Persistència de dades

La persistència de dades és la representació residual de dades que han sigut d'alguna manera nominalment esborrades o eliminades. Aquest residu pot ser degut a que les dades han sigut deixades intactes per un operatiu d'eliminació nominal, o per les propietats físiques del medi d'emmagatzematge. La persistència de dades possibilita, de forma inadvertida, l'exhibició d'informació sensible si el medi d'emmagatzematge es deixat en un ambient sobre el qual no es té control.

Amb el pas dels anys s'han desenvolupat vàries tècniques per a combatre la persistència de dades. Segons la seva efectivitat i la intenció, se'ls classifica com a compensació o purga/higienització. Mètodes específics inclouen la sobre escriptura, la desmagnetització, el xifrat i la destrucció física.

Causes

Molts sistemes operatius, administradors d'arxius i altres programes proveeixen facilitats per a que l'arxiu no sigui immediatament esborrat quan l'usuari sol·liciti aquesta acció. En canvi, l'arxiu és traslladat a una àrea de retenció que permeti fàcilment refer l'acció a l'usuari en cas d'haver comès un error.

A més, quan no es proporciona una àrea explícita d'arxius eliminats, o quan l'usuari no l'utilitza, els equips normals realment no treuen el contingut d'un arxiu quan se'l intenta eliminar. A canvi d'això, simplement eliminen l'entrada de l'arxiu a l'índex de documents del sistema perquè comporta menys treball i aleshores és una solució més ràpida. Els continguts del document - les verdaderes dades - remanen al mitjà d'emmagatzematge. Les dades persisteixen allà fins que el sistema operatiu reutilitzi l'espai per a noves dades. En alguns casos, diversos metadades del sistema d'arxius són conservades per facilitar la recuperació de les dades per programes utilitaris fàcilment disponibles. Encara quan la recuperació d'ha tornat impossible, les dades, fins que no siguin sobreescrites, poden ser llegides per programes que llegeixen els sectors del disc directament. Els forenses informàtics sovint utilitzen aquests programes.

De la mateixa manera, reformatejar, la repartició o la imatge recreada d'un sistema no sempre garanteix escriure sobre totes les àrees d'un disc, encara que totes les accions facin que el disc sembli buit o, en el cas de la imatge recreada, buit a excepció dels arxius presents a la imatge, al ser examinats com la majoria dels programes.

Contramesura

Habitualment es reconeixen tres nivells d'eliminació de dades persistents:

Compensació

És la remoció de les dades sensibles d'un mitjà d'emmagatzematge de tal manera que hagi seguretat de que les dades no podran ser reconstruïdes utilitzant les

funcions normals del sistema o programes de recuperació d'arxius/dades. Les dades encara poden ser recuperables, però això requerirà tècniques especials de laboratori.

Purga

La purga o higenització és la remoció de dades sensibles d'un dispositiu d'emmagatzematge amb l'objectiu de que les dades no puguin ser reconstruïdes utilitzant alguna de les tècniques conegudes. La purga, proporcional a la sensibilitat de les dades, generalment s'efectua abans de deixar lliures de control els dispositius d'emmagatzematge, en els casos en què es descartin vells mitjans d'aquest tipus o es traslladin aquests medis a computadores amb diversos requeriments de seguretat.

Destrucció

El medi d'emmagatzematge és físicament destruït. La seva efectivitat varia. Depenent de la densitat de gravació del medi i/o de la destrucció, aquesta tècnica pot deixar dades recuperables per mitjançant mètodes de laboratori. A la vegada, la destrucció física quan s'utilitzen els mètodes apropiats, és generalment considerada com el mètode més segur possible.

Mètodes específics

Sobreescriptura

Un mètode de contrarrestar les dades persistents és sobreescriure el medi d'emmagatzematge amb noves dades. Això s'anomena sovint neteja o trituració d'un arxiu o un disc. És una opció popular i de baix cost d'alguns programes degut a que a sol ser implementat simplement en aquests programes i pot ser selectivament dirigit només cap a una part del medi emmagatzematge. La sobreescriptura és generalment un mètode acceptable de compensació sempre i quan el medi sigui gravable i no estigui danyat.

Per a contrarrestar tècniques de recuperació de dades més avançades, sovint es prescriuen mostres de sobreescriptura específiques. Estes poden ser mostres que intenten erradicar qualsevol traça de firmes. Per exemple, ecriure de forma repetida mostres alternes d'uns i zeros pot ser més efectiu que només utilitzar zeros. Freqüentment s'indiquen combinacions de mostres.

Un desafiament de la sobreescriptura és que certes àrees del disc poden ser inaccessibles per degradació dels medis o per altres errors. La sobreescriptura per software pot ser problemàtica a medis d'alta seguretat que requereixen controls més forts de la barreja de dades que la que pot proveir el programa en ús. L'ús de tècniques acançades d'emmagatzematge també pot fer inefectiu la sobreescriptura basada en arxius.

