Уничтожение данных. Практический подход

О том, почему нужно уничтожать данные, не оставляя даже вероятности их восстановления, было сказано уже достаточно. Как и всегда, живая практика оказывается гораздо интереснее и многообразнее. Именно о ней и пойдет речь в дальнейшем изложении. О том, почему нужно уничтожать данные, не оставляя даже вероятности их восстановления, было сказано уже достаточно. Как и всегда, живая практика оказывается гораздо интереснее и многообразнее — по сравнению с любыми вымышленными опасениями и методиками. Именно о ней и пойдет речь в дальнейшем изложении. В первую очередь, именно CIO должен быть озабочен состоянием критичных данных, находящихся в его подведомственном информационном хозяйстве. А вопрос весьма остр: как в считанные секунды можно уничтожить все содержимое памяти компьютеров и многогигабайтных серверных хранилищ данных? В мартовском выпуске онлайнового издания «Bits of Bytes» была опубликована статья Джона Пирса, постоянного автора этого сайта, озаглавленная «Надежное удаление данных с жестких дисков». В общем-то, ничего особенно нового Пирс не говорит, он просто ставит нужные акценты на известных вещах. Прежде всего, интерес к уничтожению данных на магнитных и электронных носителях стал своего рода модой, признаком современного технологического мышления. Речь идет, конечно, не о применении штатных аксессуаров Microsoft Windows, с помощью которых освобождается содержимое мусорной корзины, кэшей браузеров, истории анабасисов по полям Web, прочие подобные хроники… Главной идеей программного размагничивания (degaussing) как метода уничтожения данных является многократное (множественное, насколько это возможно) изменение ориентации каждого магнитного домена на носителе. При этом принципиально важно то, что битовые образы не должны повторяться во временной последовательности. То есть при последующем прохождении записи ее битовый образ для данного участка магнитного носителя должен отличаться от предшествующего. Есть немало специальных программ, перекодирующих пространства, занятые ранее удаленными файлами, и просто все пустые пространства. Сравнительную картину на некотором усеченном множестве можно обнаружить в приведенной таблице. Недостаток у большинства этих инструментов общий: они могут стоить вовсе не мало, особенно для нас, а ценность приобретения выясняется лишь в процессе его использования. Зачастую двух недель или месяца тестирования демо-версии бывает явно недостаточно, тем более, эти версии могут оставлять невключенными некоторые самые «вкусные» функции. Одним из приятных исключением является бесплатная программа, названная без обиняков Eraser. У Eraser есть несколько разных способов уничтожения данных. Наиболее надежный, но и самый медленный подход следует принципам, изложенным в уже цитированной в первой части темы основополагающей статье Питера Гутмана. Суть этой процедуры заключается в том, что нерабочие пространства жесткого диска перезаписываются 35 раз в специально отобранной последовательности битовых образов. Так достигается практически полная невозможность восстановления когда-то содержавшихся рабочих данных. Второй метод, более быстрый в применении, основан на спецификациях Министерства обороны США, которые требуют лишь семикратного наложения специальных битовых образов на нерабочие зоны. Самая быстрая процедура заключается в заполнении нерабочих пространств псевдостохастическими данными, которые практически не подвержены разного рода сжатиям (compression). Как следует из файла поддержки, это единственный метод, который успешно справляется с пространствами дисков, подвергшихся сжатию данных. Количество проходок в последнем методе варьируется от 1 до 65 535: сами понимаете, какое качество устранения былых следов можно обеспечить. Будучи самым быстрым в исполнении, этот подход является используемым по умолчанию программой Eraser. Для пользователя существует возможность самостоятельного задания битовых образцов и количества проходок. У программы есть три режима исполнения функций: по требованию, по расписанию и как расширение системной оболочки. Режим по требованию предполагает выбор метода уничтожения данных и выбор объекта устранения, после чего следует команда для исполнения акции. Насчет того, что такое уничтожение по расписанию, вряд ли стоит распространяться, а вот расширение системной оболочки — это расширение Windows Explorer. При просмотре файлов нужно просто кликнуть правой кнопкой на потребный объект с данными и выбрать из контекстного меню позицию «Erase». Интересно то, что первоначальным автором программы Eraser явился финский студент Сами Толванен (ох уж эти действительно горячие финские парни, сколько раз они свергали авторитетов в программных делах! — почти всегда безвозмездно). В ноябре 2002 года программа была передана для сопровождения Гаррет Трант, сотруднику ирландской компании Heidi Computers Ltd., что можно обнаружить на сайте, данном в сноске. Все это бесплатно, но коли очень понравится, приветствуется перевод всего 10 долларов — как благодарность разработчику и сопроводителю. Сам я с удовольствием пользуюсь этим бесплатным благом, но дело не в том. Почти подробное описание данной программы полезно и уместно здесь потому, что она весьма типична и удобна в использовании — как образец того, что нужно.