Remanência de dados

A remanência de dados é a representação residual de dados digitais que permanecem mesmo após tentativas de remover ou apagar os dados. Esse resíduo pode resultar de dados sendo deixados intactos por uma operação de exclusão de arquivos nominal, pela reformatação da mídia de armazenamento que não remove os dados gravados anteriormente na mídia ou por meio de propriedades físicas da mídia de armazenamento que permitem a recuperação de dados gravados anteriormente. A remanência de dados pode possibilitar a divulgação inadvertida de informações confidenciais [en] caso a mídia de armazenamento seja liberada em um ambiente não controlado (por exemplo, jogada na lixeira ou perdida).

Várias técnicas foram desenvolvidas para combater a remanência de dados. Essas técnicas são classificadas como limpeza, purga/sanitização ou destruição. Métodos específicos incluem a sobregravação, a desmagnetização, a criptografia e a destruição de mídias.

A aplicação eficaz de contramedidas pode ser complicada por vários fatores, incluindo mídia inacessível, mídia que não pode ser efetivamente apagada, sistemas de armazenamento avançados que mantêm históricos de dados ao longo do ciclo de vida dos dados e persistência de dados na memória que normalmente é considerada volátil.

Existem vários padrões para a remoção segura de dados e a eliminação da remanência de dados.

Muitos sistemas operacionais, gerenciadores de arquivos e outros softwares fornecem um recurso em que um arquivo não é excluído imediatamente quando o usuário solicita essa ação. Em vez disso, o arquivo é movido para uma área de espera (ou seja, a "lixeira"), tornando mais fácil para o usuário desfazer um erro. Da mesma forma, muitos produtos de software criam automaticamente cópias de segurança^[a] dos arquivos que estão sendo editados, para permitir que o usuário restaure a versão original ou se recupere de uma possível falha (recurso de salvamento automático [en]).

Mesmo quando um recurso de retenção de arquivo excluído explícito não é fornecido ou quando o usuário não o usa, os sistemas operacionais não removem o conteúdo de um arquivo quando ele é excluído, a menos que estejam cientes de que são necessários comandos de exclusão explícitos, como em um arquivo em uma unidade de estado sólido. (Nesses casos, o sistema operacional emitirá o comando TRIM [en] (Serial ATA) ou o comando UNMAP (SCSI para informar à unidade que não mantém mais os dados excluídos.) Em vez disso, eles simplesmente removem a entrada do arquivo do diretório do sistema de arquivos, porque isso requer menos trabalho e, portanto, é mais rápido, e o conteúdo do arquivo – os dados reais – permanece na mídia de armazenamento. Os dados permanecerão lá até que o sistema operacional reutilize o espaço para novos dados. Em alguns sistemas, metadados suficientes do sistema de arquivos também são deixados para trás para permitir a recuperação fácil por software utilitário comumente disponível. Mesmo quando a recuperação [en]^[b] se tornou impossível, os dados, até que sejam sobregravados, podem ser lidos por um software que lê os setores do disco diretamente. A computação forense geralmente emprega esse software.

Da mesma forma, é improvável que reformatar, reparticionar ou recriar a imagem de um sistema grave em todas as áreas do disco, embora tudo faça com que o disco pareça vazio ou, no caso de recriação de imagem, vazio, exceto para os arquivos presentes na imagem, para a maioria programas.

Finalmente, mesmo quando a mídia de armazenamento é sobregravada, as propriedades físicas da mídia podem permitir a recuperação do conteúdo anterior. Na maioria dos casos, entretanto, essa recuperação não é possível apenas pela leitura do dispositivo de armazenamento da maneira usual, mas requer o uso de técnicas laboratoriais, como a desmontagem do dispositivo e o(a) acesso/leitura direta de seus componentes.

A seção sobre complicações fornece explicações adicionais para as causas de remanência de dados.

Ver artigo principal: Apagamento de dados

Existem três níveis comumente reconhecidos para eliminar dados remanescentes:

A limpeza é a remoção de dados confidenciais de dispositivos de armazenamento de forma que haja garantia de que os dados não podem ser reconstruídos usando funções normais do sistema ou utilitários de recuperação de arquivos/dados de software. Os dados ainda podem ser recuperados, mas não sem técnicas laboratoriais especiais.^[1]

A limpeza é normalmente uma proteção administrativa contra divulgação acidental dentro de uma organização. Por exemplo, antes de uma unidade de disco rígido ser reutilizada em uma organização, seu conteúdo pode ser limpo para evitar sua divulgação acidental ao próximo usuário.

Purgar ou sanitizar é a reescrita física de dados sensíveis de um sistema ou dispositivo de armazenamento com a intenção de que os dados não possam ser recuperados.^[2] A purga, proporcional à confidencialidade dos dados, geralmente é feita antes de liberar a mídia fora do controle, como antes de descartar uma mídia antiga ou mover a mídia para um computador com diferentes requisitos de segurança.

