดรฟ์ความหนาแน่นสูงรุ่นใหม่ทำให้การกู้คืนลักษณะนี้ทำได้ยากในทางปฏิบัติ เนื่องจากความกว้างของแทร็กและความหนาแน่นของบิต อย่างไรก็ตาม ความกังวลดังกล่าวเป็นแรงผลักดันให้เกิดมาตรฐานการเขียนทับหลายรอบ เช่น DoD 5220.22-M

SSD ทำให้การลบข้อมูลอย่างปลอดภัยซับซ้อนขึ้นอย่างมาก TRIM แจ้งตัวควบคุม SSD ว่าบล็อกใดว่างและพร้อมสำหรับการลบ แต่เวลาที่ลบจริงขึ้นอยู่กับตัวควบคุมและอาจถูกเลื่อนออกไป การกระจายการสึกหรอจะย้ายข้อมูลไปตามเซลล์ต่าง ๆ เพื่อกระจายการเขียนให้เท่าเทียมกัน ซึ่งหมายความว่าสำเนาข้อมูลเก่าอาจยังคงอยู่ในพื้นที่ที่ OS มองว่าว่าง การเขียนทับไฟล์โดยตรงบน SSD จึงไม่สามารถเขียนทับสำเนาข้อมูลทั้งหมดได้อย่างน่าเชื่อถือ

ในอดีต มาตรฐาน DoD 5220.22-M กำหนดให้เขียนทับ 7 รอบ โดยใช้รูปแบบ 0x00, 0xFF, ข้อมูลสุ่ม และรอบการตรวจสอบ มาตรฐานนี้ออกแบบมาสำหรับไดรฟ์แม่เหล็กรุ่นเก่า และแทบไม่เกี่ยวข้องกับไดรฟ์สมัยใหม่แล้ว NIST SP 800-88 เข้ามาแทนที่มาตรฐานนี้สำหรับสื่อจัดเก็บส่วนใหญ่ โดยแนะนำว่าสำหรับไดรฟ์แม่เหล็กรุ่นใหม่ การล้างข้อมูลหนึ่งรอบ (เขียนทับด้วยศูนย์หรือหนึ่ง) ก็เพียงพอ

คำสั่ง shred บน Linux จะเขียนทับไฟล์หลายรอบก่อนลบไฟล์: shred -vzun 3 secret.txt จะเขียนทับ 3 รอบ (-n 3) เพิ่มรอบสุดท้ายด้วยการเติมศูนย์ (-z) จากนั้นลบไฟล์ (-u) พร้อมแสดงผลลัพธ์แบบละเอียด (-v) อย่างไรก็ตาม shred ไม่น่าเชื่อถือบน SSD เนื่องจากการกระจายการสึกหรอ รวมทั้งไม่น่าเชื่อถือบนระบบไฟล์แบบบันทึกเจอร์นัลซึ่งอาจเก็บข้อมูลเก่าไว้ในเจอร์นัล และระบบไฟล์แบบคัดลอกเมื่อเขียน เช่น Btrfs หรือ ZFS

แนวทางที่น่าเชื่อถือที่สุดในการลบข้อมูลอย่างปลอดภัยบน SSD และสื่อจัดเก็บรุ่นใหม่ คือไม่จัดเก็บข้อมูลละเอียดอ่อนที่ไม่ได้เข้ารหัสตั้งแต่แรก หากเข้ารหัสดิสก์ทั้งลูกตั้งแต่เริ่มต้น ข้อมูลต้นฉบับจะไม่เคยมีอยู่บนสื่อในรูปที่ไม่ได้เข้ารหัส เมื่อถึงเวลาปลดระวางไดรฟ์ การทำลายกุญแจเข้ารหัส (การลบข้อมูลเชิงเข้ารหัส) จะทำให้ข้อมูลทั้งหมดไม่สามารถกู้คืนได้อย่างถาวรในทันที ไม่ว่าบนไดรฟ์จะมีข้อมูลอยู่มากเพียงใด

ฮาร์ดไดรฟ์และ SSD รุ่นใหม่รองรับคำสั่ง ATA Secure Erase (hdparm --security-erase บน Linux) คำสั่งนี้สั่งให้ตัวควบคุมภายในไดรฟ์ลบข้อมูลผู้ใช้ทั้งหมด รวมถึงเซกเตอร์ที่ถูกแมปใหม่ซึ่ง OS ไม่สามารถเข้าถึงได้โดยตรง บน SSD คำสั่งนี้มักรีเซ็ตเซลล์แฟลชทั้งหมดให้อยู่ในสถานะถูกลบ หากใช้งานได้อย่างถูกต้อง วิธีนี้จะละเอียดกว่าการเขียนทับด้วยซอฟต์แวร์ และใช้เวลาเพียงไม่กี่วินาทีถึงไม่กี่นาที

