Comment effacer complètement les informations des fichiers et dossiers écrasés?
Je n'ai qu'une compréhension de base de la façon dont les fichiers sont écrits sur un disque dur. Ici, je suppose que les fichiers sont remplacés de cette façon.
Le fichier A est supprimé
Son adresse est supprimée et affichée vacante
Le nouveau fichier B est remplacé au-dessus de l'espace du fichier A
Je suppose ici que même si nous supprimons le fichier A et le remplaçons par le fichier B, nous pouvons toujours récupérer le fichier A avec ses informations résiduelles à l'aide de logiciels ou d'instruments puissants.
J'ai une idée pour supprimer ces informations résiduelles. Supposons que nous ayons un disque dur imaginaire avec 10 Go d'espace dans lequel 5 Go sont remplis de fichiers et les 5 Go restants sont vides. Ensuite, nous sélectionnons tous les fichiers de 5 Go sur le disque dur, puis Ctrl + X (coupez) et ensuite Ctrl + V (collez) les mêmes fichiers sur le même disque dur. L'exécution de cette opération pour n nombre d'étapes l'écrase ainsi encore et encore. Cela effacera-t-il complètement les informations résiduelles?
Vous devez arrêter de penser à cela au niveau du fichier. Pour un périphérique de stockage, tout ce qui compte, c'est le secteur. Si un secteur d'un disque dur * est écrasé, les données qu'il contient sont définitivement supprimées. Il n'existe aucun moyen connu de le récupérer même avec un "logiciel puissant", et il n'est pas nécessaire de remplacer le même secteur plusieurs fois. Les disques durs modernes encodent les données dans un format si dense et complexe qu'un seul écrasement rendra invariablement ces données irrécupérables (nous ne pouvons même pas récupérer les données d'une ancienne cassette audio basse densité!). Cependant, le fait de remplir ou non un tas d'espace libre sur un disque dur remplacera réellement les secteurs sensibles est une autre question. En raison de fonctionnalités telles que la relocalisation du secteur endommagé et du comportement du système de fichiers spécifique, il n'est pas possible de garantir que l'espace libre a été écrasé sans écraser l'intégralité du lecteur.
Les systèmes de fichiers sont incroyablement complexes, et ils sont loin d'être des bases de données plates de fichiers. Par exemple, couper et coller un fichier ne fait rien d'autre que déplacer, ce qui implique de ne changer que quelques octets dans les métadonnées du système de fichiers, quelle que soit la taille du fichier. Qu'en est-il de la suppression d'un fichier, puis du remplissage de l'espace libre avec des données factices jusqu'à ce que le lecteur soit plein? Cela pourrait fonctionner, mais cela pourrait ne pas fonctionner. De nombreux systèmes de fichiers contiennent des copies redondantes d'informations. Le système de fichiers ext4, par exemple, peut conserver des copies de petits fichiers dans son journal, qui n'est pas écrasé lorsque vous effacez l'espace libre.
La manière exacte de stocker de nouveaux fichiers est également plus complexe que ce que vous avez mentionné. Lorsque vous supprimez un fichier, vous supprimez une référence au fichier (comme vous l'avez supposé). Cependant, la création d'un nouveau fichier ne garantit pas que vous écraserez les secteurs qui constituaient le fichier précédent. Un nouveau fichier sera probablement placé stratégiquement à une adresse sur le disque dur qui minimise la latence d'accès ou qui diminue la fragmentation. Le fichier peut même ne pas être supprimé, mais simplement masqué, afin de permettre la suppression de la suppression et des sauvegardes incrémentielles ("instantanés"). Un nouveau fichier ne sera pas simplement inséré dans l'espace nouvellement non alloué, mais dans le plus simple des systèmes de fichiers.
* Quand je dis disque dur, je veux dire une vraie rouille qui tourne. Les disques SSD et hybrides fonctionnent différemment de sorte que, même si vous écrasez deux fois le même secteur, l'emplacement physique dans lequel les données sont enregistrées peut être différent à chaque fois.
Si vous devez réellement supprimer un fichier de sorte que personne ne puisse le récupérer, vous n'aurez pas à votre disposition de nombreuses options qui préservent les autres données existantes sur le lecteur. Mais vous n'avez pas de chance:
Si vous avez chiffré le fichier ou le lecteur, vous pouvez simplement jeter la clé de chiffrement.
Vous pouvez effacer l'intégralité du disque, par exemple en utilisant ATA Secure Erase.
Vous pouvez détruire le lecteur de l'extérieur à l'aide d'une machine de démagnétisation coûteuse.
La suppression du fichier, puis le remplissage de l'espace libre ou la destruction du fichier à l'aide d'outils d'effacement des données (qui obtiennent généralement une liste des secteurs que le fichier occupe, puis écrase ces secteurs spécifiques) détruira généralement la majorité du fichier, mais vient avec un risque élevé d'effacement incomplet, les métadonnées du fichier et potentiellement de petites portions du fichier restant ailleurs sur le lecteur.