Только что был обсужден наиболее распространенный, да, впрочем, и наиболее доступный массово программный метод устранения данных, который не требует использования специальных аппаратных или механических средств. Есть, однако, специальная аппаратура для размагничивания жестких дисков и прочих магнитных носителей данных. Есть также способы полного физического уничтожения носителей, уже не оставляющих ни малейших возможностей восстановления данных. Устройства для размагничивания дисков являются весьма эффективными инструментами, поскольку, в принципе, обеспечивают нужный эффект для дисков в алюминиевых корпусах при повышении магнитного поля по сравнению с рабочим начиная от 2 дБ. Но, нужно заметить, важен не только уровень внешнего магнитного поля, но и длительность его приложения. И об этом дальше. Здесь нет нужды обсуждать нормативы для стирания информации с магнитных лент — по причине их редкого использования в современной практике. А потому сразу перехожу к дискам, с которыми все посложнее, чем с этими самыми бывшими лентами. Вообще-то, физическое размагничивание с помощью внешнего источника магнитного поля приводит к уничтожению всех информационных структур на магнитном диске, включая байты синхронизации, поля идентификации, поля коррекции ошибок, всю прочую параферналию, что, в целом, приравнивает эту процедуру к физическому уничтожению устройства — после этого его нужно восстанавливать в фабричных условиях. Но нужно понимать и то, что выполнить такого рода операцию не так-то просто: она требует применения очень специального оборудования, дорогого и малодоступного. Интересный пример: для размагничивания большого 14-дюймового жесткого диска, использовавшегося в мэйнфрейме, в исследовательских лабораториях ВМС США применялся электромагнит мощностью 2,5 МВт (!), и свое дело он делал всего лишь за минуту. Я умышленно не уделяю здесь внимания окончательному методу уничтожения информации — физическому уничтожению жестких дисков. Это все подробно описано Сергеем Карповым и представлено в изображениях, любезно предоставленных моим знакомым Zen из Торонто (www.zenvendor.com). Постоянные памяти Всем известно, что в каждом компьютере присутствует BIOS (basic input-output operating system — базовая операционная система ввода-вывода) или некая другая постоянная память, которая определяет первичную, для включения, конфигурацию всей системы. Важнейшей функцией BIOS является проверка базовых аппаратных компонентов при включении компьютера, в частности памяти, клавиатуры и жестких дисков. После подтверждения благополучного состояния системы в память загружается первый сектор флоппи-дискеты, жесткого диска или CD-ROM. Собственно, это и есть инициация загрузки операционной системы. Каковы угрозы несанкционированного проникновения в BIOS? Прежде всего, агрессор пытается загрузить систему, что имеет существенный источник опасности при попытках несанкционированного входа в нее (дискеты, жесткий диск, CD-ROM, другого сорта носители, включая память типа USB-flash). И если удалось просто включить компьютерную аппаратную часть, то дело уже сделано: система дискредитирована, ибо есть множество программных средств для того, чтобы побитово копировать жесткий диск любой емкости для последующих разборок с ним на любом уровне сложности хранящейся на нем информации. Могут быть и иные способы компрометации системы, например, очень скорая вставка в нее программ-троянцев для того, чтобы впоследствии лишь снимать через Интернет востребованные данные. Такая практика применима к большинству существующих систем обработки данных, включая офисные клиентские системы (workstations) и серверы, уж не говоря о реальных персональных компьютерах. Итак, каковы пути проникновения к BIOS: • использование паролей, которые иногда предоставляются изготовителями схем CMOS на случай возникновения аварийных ситуаций; • вскрытие паролей BIOS известными методами восстановления криптографических ключей; • полное устранение содержимого CMOS программными методами; • полное устранение содержимого CMOS аппаратными методами. В современных системных платах программы BIOS хранятся в схемах CMOS типа FLASH EEPROM2. При отключении питания данные в таких схемах, естественно, не пропадают; а перепрограммировать их можно с помощью специальных утилит, публикуемых на сайтах производителей системных плат.