Factibilitat de recuperar dades sobreescrites

Peter Gutmann va investigar la recuperació de dades a medis d'emmagatzematge nominalment sobreescrites a mitjans de la dècada dels 90. Ell va suggerir que la microscòpia per força magnètica pot ser capaç de recuperar aquestes dades i desencolupar patrons de sobreescriptura específics, per a contrarrestar aquest tipus de recuperació. Aquests patrons es coneixen com el mètode de Gutmann.

Daniel Feenberg, un economista del privat National Bureau of Economic Resarch, afirma que la possibilitat de recuperar dades sobreescrites d'un disc dur modern són una "llegenda urbana". També assenyala "la bretxa de 18½ minuts que Rose Mary Woods va crear en una cita de Richard Nixon discutint sobre el cas Watergate". La informació de bretxa encara no ha sigut recuperada i Feenberg afirma que recuperar-la seria feina fàcil comparada amb la recuperació d'una senyal digital d'alta densitat.

Al novembre de 2007, el Departament de Defensa dels Estats Units considerava que la sobreescriptura era un mètode acceptable per compensar medis magnètics dins de la mateixa àrea/zona de seguretat, però com un mètode de higenització. Només acceptava com a mètode d'higienització de la magnetització o la destrucció física.

Per altra banda, d'acord amb la Publicació Especial 800-88 NIST (p.7): "Els estudis han demostrat que la majoria dels medis d'emmagatzematge poden ser efectivament compensats amb una sobreescriptura" i "per als discs ATA fabricats amb posterioritat a 2001 (de més de 15 GB), els termes compensació i higienització han convergit". Un anàlisi de Wright i col·laboradors de tècniques de recuperació, incloent microscòpia per força magnètica, també conclouen que una simple neteja es tot el que es necessita als controladors moderns". Aseenyalen que el llarg temps que reuquereixen múltiples neteges "han creat una situació on moltes organitzacions ignoren totalment el tema - el que ocasiona filtracions i pèrdues."

De magnetització

De magnetització és la remoció o reducció del camp magnètic d'un disc o controlador utilitzant un dispositiu anomenat de magnetitzador que ha sigut dissenyat pel medi d'emmagatzematge que es desitja esborrar. Aplicat a medis magnètics, aquesta pot purgar el medi ràpida i efectivament.

La de magnetització sovint torna els discs durs inoperables, ja que esborra el formateig de baix nivell que solament és efectuat a les fàbriques durant la fabricació. És possible, no obstant, retornar el disc dur a un estat funcional si el fabricant accedeix a reformatejar-lo. Els diskettes desmagnetitzats poden ser generalment reformatejats i reutilitzats amb el harrware dels consumidors.

A alguns entorns d'alta seguretat, pot ser que requereixi utilitzar un de magnetitzador que hagi sigut aprovat per a la tasca. Per exemple, a les juridiccions governamentals i militars dels Estats Units, pot ser que s'exigeixi l'ús d'un magnetitzador de la "Lista de Productes Avaluats" de la NSA.

Xifrat

El xifrat de dades, abans de que sigui emmagatzemat al medi, pot mitigar les preocupacions sobre la persistència de dades. Si la clau critogràfica es suficientment forta i està cuidadosament controlada (p.ex., no subjectada a la persistèncai de dades) pot fer irrecuperable, de forma efectiva, qualsevol dada del medi. Encara si la clau es troba emmagatzemada al medi, pot resultar més fàcil o ràpid sobreecriure solament la clau en canvi de sobreesciure tot el disc.

El xifrat pot fer-se sobre la base d'arxiu per arxiu o sobre tot el disc. Malgrat això, si la clau es emmagatzemada, encara que sigui temporalment, al mateix sistema que les dades, pot passar a ser una dada romanent i recuperada per un atacant. Vegeu atac d'arrencada en fred (cold boot attack).

Destrucció física

Una cuidadosa destrucció física del medi d'emmagatzematge és gnerealment considerat em el mètode més segur de contrarrestar la persistència de dades. No obstant, el procés generalment porta temps i té una certa complexitat. La destrucció física pot reuqerir mètodes extremadament cuidadosos, ja que encara un fragment molt petit del medi pot contenir grans quantitats d'informació.

Les tècniques de destrucció específica inclouen:

• Trencament físic del medi per mòlta, trituració, etc.
• Incineració.
• Canvi d'estat (p.e. liqüefacció o vaporització d'un disc sòlid).
• Aplicació d'un químic corrosiu, com àcids, a la superfície de la gravació.
• Per medis magnètic, l'elevació de la temperatura per sobre de la temperatura de Curie.
• Per molts medis d'emmagatzematge elèctric volàtil i no volàtil, l'aplicació de voltatges extremadament alts, molt per sobre de les especificacions operacionals.