La réponse n'est pas facile, et cela dépend de qui vous êtes, ou plutôt du modèle de menace.
Quel est donc le problème?
Êtes-vous un utilisateur moyen sur le point de jeter l'ancien ordinateur et vous avez peur que quelqu'un prenne le disque dur et qu'il lise votre rapport fiscal 2007, ou que les photos nues sur la plage de votre enfant de 5 ans puissent atterrir sur un site Web pédophile ?
Êtes-vous pédophile et la police se tient devant votre porte? Vendez-vous illégalement des armes à feu ou de la drogue et vous entendez des bruits sourds à votre porte?
Êtes-vous le gardien des clés d'armes nucléaires de votre pays? Ou la personne qui soutient les membres, l'État islamique, et vous craignez que votre liste de membres ne soit trouvée?
Ou, êtes-vous juste un peu paranoïaque, et vous voulez être du bon côté, au cas où?
Et bien sûr, la question est de savoir si vous vous protégez contre les menaces réelles, les menaces improbables ou théoriques, ou les fous menaces.
Et la théorie?
Sur un ordinateur Windows typique, la théorie est que les fichiers peuvent être supprimés très facilement, essentiellement de manière triviale, et un grand nombre d'outils existent pour faire ce travail. En pratique, chaque fois que j'ai tenté de supprimer un fichier qui a été supprimé il y a peut-être deux ou trois semaines, la tentative a été infructueuse, avec seulement des fragments restaurés ou le fichier subtilement corrompu (juste assez pour qu'il ne s'ouvre pas) , et il était plus facile de simplement recréer le document à partir de zéro que de perdre du temps à le récupérer, puis à travailler avec les déchets fragmentaires.
Cela, cependant, ne signifie pas que quelqu'un qui s'en prend à vos supers-secrets super secrets ne le fait pas!
Sur un ordinateur non Windows typique (par exemple, Linux), la théorie est que la suppression des fichiers n'est pas quelque chose qui devrait normalement fonctionner (bien qu'il existe des exceptions).
Dans les deux cas, à moins que certaines conditions spéciales ne s'appliquent, les données seront restent sur le disque et peuvent, au moins en théorie, et au moins partiellement, être récupérées. Et, au moins en théorie, c'est très simple à faire.
La théorie veut qu'une fois que les secteurs sur un disque dur (ou un disque SSD) sont écrasés, leur contenu d'origine a disparu. En pratique, vous avez une réallocation de secteur sur les disques durs et les secteurs ne sont jamais effacés en gros blocs sur les SSD. Donc, ce qui a disparu n'est pas nécessairement disparu du tout, et ce qui est écrasé n'est pas nécessairement (même pas probable!) Écrasé. Cela se produit à l'intérieur du disque sans que vous puissiez en contrôler aucun aspect.
La théorie veut que sur un support magnétique, vous pouvez très bien récupérer des données même après les avoir écrasées (même plusieurs fois). La pratique veut que cela se fasse facilement (et parfois régulièrement) il y a une dizaine d'années, mais ce n'est pas du tout aussi simple ou fiable de nos jours, car la technologie des disques a évolué au point où cela devient un défi vraiment difficile, pratiquement.
Maintenant, cela dépend de la quantité de paranoïa que vous avez, ou du nombre d'années de prison pour vous, car les données sont irrécupérables. En cas de doute, ouvrir le lecteur et appliquer un aimant néodyme, suivi d'un marteau, suivi d'un incendie est toujours la méthode la plus sûre.
Mais ... mais ... Ça n'aide pas, qu'est-ce que je fais ???
L'écrasement du contenu du disque en copiant autour des fichiers comme vous l'avez suggéré n'est pas sécurisé, mais peut être une approche parfaitement valable pour l'utilisateur domestique moyen normal. Il ne nécessite aucun outil spécial, aucune expertise, et il a une bonne chance d'écraser la plupart des données vitales, y compris par exemple Le contenu du MFT change de journal. Ce qui est beaucoup mieux que par exemple générer un seul fichier énorme avec des octets aléatoires qui remplit tout l'espace disque libre (mais laisse éventuellement les noms de fichiers et la structure de répertoire récupérables).
Un petit programme qui génère une centaine de milliers de petits fichiers remplis de données aléatoires et les supprime à nouveau par la suite est comme deux douzaines de lignes de code. C'est ce que je fais sur l'ordinateur portable de travail de ma femme tous les 2 ans quand elle le remet pour être remplacé par un nouveau modèle (juste au cas où il pourrait y avoir un gars informatique fou qui aime flairer des choses qui ne sont pas son affaire).