Ранее на подобных сайтах можно было легко обнаружить программные модули для бесплатного обновления BIOS и устанавливать их с помощью этих же утилит. Я сам так поступал много раз при обновлении BIOS на системных платах ASUSTeK и Gigabyte. Иные ныне времена на дворе. После того, как в прошлом году состоялись маркетинговые усилия таких известных поставщиков BIOS, как Award Software, American Megatrends, Phoenix и MR BIOS, получить обновления в нормальном бесплатном режиме, как это было ранее (мало им прибылей от прямых продаж схем BIOS!) стало крайне затруднительно. Вот и обращайтесь к перепродавцам вроде www.biosupgrade.co.uk, которые за ценой не постоят, но ее отстоят. Конечно, в некотором смысле, системы такого рода в настоящее время могут рассматриваться как архаичное наследие 50-х прошлого века, но и по сей день этого феномена ничто не заменило, в чем можно усматривать нынешнее глубокое удовлетворение и обидный последующий тормоз для монополистов рынка компонентов для персональных компьютеров. Итак, что же делать с данными, сохраненными в BIOS, память которой называется традиционно CMOS RAM? Вернее, как уничтожить хранящиеся там данные, что просто необходимо делать в некоторых случаях, например при полном избавлении от ранее бывших операционных систем? При наличии начальной системы MS-DOS можно воспользоваться простой последовательностью команд из инструментального набора DEBUG: **Debug 70, 2e 71, 0 q** Вообще говоря, существуют разного рода вариации этих наборов команд для BIOS разных типов и разных производителей, но главное остается неизменным: это команды, обследующие порты ввода/вывода 70 и 71 в стандартных платах для процессоров Intel, которые обеспечивают доступ к памяти CMOS; именно через них происходит изничтожение контрольной суммы хранящихся в постоянной памяти данных. А это приводит к тому, что при последующей перезагрузке компьютера в памяти CMOS устанавливаются начальные параметры, не хранящие ни паролей, ни персональных выборов пользователей. Для тех, кто не желает обращаться к инструменту DEBUG, можно посоветовать список для выбора из свободно доступных программ, которые вполне успешно справляются с проблемами очистки памяти CMOS3.Есть и другие методы, не программные, уничтожения данных в CMOS. На большинстве системных плат имеются перемычки (jumpers), замыкая которые, можно «обнулять» состояние CMOS. Они обычно имеют обозначения CLRTC, Clear CMOS или PWRD. Конечно, прежде чем пользоваться этими средствами, нужно почитать руководство к системной плате. Обычно нужно несколько минут замыкания этой перемычки для того, чтобы содержимое CMOS стерлось. В случае, если системная плата не содержит перемычек такого рода, нужно временно устранить батарейку запитки схемы памяти CMOS. Как правило, это долгосрочная литиевая дисковая батарея, обозначенная четко на любой из системных плат. В трудных случаях придется выпаивать такого рода источник питания, но это может случиться разве что в старых моделях системных плат. Наконец, можно просто замкнуть определенные контакты на самих схемах CMOS, что не вполне корректно, но обеспечивает устранение информации в этих чипах. Найти дополнительные данные можно в уже реферированных источниках. Кажется, что все это, описанное в данной главе, как бы не относится к прямым интересам CIO, но это не так. В первую очередь, именно CIO должен быть озабочен состоянием критичных данных, находящихся в его подведомственном информационном хозяйстве. А вопрос весьма остр: как в считанные секунды можно уничтожить все содержимое памяти компьютеров и многогигабайтных серверных хранилищ данных? Ну надо же! RAM Вопреки традиционному, «очевидному», мнению, данные, представленные в момент отключения питания компьютера, в схемах оперативной памяти (RAM)4 не исчезают вовсе, а некоторым образом сохраняются — как минимум до последующего включения питания. Такому эффекту подвержены схемы обоих известных типов — как статические (SRAM), так и динамические (DRAM), но, конечно, статические схемы гораздо более показательны в этом отношении. Ранние чипы типа SRAM могли сохранять образы данных в ячейках в течение нескольких дней (!). Вообще, возможно создание схем памяти, которые могут держать информацию сколь угодно долго, и даже после включения питания — с функцией последующей перезаписи всего поля. Нечто вроде «перезаписываемой ROM». Эта идея могла бы привести к созданию компьютера, который вовсе не нуждался бы в загрузке при включении: просто мгновенно восстанавливалась бы конфигурация системы, бывшая при последнем отключении питания — как будто включается освещение. И все же, насколько мне известно, надежных решений такого рода для массовых применений пока не найдено. Схемы типа DRAM тоже могут хранить образы былых деяний, но иначе — по сравнению со схемами SRAM. Это вовсе не заряды, которые сохраняются в ячейках схемы, а некоторые электронные образы, запечатленные в оксидных (окисловых) слоях микросхем под воздействием электрических полей, приложенных к активным элементам. Интересно то, что эффект запоминания в значительной мере зависит от длительности времени состояния. То есть если перед выключением компьютер пробудет продолжительное время без действия, то вероятность длительного сохранения информации в RAM будет существенна. В принципе, эффекты остаточного сохранения информации тестируются любым из производителей схем памяти, но для массового пользователя данные тестов не публикуются. Более того, в обычной компьютерной системе просто невозможно активировать специальные режимы, обеспечивающие тестирование микросхем на этот эффект и считывание остаточных данных. Тем не менее, это вполне возможно и в нужных случаях находит применение. Простейшим, но весьма опасным методом полного разрушения данных в схемах оперативной памяти является их легкое нагревание. Повышение температуры микросхемы — на 140°C по сравнению с температурой окружающей среды — полностью уничтожает любые остатки запечатленной информации. Для гарантий результата этого акта его продолжительность должна составлять несколько часов.И наоборот, коль хочется сохранить данные в микросхемах, их нужно поместить в термостат, установив температуру не выше, чем –60°C. Это позволит сохранять остаточные данные в микросхемах не то что дни или часы, но недели! Простое повторное перезаписывание данных в схемах памяти RAM не имеет такой эффективности, которая возможна при уничтожении данных на магнитных носителях. Дело в том, что приложение электрических полей к оксидам не лишает их «памяти» предыдущих состояний. Собственно, речь идет о том, что с течением времени с растущим множеством прошедших состояний уменьшается вероятность сохранения прежних состояний. Понятно, что в обычном режиме прилагаемые к микросхеме напряжения одинаковы. А потому приложение напряжения для создания противоположного значения ячейки в течение, например, нескольких микросекунд не вызовет существенных изменений в состоянии оксидов активного элемента. Таким образом, для того чтобы полностью стереть остаточные данные в микросхеме, ее следует подвергать термическому воздействию при максимально возможной температуре. Но это ведет к резкому снижению надежности ее функционирования и сокращению срока общей работоспособности.Вывод, следующий из вышеизложенного, парадоксален: для того чтобы более надежно уничтожить данные в памяти RAM, их нужно менять как можно реже, а для того чтобы их надежно и безопасно хранить, нужно их обновлять как можно чаще. Согласно экспериментальным данным, хранение данных в ячейке в течение одной секунды практически не обнаруживает эффекта остаточного хранения, одна минута дает достаточную вероятность определения, а 10 минут — почти полную вероятность определения данных. Таким образом, эффективным решением для невосстановления данных из микросхем является постоянное изменение состояний ячеек — для того чтобы образы не сохранялись в оксидах. Этот метод, неприменимый в общем виде, может быть приложен к некоторым зонам оперативной памяти, в которых хранятся особо чувствительные данные, например, ключи шифрования.Увяли хризантемы… Я специально веду этот мотив, который был так звонок на протяжении примерно тридцати лет. Речь о флоппи-дисках и дискетах, прочих подобиях этого типа магнитных носителей. Как мы их любили, когда они становились все меньше, все ёмче, все жестче и красивее! Это были истинные короли в наших карманах и портфелях. Но скажите, уместится ли на привычной дискете в 1,44 Мбайта графический (image) файл в формате tiff, да, впрочем, и jpeg хорошего разрешения? А что насчет размещения файлов mp3? Сейчас ситуация такова, что технология съемных магнитных носителей показательно сворачивается, как в свое время это произошло, скажем, с пишущими машинками или с кинокамерами на основе 8-миллиметровых целлулоидных пленок. Недавно и Dell Computer, остающаяся лидером продаж персональных компьютеров, объявила о прекращении установки флоппи-дисководов в серийную продукцию. Малоизвестный факт, но Apple отделалась от флоппи-дисководов еще в 1998 году, по меньшей мере в некоторых своих серийных компьютерах. В познавательном плане весьма интересно то, что первая гибкая дискета с 8-дюймовой геометрией появилась в 1971 году как устройство совершенно определенного назначения: это был накопитель данных для загрузки компьютера размером с большую комнату (IBM, Рочестер, штат Нью-Йорк). Знаменитый основатель Seagate Technology Элан Шугарт тогда руководил подразделением IBM, которое занималось оперативной памятью, а проблем с ней всегда хватало: при малейших неполадках или сбоях в энергопитании все данные исчезали. Потому Шугарт решил создать носитель, который содержал бы информацию, достаточную для восстановления рабочей конфигурации компьютера. Решение было непростым: первоначально это были внешние подобия обычных «виниловых» пластинок, известных в звукозаписи былых лет, которые были крайне ненадежны по причинам механической уязвимости их магнитных поверхностей. А потому пришло судьбоносное решение — заключать эти магнитные диски в конверты с прорезями, к которым подводились магнитные головки считывателя.