Complicacions

Àrees inaccessibles

Els medis d'emmagatzematge poden tenir àrees que són inaccessibles per mètodes normals. Per exemple, els discos magnètics poden desenvolupar "sectors avariats" després de que les dades hagin sigut gravades, i les cintes tenen bretxes entre les diferents gravacions. Els discos durs moderns sovint tenen un remapatge automàtic de sectors marginals o pistes que el sistema operatiu no pot ni tan sols detectar. Els intents de contrarrestar la persistència de dades per sobreescriptura poden no ser exitosos en tals situacions, ja que les dades persistents poden persistir en aquestes àrees nominalment inaccessibles.

Medis d'emmagtzematge avançats

Sistemes d'emmagatzematge de dades amb característiques més sofisticades poder fer que la sobreescriptura sigui inefectiva, especialment la basada en la sobreescriptura per arxiu.

Els sitemes d'arxiu amb journaling incrementen la integritat de les dades al registrar les operacions d'escriptura en múltiples ubicacions i mitjançant l'aplicació de semàntica de tipus transeccional. En aquests sistemes, les dades persistents poden persistir en ubicacions "fora" de les ubicacions d'emmagatzematge nominal de l'arxiu.

Alguns sitemes d'arxius implementen copy-on-write o control de versions amb la intenció que, a l'escriure en un arxiu, mai es sobreescriguin les dades ja ubicades.

Tecnologies com RAID i tècniques d'anti fragmentació poden fer que les dades de l'arxiu siguin escrits en múltiples ubicacions, ja sigui per disseny (tolerància de falla), o com dades persistents.

El wear levelling és una tècnica que també pot derrotar l'esborrament de les dades, al relocalitzar els blocs escrits entre el moment que originalment foren escrits i el moment quan s'estan sobreescrivint.

Medis òptics

Els medis òptics no són afectats per la magnetització. Els medis òptics d'escriptura única (CD-R, DVD-R, etc.) tampoc poden ser purgats per sobre escriptura. Els medis òptics de lectura/escriptura com CD-RW i DVD.RW, poden ser sobreescrits. Mètodes per higienitzar exitosament els discos òptics inclouen la de laminació-abrasió de la capa metàl·lica, trituració, electro destrucció (p.e., exposició a microones), i la submersió en solvents policarbonatats (p.e., acetona).

Dades en RAM

S'han fet observasions respecta a la persistència de dades en SDRAM, que típicament és considerada volàtil (és a dir, els seus components s'esborren amb la pèrdua de la potència elèctrica). A l'estudi, a vegades es va observar una retenció de dades a temperatura ambient.

Un altre estudi va trobar persistència de dades en una DRAM, també amb retenció de dades durant minuts o segons a temperatura ambient i "durant tota una setmana sense cap refresc quan se'l enfredà amb nitrògen líquid. Els autors de l'estudi foren capaços d'usar un atac d'arrancada en fred per recuperar claus criptogràfiques per a diversos populars sistemes de xifrat total del disc. Malgrat d'un cert grau de degradació de la memòria, foren capaços d'aprofitar-se de la redundància en la forma que les claus s'emmagatzemen després que s'hagin expandit per ser usades eficientment com en el cas de les claus mestres. Els autores recomanen que les computadores siguin apagades més que deixades en estat d'hivernació quan no estan sota el control físic de l'amo, i en certs casos, com si un poseeix el programa Bitlocker que es configuri també un PIN per a l'arrencada. Els xips RAM moderns tenen incorporat un mòdul d'auto-refresc, de tal manera que poden retenir les dades, sempre i quan rebin energia i un senyal de rellotge.

Estàndars

• US NIST Special Publication 800-88: guia per la higienització dels medis (Guidelines for Media Sanitization).
• US DoD 5220.22-M: Manual d'operacions del programa de seguretat industrial nacional (National Industrial Sequrity Program Operating Manual [NISPOM])`.
  • Les actuals edicions no contenen més referències a mètodes d'higienització específics. Els patrons d'higienització es deixen en mans de la Cognizant Security Authority.
  • Malgrat que el text NISPOM en sí mateix mai va descriure mètodes específics per a la higienització, edicions passades (1995 i 1997) contenien mètodes explícits d'higienització dins de la taula DDS I C&M que estaven insertades després de la Secció 8-306.
  • El Defense Security Service (DSS) proveeix uan matriu de compensació i higienització (Clearing and Sanitizacion Matix= C&SM) que especifica els mètodes.
  • Per a l'edició del novembre de 2007 del DSS C&M, la sobreescriptura va deixar de ser un mètode acceptable per la higienitació dels medis magnètics. Solament s'accepta la demagnetització (amb un desmagnetitzador aprovat per la NSA) o la destrucció física.
• NAVASO P5239-26.
• AR380-19
• RCMP B2-002: IT Media Overwrite and Secure Erase Products.