À mon avis, cela (ou simplement copier autour de quelques milliers de fichiers ordinaires) est assez bien pour 99% de toutes les personnes qui ne sont pas des criminels durs ou des ennemis de l'État. Lors de l'élimination du disque dur (aucune donnée à conserver), utilisez bien le formatage de bas niveau ou la méthode du marteau (voir ci-dessous). Bien qu'il n'y ait probablement aucun avantage, cela ne fait pas de mal non plus.
L'utilisation d'un outil "d'effacement sécurisé" typique est totalement inutile car l'outil n'a aucun contrôle sur ce qui est écrasé (la réallocation et le niveau d'usure sont invisibles et incontrôlables). En fait, ces outils sont dangereux dans la mesure où ils donnent à l'utilisateur non averti un faux sentiment de sécurité (un peu comme les programmes antivirus).
L'utilisation d'un format de bas niveau ("réinitialisation d'usine", "effacement sécurisé"), probablement via l'outil fourni par le vendeur de disques, ou un autre outil de bas niveau de manière fiable détruira les données sur les disques modernes en effaçant le chiffrement clé. Pratiquement tous les lecteurs modernes utilisent le cryptage pour brouiller les données avant d'écrire sur MLC ou sur disque. Ce n'est pas fait pour des raisons de sécurité, mais pour un meilleur nivellement de l'usure. Cependant, il permet également "l'effacement sécurisé" gratuitement en jetant simplement la clé. L'inconvénient évident est que non seulement une partie du disque est effacée, mais tout.
En plus des autres réponses, je voudrais mentionner certaines bizarreries, telles que les secteurs défectueux, le sur-approvisionnement et les caches temporaires.
TL;DR: use full drive encryption
Écrasement SSD
Lorsque vous supprimez des fichiers, un SSD doit effacer lentement le bloc de mémoire et ensuite le réenregistrer. Au lieu de cela, les disques SSD marquent le bloc écrasé comme devant être effacé et copient ses données, sans fichier supprimé, vers un nouveau bloc et le mappent pour remplacer celui écrasé.
Cela signifie que si le fichier a été modifié ou non écrit en une seule fois, plusieurs copies de celui-ci existent maintenant sur l'espace flash SSD jusqu'à ce que le SSD parvienne à les effacer.
De plus, cela se produit également si un fichier ou un répertoire qui partage un bloc de 64 Ko avec le fichier secret est modifié de quelque manière que ce soit, y compris en stockant simplement le dernier temps d'accès.
Le SSD devrait en principe planifier l'effacement d'un bloc qui n'est pas mappé (inutilisé/invisible) et pas encore effacé, mais en pratique, les données non effacées peuvent persister pendant un certain temps.
Le système d'exploitation et les logiciels, y compris les logiciels d'effacement de fichiers, n'ont pas accès à cet espace de stockage de bas niveau et ne sont en fait pas en mesure de déterminer si un tel schéma est en vigueur, encore moins de lire ou d'écraser des données "cachées". Cependant, avec les outils médico-légaux, il peut être possible d'y accéder.
Une commande TRIM n'est pas garantie pour aider car elle ne marque que les blocs nécessaires pour être effacés (par opposition à être "undeletable" en théorie), pas les forces pour les effacer. C'est toujours une bonne idée d'activer TRIM si possible par mesure de précaution.
Surapprovisionnement SSD
Si un disque est presque plein lorsque les données sont supprimées ou écrasées, le SSD devra réellement effacer les données avant de les autoriser à être réutilisées, ce qui dégrade considérablement les performances. Au lieu de cela, un SSD a plus de capacité qu'il n'en montre au système d'exploitation et l'utilise alors que les données sont toujours en cours d'effacement.
Par exemple, le fournisseur de disques peut décider que, pour une raison quelconque, il est préférable de ne pas effacer les données dans un espace surapprovisionné, sauf si l'espace libre (effacé) est insuffisant. Dans ce cas, certaines données peuvent persister si le lecteur n'est pas écrasé assez rapidement. En pratique, cela ne devrait normalement pas se produire à cause de la mise à niveau d'usure.
Cela signifie que même si vous parvenez à écraser les 240 Go de votre disque avec 240 Go de données, 16 Go supplémentaires peuvent toujours contenir certaines données, et vous ne savez pas quand elles seront effacées, le cas échéant.
Mauvais blocs
Les disques durs et SSD peuvent mettre de côté des parties de l'espace de stockage qui, lors de la lecture, signalent des erreurs. Les défauts de taille nanométrique sur les plateaux de disques durs et les transistors de mémoire flash sont inévitables et ne peuvent pas être diagnostiqués en usine, donc les lecteurs surveillent les erreurs et quand ils en trouvent, ils décident d'utiliser des blocs d'un tampon réservé au lieu des "mauvais". . Il y a une toute petite possibilité qu'une partie de votre fichier se retrouve dans un si "mauvais" bloc et ne soit plus touchée depuis. Les experts en médecine légale peuvent récupérer ces données sans égard. Il est possible qu'un fichier très fréquemment utilisé se termine de cette façon si un problème d'alimentation se produit lors de sa lecture ou de son écriture.
