Affrontare rapidamente alcuni aspetti rotti nell'introduzione di questa domanda. Questi costituiranno la base di una risposta, che può essere meglio riassunta come segue: dipende ...
... e sfortunatamente non può dipendere solo dal tuo dispositivo di archiviazione (anche se questo è fondamentale per la discussione); dipende anche da vari fattori come il tuo sistema operativo (ad esempio Windows 7 non supporta TRIM per SSD PCIe) e informazioni sul BIOS (per alcuni SSD), e potrebbe anche estendersi al resto della tua architettura (ad es. CPU, RAM, controller di archiviazione ) poiché altri componenti del sistema potrebbero perdere dati dal file system.
In terms of data deletion everyone knows that once you delete something from your harddisk it stays there, and is recoverable, until it is overwritten.
Secondo una pubblicazione del Trusted Computing Group datata 1 ottobre 2011 :
- Within 2 years (by 2013) SED capability will be in over 80 percent of SSDs and likely in almost all SSDs within 3 years (2014).
- By 2017, almost all HDDs will include SED capability.
- By 2016 the high, median and low estimates for security adoption for SED HDDs are 411 million, 315 million and 122 million units.
Supponendo che queste aspettative siano state soddisfatte, si potrebbe avere un tempo molto difficile, in effetti, nel recuperare i eventuali dati da un dispositivo crittografato dopo una modifica alla chiave. Per sottolineare, la migliore soluzione per la cancellazione sicura di questi nuovi dispositivi che supportano la crittografia (sia a rotazione che a stato solido) sta cambiando la chiave di crittografia , al contrario di ...
With classical spinning harddrives, the best solution was to overwrite the entire drive, several times, with random data.
Anche in questo caso, esaminando i supporti fisici di un prodotto non utilizzato di nuova produzione rispetto a un prodotto usato, un analista forense potrebbe probabilmente trarre conclusioni basate su lievi residui residui. Questo tipo di attacco è stato dimostrato abbastanza pubblicamente usando RAM volatile (come quella che esiste come memoria cache nelle unità disco), quindi è probabile che funzioni anche per le cose non volatili (come la memoria flash). La sicurezza di un intero sistema è, in definitiva, limitata al collegamento più debole, che potrebbe non essere l'unità in questione.
Immagino che ci siano le seguenti complicazioni nell'estrarre informazioni dal solo disco:
-
Codifica . Abbiamo già stabilito che le unità attuali (sia rotazionali che a stato solido) sono probabilmente crittografate (in modo trasparente su dispositivi esterni) e questo probabilmente avrà un impatto sui tassi di successo. Se la chiave può essere estratta dal dispositivo (che immagino sarebbe un po 'più difficile dell'estrarre le chiavi dalle schede SIM, visto quanto siamo avanzati dall'introduzione di quelle), forse un analista forense potrebbe mettere insieme alcuni dati . Tuttavia, sembra che i produttori mantengano le specifiche precise di crittografia internamente, quindi ottenere le informazioni richieste (ad esempio, dove è memorizzata esattamente la chiave) potrebbe essere difficile.
-
Livellamento dell'usura . L'Achille guarisce dalla memoria allo stato solido, come sembrava inizialmente; Il livellamento dell'usura è stato progettato per distribuire le scritture in modo uniforme su un disco, ma esistono più forme di questo. Tutti loro lasciano dati obsoleti, che è un'arma a doppio taglio, dato che i dati saranno effettivamente disponibili per tutto il tempo, non cancellabili , sebbene possano complicare l'integrità dei dati recuperati. Inoltre, TRIM non è stato progettato come funzionalità di sicurezza, ma come funzionalità di raccolta dei dati inutili; esiste per facilitare la riorganizzazione dei dati, forse in un secondo momento. Parte del lavoro degli analisti potrebbe invertire la riorganizzazione che il GC potrebbe eseguire ed escludere eventuali celle flash difettose (ancora una volta, come estrarre le chiavi da una scheda SIM, ma probabilmente più difficile a causa dei progressi tecnologici). Non immagino che questo sarebbe un lavoro particolarmente facile; comporterebbe anche una certa quantità di deduplicazione dei dati per riconoscere quando e dove i dati sono stati trasferiti in alcuni casi.
Questi punti sono menzionati in un altro documento, datato 2014 , in cui l'intero articolo sembra dipingere un'immagine terribile per il nostro scenario di recupero dei dati teorici .
Da un lato, questo articolo menziona l'esistenza di bug che potrebbero aiutare nel recupero. D'altra parte:
Self-encrypting SSD drives require a different approach altogether, while SSD drives using compressing controllers cannot be practically imaged with off-chip acquisition hardware. ...
And even shutting the affected computer down immediately after a destructive command has been issued, does not stop the destruction. Once the power is back on, the SSD drive will continue wiping its content clear all by itself, even if installed into a write-blocking imaging device. If a self-destruction process has already started, there is no practical way of stopping it unless we’re talking of some extremely important evidence, in which case the disk accompanied with a court order can be sent to the manufacturer for low-level, hardware-specific recovery.
L'enfasi qui non era mia. Come menzionato nei commenti, Windows non controlla la cancellazione e / o la riorganizzazione dei dati; ciò accade all'interno dell'unità stessa e inizia nel momento in cui viene acceso il dispositivo.
Some SSD drives implement what is called Deterministic Read After Trim (DRAT) and Deterministic Zeroes After Trim (DZAT), returning all-zeroes immediately after the TRIM command released a certain data block, while some other drives do not implement this protocol and will return the original data until it’s physically erased with the garbage collection algorithm.
In sintesi, sulla base di queste informazioni, non mi sentirei così fiducioso nel recuperare i dati da un sistema creato da qualcuno che ha fatto un giro per trovare la configurazione meno facile da recuperare . Tuttavia, il recupero dei dati da un tipico impulso comprare potrebbe avere più successo. potrebbe .