Güvenli Silme ve Anahtar Yok Etme

rm ile bir dosyayı sildiğinizde veya dosyayı Geri Dönüşüm Kutusu'na taşıdığınızda işletim sistemi yalnızca dosyaya işaret eden dizin girdisini kaldırır. Dosyanın gerçek verileri, yeni veriler bu sektörlerin üzerine yazana kadar depolama ortamında kalır. Bir adli bilişim aracı, ayrılmamış sektörleri tarayarak verileri kurtarabilir. Güvenli silme işleminin basit bir silme işleminden fazlasını gerektirmesinin nedeni budur.

Çok yüksek yoğunluklu plakaları olan eski manyetik sabit diskler, tek bir üzerine yazma işleminden sonra teorik olarak hayalet mıknatıslanmayı koruyabilir; bu da uzmanlaşmış laboratuvarların manyetik kuvvet mikroskopisi kullanarak veri kurtarmasına olanak tanır. Bu durum eski sürücüler için daha önemliydi; modern yüksek yoğunluklu sürücülerde iz genişliği ve bit yoğunluğu nedeniyle böyle bir kurtarma işlemi pratik değildir. Bununla birlikte bu endişe, DoD 5220.22-M gibi çok geçişli üzerine yazma standartlarının geliştirilmesine yol açtı.

SSD'ler güvenli silme işlemini önemli ölçüde karmaşıklaştırır. TRIM, SSD denetleyicisine hangi blokların silinmek üzere boş olduğunu bildirir; ancak gerçek silme zamanlaması denetleyiciye bağlıdır ve ertelenebilir. Aşınma dengeleme, yazma işlemlerini eşit dağıtmak için verileri hücreler arasında taşır; bu da eski veri kopyalarının OS'nin boş kabul ettiği alanlarda kalabileceği anlamına gelir. Bir SSD'de bir dosyanın üzerine doğrudan yazmak, verilerin tüm kopyalarının üzerine güvenilir biçimde yazılmasını sağlamaz.

DoD 5220.22-M standardı, geçmişte 7 geçişli üzerine yazma işlemi öngörüyordu (0x00, 0xFF ve rastgele veri örüntüleri ile doğrulama geçişleri). Bu yöntem eski manyetik sürücüler için tasarlanmıştı ve modern sürücüler açısından büyük ölçüde geçersizdir. NIST SP 800-88, çoğu depolama türü için bu standardın yerini aldı ve modern manyetik sürücülerde tek bir temizleme geçişinin (sıfırlarla veya birlerle üzerine yazmanın) yeterli olduğunu önerdi.

Linux'taki shred komutu, bir dosyayı silmeden önce üzerine birden çok kez yazar: shred -vzun 3 secret.txt, 3 kez üzerine yazar (-n 3), son bir sıfırlarla doldurma geçişi ekler (-z), ardından dosyayı kaldırır (-u) ve ayrıntılı çıktı verir (-v). Ancak shred, aşınma dengeleme nedeniyle SSD'lerde, eski verileri günlüklerde koruyabilen günlüklemeli dosya sistemlerinde ve Btrfs veya ZFS gibi kopya üzerine yazma dosya sistemlerinde güvenilir değildir.

SSD'lerde ve modern depolama ortamlarında güvenli silme için en güvenilir yaklaşım, şifrelenmemiş hassas verileri hiç depolamamaktır. Tüm disk en baştan şifrelenirse açık metin depolama ortamında hiçbir zaman şifrelenmemiş hâlde bulunmaz. Sürücüyü kullanım dışı bırakmanız gerektiğinde şifreleme anahtarını yok etmek (kriptografik silme), sürücüde ne kadar veri bulunduğundan bağımsız olarak tüm verileri anında ve kalıcı biçimde kurtarılamaz hâle getirir.

Modern sabit diskler ve SSD'ler ATA Güvenli Silme komutunu destekler (Linux'ta hdparm --security-erase). Bu komut, OS'nin doğrudan erişemediği yeniden eşlenmiş sektörler de dâhil olmak üzere kullanıcı verilerinin bulunduğu tüm alanları silmesi için sürücünün dahili denetleyicisine talimat verir. SSD'lerde bu işlem genellikle tüm flaş hücrelerini silinmiş durumlarına döndürür. Doğru uygulandığında bu yöntem, yazılımla üzerine yazmaktan daha kapsamlıdır ve yalnızca saniyeler ile dakikalar arasında sürer.

Kriptografik silme, tüm verileri yalnızca güvenli bir konumda saklanan bir anahtarla şifrelemek ve ardından anahtarı yok etmek anlamına gelir. Anahtar olmadan şifre çözmek hesaplama açısından uygulanabilir olmadığından veriler kalıcı olarak okunamaz hâle gelir. Bulut sağlayıcıları depolama alanlarını kullanım dışı bırakırken bu yaklaşımı kullanır: her müşterinin verileri müşteriye özel bir anahtarla şifrelenir ve anahtarın silinmesi verileri hemen kurtarılamaz hâle getirir.

secure-delete paketi (Linux) çeşitli yardımcı programlar sağlar: güvenli dosya kaldırma için srm (35 geçişli Gutmann yöntemi; ancak modern sürücüler için 1-3 geçiş yeterlidir), belleği güvenli biçimde temizlemek için smem, boş disk alanını doldurmak için sfill ve takas alanını güvenli biçimde temizlemek için sswap. shred gibi bunlar da geleneksel manyetik sürücülerde en etkilidir; aşınma dengeleme nedeniyle SSD'lerde daha az güvenilirdir.

Özellikle hassas devlet veya sağlık verileri için en yüksek güvence gerektiğinde fiziksel imha, en güvenilir güvenli silme yöntemidir. Manyetikliği giderme, manyetik ortamı güçlü bir manyetik alana maruz bırakarak tüm manyetik bölgeleri rastgele hâle getirir. Endüstriyel öğütücüler sürücüleri küçük parçalara ayırır. Yeterli sıcaklıkta yakma, tüm depolama ortamlarını yok eder. NIST SP 800-88, ortam türüne göre uygun imha yöntemleri hakkında kılavuzluk sağlar.

NIST SP 800-88, depolama ortamı temizlemenin üç düzeyini tanımlar: Temizle (kurum içinde yeniden kullanım için uygun yazılımla üzerine yazma), Arındır (haricî kullanıma sunmak için uygun Secure Erase veya manyetikliği giderme gibi ortama özgü teknikler) ve Yok Et (en yüksek hassasiyet sınıflandırmaları için uygun fiziksel imha). Uygun düzey, verilerin sınıflandırmasına ve temizleme işleminden sonra ortamın amaçlanan kullanımına bağlıdır.

Depolama ortamının kriptografik olarak silinmesinin ardındaki ilke nedir?

Güvenli silme özeti: rm ve Geri Dönüşüm Kutusu yalnızca dizin girdilerini kaldırır ve verileri kurtarılabilir durumda bırakır; SSD'ler ve aşınma dengeleme, yazılımla üzerine yazmayı güvenilmez hâle getirir; en baştan uygulanan tüm disk şifrelemesiyle birlikte kriptografik anahtarın yok edilmesi en güvenilir stratejidir; ATA Güvenli Silme, SSD'lerde denetleyici düzeyinde çalışır; fiziksel imha (manyetikliği giderme, öğütme), en hassas veriler için en yüksek güvenceyi sağlar.