Méthodes d'effacement des lecteurs
La commande d'effacement sécurisé ATA devrait en théorie effacer ces zones cachées, mais cela n'est pas explicitement requis et certains lecteurs ne le feraient pas réellement.
Les utilitaires ou commandes de formatage de bas niveau des fabricants d'appareils devraient être plus fiables, mais nécessitent souvent des connaissances et des compétences avancées et parfois du matériel tel qu'un dongle UART pour fonctionner. De tels utilitaires peuvent ne pas être disponibles pour tous périphérique de stockage et beaucoup ont des fonctions pertinentes désactivées pour une utilisation client (professionnel non autorisé), bien qu'il soit souvent possible de trouver des versions non autorisées de "fuite".
Quoi qu'il en soit, les deux méthodes tentent d'effacer toutes les informations sur l'appareil, y compris les fichiers non supprimés, les programmes, le système d'exploitation et tout le reste. Il n'y a aucun outil qui effacerait en toute sécurité un seul fichier.
Cryptage de fichiers
Crypter chaque fichier individuellement puis détruire un mot de passe devrait être la voie à suivre. Cependant, si le mot de passe ou le code ou son précurseur est en fait également stocké sur un périphérique de stockage, au lieu de le taper à chaque fois que le fichier est accédé, il est également soumis à une possibilité de se retrouver stocké dans un espace caché.
Un mot de passe de fichier ne peut être dérivé que du mot de passe principal qui n'est jamais écrit sur le disque et uniquement stocké en mémoire. C'est ainsi que certains (presque tous?) Systèmes de fichiers cryptés fonctionnent.
Veuillez noter que le fichier décrypté ne peut pas être temporairement stocké sur le support de stockage comme le font la plupart des programmes de compression (7Zip, winrar) - sinon il va à l'encontre de l'objectif. Le seul moyen réel de l'éviter serait d'utiliser un système de fichiers crypté, tel que le cryptage truecrypt/veracrypt ou NTFS décrit ci-dessus (bien que je ne sois pas sûr que ce dernier soit infaillible).
Certains logiciels, tels que MS Word, peuvent également stocker certaines parties de votre fichier dans des fichiers temporaires, ce qui est également inutile si les répertoires temporaires ne sont pas chiffrés eux-mêmes.
L'Explorateur Windows peut mettre en cache les aperçus et peut-être aussi le vaincre. Il peut y avoir plus de possibilités de fuite en fonction des logiciels installés tels que les logiciels de traduction, la prédiction de frappe de smartphone, les lecteurs d'écran, etc. - même si le logiciel n'est pas chargé de fonctionner sur des fichiers secrets, il peut toujours analyser ou mettre en cache certaines parties.
Il va sans dire que tout malware ou spyware présente également un risque même hors ligne. Il en va de même pour les logiciels d'entreprise "anti-relâchement" (espionnage des employés) mal écrits ou similaires.
Réflexions sur l'atténuation
Un lecteur chiffré (tel que des lecteurs flash USB étiquetés "sécurisés") peut aider à atténuer certains des problèmes, mais certains de ces lecteurs se sont avérés ne pas réellement chiffrer les données de manière suffisamment sécurisée.
Certains systèmes d'exploitation tels que Linux et certains "Live-DVD" peuvent permettre d'avoir la majorité des systèmes d'exploitation sur un système de fichiers en lecture seule, éliminant la menace de sa "contamination" et la nécessité du cryptage du système d'exploitation, mais cela crée toujours beaucoup de maux de tête car vous ne pouvez pas installer un nouveau logiciel ou un logiciel de mise à jour pour vous protéger contre les nouvelles menaces. Pourtant, cela peut être une solution viable lorsqu'un secret de niveau militaire est requis.
Conclusion
En fin de compte, il semble qu'un cryptage complet du disque, y compris le système d'exploitation, soit le seul moyen sûr pour un utilisateur ordinaire à la maison/au bureau.
Si vous utilisez Windows, vous pouvez utiliser cipher , un outil de ligne de commande intégré pour effectuer le chiffrement, qui permet également de supprimer les données supprimées en toute sécurité.
Pour écraser les données supprimées, on peut utiliser le commutateur /w
...cipher /w:driveletter:\foldername
...
En raison de la nature même de l'outil, vous pouvez l'utiliser en toute sécurité pour supprimer les données en toute sécurité, car il n'écrasera jamais vos fichiers actifs; il n'écrasera que les données que vous avez supprimées.