A mídia de armazenamento torna-se inutilizável para equipamentos convencionais. A eficácia da destruição da mídia varia de acordo com a mídia e o método. Dependendo da densidade de gravação da mídia e/ou da técnica de destruição, isso pode deixar os dados recuperáveis por métodos laboratoriais. Por outro lado, a destruição usando técnicas apropriadas é o método mais seguro de prevenir a recuperação.

Um método comum usado para combater a remanência de dados é sobregravar dados novos na mídia de armazenamento. Isso geralmente é chamado de limpeza ou destruição de um arquivo ou disco, por analogia aos métodos comuns de destruição de mídias impressas [en], embora o mecanismo não tenha semelhança com estes. Como esse método geralmente pode ser implementado apenas em software e pode segmentar seletivamente apenas partes das mídias, é uma opção popular e de baixo custo para algumas aplicações. A sobregravação geralmente é um método aceitável de limpeza, desde que a mídia seja gravável e não esteja danificada.

A técnica de sobregravação mais simples grava os mesmos dados em todos os lugares - geralmente apenas um padrão de zeros em todos. No mínimo, isso impedirá que os dados sejam recuperados simplesmente lendo a mídia novamente usando as funções padrões do sistema.

Em uma tentativa de combater técnicas de recuperação de dados mais avançadas, padrões de sobregravação específicos e várias passagens são frequentemente prescritos. Estes podem ser padrões genéricos destinados a erradicar quaisquer assinaturas de rastreamento, por exemplo, o padrão de sete passos: 0xF6, 0x00, 0xFF, aleatório, 0x00, 0xFF, alestório; às vezes erroneamente atribuído ao padrão americano 5220.22-M do DoD [en].

Um desafio com sobregravação é que algumas áreas do disco podem ficar inacessíveis devido à degradação da mídia ou outros erros. A sobregravação de software também pode ser problemática em ambientes de alta segurança, que exigem controles mais fortes sobre a combinação de dados do que pode ser fornecido pelo software em uso. O uso de tecnologias avançadas de armazenamento também pode tornar a sobregravação baseada em arquivo ineficaz (consulte a sessão abaixo em Complicações).

Existem máquinas e softwares especializados que são capazes de sobregravar. Às vezes, o software pode ser um sistema operacional autônomo projetado especificamente para destruição de dados. Existem também máquinas projetadas especificamente para limpar discos rígidos para as especificações 5220.22-M do Departamento de defesa (DOD).^[3]

Peter Gutmann investigou a recuperação de dados de mídia nominalmente sobregravada em meados da década de 1990. Ele sugeriu que a microscopia de força magnética [en] pode recuperar esses dados e desenvolveu padrões específicos para tecnologias de acionamento específicas, projetadas para combater isso.^[4] Esses padrões passaram a ser conhecidos como o método de Gutmann.

Daniel Feenberg, um economista do Departamento nacional de pesquisa econômica privado, afirma que as chances de dados sobregravados serem recuperados de um disco rígido moderno equivalem a uma "lenda urbana".^[5] Ele também aponta para o "intervalo de 18 + 1⁄2 minutos" [en] criado por Rose Mary Woods [en] em uma fita de Richard Nixon discutindo a invasão de Watergate. As informações apagadas na lacuna não foram recuperadas, e Feenberg afirma que fazer isso seria uma tarefa fácil em comparação com a recuperação de um sinal digital moderno de alta densidade.

Desde novembro de 2007, o Departamento de defesa dos Estados unidos considera a sobregravação aceitável para limpar mídia magnética dentro da mesma área/zona de segurança, mas não como um método de sanitização. Apenas a desmagnetização ou a destruição física é aceitável para a última.^[6]

Por outro lado, de acordo com a publicação especial 800-88 rev. 1 (p. 7) do NIST de 2014 : "Para dispositivos de armazenamento contendo mídia magnética, uma única passagem de sobregravação com um padrão fixo, como zeros binários, normalmente dificulta a recuperação de dados mesmo se as técnicas de laboratório de última geração forem aplicadas para tentar recuperar os dados."^[7] Uma análise de técnicas de recuperação, incluindo microscopia de força magnética, também conclui que uma única limpeza é tudo o que é necessário para unidades modernas. Eles apontam que o longo tempo necessário para várias limpezas "criou uma situação em que muitas organizações ignoram a questão (totalmente), resultando em vazamentos e perda de dados."^[8]

A desmagnetização [en] é a remoção ou redução de um campo magnético de um disco ou unidade, usando um dispositivo chamado desmagnetizador que foi projetado para a mídia que está sendo apagada. Aplicada a mídia magnética [en], a desmagnetização pode purgar um elemento de mídia inteiro de forma rápida e eficaz.

A desmagnetização geralmente torna os discos rígidos inoperantes, pois apaga a formatação de baixo nível que é feita apenas na fábrica durante a fabricação. Em alguns casos, é possível retornar a unidade a um estado funcional solicitando a manutenção no fabricante. No entanto, alguns desmagnetizadores modernos usam um pulso magnético tão forte que o motor que gira os pratos pode ser destruído no processo de desmagnetização e a manutenção pode não ser econômica. A fita de computador desmagnetizada, como a DLT, geralmente pode ser reformatada e reutilizada com o hardware padrão do consumidor.