Через три года стала реальностью возможность оперативной записи информации на диски, поскольку IBM пыталась как можно быстрее найти замену перфокартам. Появились первые 8-дюймовые дискеты, каждая из них обладала емкостью 128 Кбайт, что было эквивалентно содержимому 1600 перфокарт. В 1977 году флоппи нашли свой путь в компьютеры любителей, оперировавших в системе CP/M на установках Altair и Imsai Personal Computer. Потрясающе, но факт: тогда дискета стоила 750 долларов, но это было в десять раз меньше, чем то, во что обошлась бы покупка жесткого диска. По свидетельству историка компании IBM Дейва Бредли, первые дискеты формата 5,25 дюйма были изобретены в исследовательском центре Сан-Хосе IBM в августе 1981 года — для использования именно в персональных компьютерах. Вообще, до 1982 года персональные компьютеры IBM не обладали жестким диском. В них было по два 5,25-дюймовых дисковода: на первом содержалась на гибком диске операционная система, на втором — прикладные программы и данные. С каким же душевным трепетом мы использовали эти действительно «гнущиеся» пластинки болгарского производства с надписью «ИЗОТ» в середине 80-х годов! Как припоминается, тогда такую штуковину можно было приобресть минимум за 3 рубля. Кажется мало? Нет, это была цена бутылки тогда еще качественного грузинского вина вроде «Киндзмараули». В 1982 году IBM ввела в ПК жесткий диск емкостью 10 Мбайт, а еще через год появились первые дискеты формата 3,5 дюйма — на Apple Macintosh. Ну, и поехало… В 1995 году пик популярности пришелся на дискеты Zip, производившиеся довольно претенциозной, но не слишком благополучной компанией Iomega, обладавшие емкостью 100 Мбайт. В тот год было продано 10 миллионов приводов, а на каждый привод покупалось в среднем по десять дискет. В 1996 году и у нас в издательстве случился приступ такого пристрастия. Потом были попытки Imation сотоварищи выпустить некий «Super Drive», что, в конечном счете, тоже оказалось не более чем конфузом… В годы своей славы дискеты являлись не только носителями для обмена программами и данными между компьютерами, но и основой дистрибуции новых программ, главным средством загрузки обрушенных систем, резервирования данных и пр. На пике популярности, в 1995–1998 годах, каждый год в США потреблялось 5 миллиардов дискет! Кое-кто припоминает, что в некоторые времена операционная система Microsoft издавалась на почти 25 дискетах. Истинным губителем дискет явились диски CD-ROM, впоследствии CD-RW, которые почти сразу обладали лучшим соотношением емкость/цена по сравнению с накопителями типа дискет. Впрочем, спрос на уже почти архаичную продукцию весьма разнится по регионам и территориям. При том, что в Европе и Северной Америке явное предпочтение отдается разного рода дисковым медиа и памяти типа flash, в Латинской Америке, в Китае и, как ни странно, в Японии остается значимой популярность традиционных дискет — на 3,5 дюйма. Общим для любого типа дисков и дискет остается одно: если нужно уничтожить данные на них, то проще и надежнее всего взять да и разломать их физически на кусочки, а уж коли совсем, то после этого еще и сжечь. Доброго вам здравия и сладких сновидений!Morgan Palmer, What Could Be Hidden on Your Old Computer? — www.kltv.com. [вернуться] 2. EEPROM — electrically erasable programmable read only memory. Микросхема, способная хранить данные при длительном отключении внешнего питания. Данные можно полностью стереть, приложив напряжение большее, чем установленные предельно примерно 5 В, но это весьма рискованный эксперимент. Жизненный цикл памяти EEPROM обычно располагается в диапазоне от 10 до 100 тысяч перезаписей содержимого. А потому всякая перенастройка BIOS является шагом в жизни этого элемента. [вернуться] 3. Allgeuer R. WhyBother About BIOS Security? — Sans InfoSee Reading Room. — July 23, 2001. — www.sans.org/rr/. [вернуться] 4. RAM — random access memory. Согласно терминологии, сложившейся еще в 50-е годы прошлого столетия, память такого рода по-русски называется «оперативной», но если следовать современному видению функций устройств этого рода, то такую память должно было бы называть «операционной». Впрочем, революции, пусть даже в лингвистике, приносят больше вреда, чем пользы. [вернуться] По материалам журнала «__CIO_»._