การลบข้อมูลเชิงเข้ารหัสหมายถึงการเข้ารหัสข้อมูลทั้งหมดด้วยกุญแจที่จัดเก็บไว้ในตำแหน่งที่ปลอดภัยเพียงแห่งเดียว แล้วทำลายกุญแจนั้น ข้อมูลจะไม่สามารถอ่านได้อย่างถาวร เพราะหากไม่มีกุญแจ การถอดรหัสจะมีค่าใช้จ่ายในการคำนวณสูงจนทำไม่ได้ในทางปฏิบัติ ผู้ให้บริการคลาวด์ใช้แนวทางนี้ในการปลดระวางสื่อจัดเก็บข้อมูล โดยเข้ารหัสข้อมูลของลูกค้าแต่ละรายด้วยกุญแจเฉพาะลูกค้า และการลบกุญแจจะทำให้ข้อมูลไม่สามารถกู้คืนได้ทันที

แพ็กเกจ secure-delete (Linux) มีโปรแกรมอรรถประโยชน์หลายรายการ ได้แก่ srm สำหรับลบไฟล์อย่างปลอดภัย (วิธี Gutmann 35 รอบ แม้ว่าไดรฟ์รุ่นใหม่จะต้องการเพียง 1-3 รอบ) smem สำหรับล้างหน่วยความจำอย่างปลอดภัย sfill สำหรับเติมข้อมูลลงในพื้นที่ว่างของดิสก์ และ sswap สำหรับล้างพื้นที่สลับอย่างปลอดภัย เช่นเดียวกับ shred เครื่องมือเหล่านี้มีประสิทธิภาพสูงสุดบนไดรฟ์แม่เหล็กแบบดั้งเดิม และไม่น่าเชื่อถือเท่าที่ควรบน SSD เนื่องจากการกระจายการสึกหรอ

เพื่อให้มั่นใจในระดับสูงสุด โดยเฉพาะสำหรับข้อมูลรัฐบาลหรือข้อมูลสุขภาพที่ละเอียดอ่อน การทำลายทางกายภาพเป็นวิธีลบข้อมูลอย่างปลอดภัยที่น่าเชื่อถือที่สุด การล้างอำนาจแม่เหล็กจะทำให้สื่อแม่เหล็กสัมผัสกับสนามแม่เหล็กแรงสูงเพื่อทำให้โดเมนแม่เหล็กทั้งหมดมีสภาพสุ่ม เครื่องย่อยอุตสาหกรรมจะบดไดรฟ์ให้เป็นชิ้นส่วนขนาดเล็ก การเผาที่อุณหภูมิเพียงพอจะทำลายสื่อจัดเก็บข้อมูลทุกชนิด NIST SP 800-88 ให้คำแนะนำเกี่ยวกับวิธีทำลายที่เหมาะสมสำหรับสื่อแต่ละประเภท

NIST SP 800-88 กำหนดการล้างข้อมูลสื่อจัดเก็บไว้สามระดับ ได้แก่ ล้างข้อมูล (เขียนทับด้วยซอฟต์แวร์ เหมาะสำหรับนำกลับมาใช้ภายในองค์กร) กำจัดข้อมูล (ใช้เทคนิคเฉพาะสื่อ เช่น Secure Erase หรือการล้างอำนาจแม่เหล็ก เหมาะสำหรับการส่งต่อออกนอกองค์กร) และทำลาย (ทำลายทางกายภาพ เหมาะสำหรับข้อมูลที่มีระดับความละเอียดอ่อนสูงสุด) ระดับที่เหมาะสมขึ้นอยู่กับการจัดประเภทข้อมูลและจุดหมายการใช้งานต่อของสื่อหลังการล้างข้อมูล

หลักการเบื้องหลังการลบข้อมูลเชิงเข้ารหัสของสื่อจัดเก็บคืออะไร

สรุปการลบข้อมูลอย่างปลอดภัย: rm และถังรีไซเคิลจะลบเพียงรายการในไดเรกทอรี ทำให้ยังกู้คืนข้อมูลได้ SSD และการกระจายการสึกหรอทำให้การเขียนทับด้วยซอฟต์แวร์ไม่น่าเชื่อถือ การเข้ารหัสดิสก์ทั้งลูกตั้งแต่เริ่มต้นร่วมกับการทำลายกุญแจเชิงเข้ารหัสเป็นกลยุทธ์ที่น่าเชื่อถือที่สุด ATA Secure Erase ทำงานในระดับตัวควบคุมสำหรับ SSD ส่วนการทำลายทางกายภาพ (การล้างอำนาจแม่เหล็ก การบดทำลาย) ให้ความมั่นใจสูงสุดสำหรับข้อมูลที่ละเอียดอ่อนที่สุด