Em alguns ambientes de alta segurança, pode ser necessário usar um desmagnetizador aprovado para a tarefa. Por exemplo, em jurisdições militares e governamentais dos E.U.A., pode ser necessário usar um desmagnetizador da "lista de produtos avaliados" da NSA.^[9]

Encriptar os dados antes de serem armazenados na mídia pode mitigar as preocupações sobre a remanência de dados. Se a chave para desencriptar for forte e cuidadosamente controlada, ela pode efetivamente tornar irrecuperáveis quaisquer dados na mídia. Mesmo que a chave esteja armazenada na mídia, pode ser mais fácil ou mais rápido sobregravar apenas a chave, em vez de todo o disco. Esse processo é chamado de destruição via encriptação [en] (cripto-destruição, destruição criptográfica, criptografia destrutiva, etc.).

A encriptação pode ser feita arquivo por arquivo [en] ou em todo o disco. Os ataques de inicialização a frio são um dos poucos métodos possíveis para subverter um método de encriptação de disco completo, pois não há possibilidade de armazenar a chave de texto simples em uma seção não criptografada da mídia. Consulte a seção Complicações: Dados na RAM para uma análise mais aprofundada.

Outros ataques de canal lateral (como registradores de teclas/digitação^[c], aquisição de uma nota escrita contendo a chave de desencriptação ou criptoanálise de mangueira de borracha) podem oferecer uma chance maior de sucesso, mas não dependem de fraquezas no método criptográfico empregado. Como tal, sua relevância para este artigo é menor.

A destruição completa da mídia de armazenamento subjacente é a maneira mais segura de combater a remanência de dados. No entanto, o processo geralmente é demorado, complicado e pode exigir métodos extremamente completos, pois mesmo um pequeno fragmento da mídia pode conter grandes quantidades de dados.

As técnicas de destruição específicas incluem:

• Quebrar fisicamente [en] a mídia (por exemplo, por moagem ou trituração);
• alterar quimicamente [en] a mídia para um estado não legível e não reversível (por exemplo, por incineração ou exposição a produtos químicos cáusticos/corrosivos);
• transição de fase (por exemplo, liquefação ou vaporização de um disco sólido);
• para mídia magnética, elevar sua temperatura acima do ponto de Curie;
• para muitos meios de armazenamento elétricos/eletrônicos voláteis e não voláteis, exposição a campos eletromagnéticos que excedem em muito as especificações operacionais seguras (por exemplo, corrente elétrica de alta tensão ou microondas de alta amplitude ou radiação ionizante).^{[carece de fontes?]}

A mídia de armazenamento pode ter áreas que se tornam inacessíveis por meios normais. Por exemplo, os discos magnéticos [en] podem desenvolver novos setores defeituosos após a gravação dos dados e as fitas exigem intervalos entre os registros. Os discos rígidos modernos geralmente apresentam realocação de setores ou trilhas marginais, automatizados de uma forma que o sistema operacional não precisaria trabalhar com eles. O problema é especialmente significativo em unidades de estado sólido (SSDs) que dependem de tabelas de setores defeituosos realocados relativamente grandes. As tentativas de combater a remanência de dados por sobregravação podem não ser bem-sucedidas em tais situações, pois os dados remanescentes podem persistir em áreas nominalmente inacessíveis.

Sistemas de armazenamento de dados com recursos mais sofisticados podem tornar a sobregravação ineficaz, especialmente por arquivo. Por exemplo, os sistemas de arquivos com journaling aumentam a integridade dos dados registrando operações de gravação em vários locais e aplicando semântica semelhante à transação; em tais sistemas, os dados remanescentes podem existir em locais "fora" do local nominal de armazenamento do arquivo. Alguns sistemas de arquivos também implementam a cópia no momento da gravação (copy-on-write) ou o controle de revisão [en] integrado, com a intenção de que a gravação em um arquivo nunca sobrescreva os dados no local. Além disso, tecnologias como o RAID e técnicas antifragmentação [en] podem resultar na gravação de dados de arquivos em vários locais, seja por design (para tolerância à falhas) ou como remanência de dados.

O nivelamento de desgaste [en] também pode anular o apagamento de dados, realocando os blocos entre o momento em que são originalmente gravados e o momento em que são substituídos. Por esse motivo, alguns protocolos de segurança adaptados a sistemas operacionais ou outros softwares com nivelamento automático de desgaste recomendam realizar uma limpeza de espaço livre de uma determinada unidade e, em seguida, copiar muitos arquivos "lixo" pequenos e facilmente identificáveis ​​ou arquivos contendo outros dados não confidenciais para preencher como o máximo possível dessa unidade, deixando apenas a quantidade de espaço livre necessária para a operação satisfatória do hardware e software do sistema. À medida que as demandas de armazenamento e sistema aumentam, os arquivos de "dados indesejados" podem ser excluídos conforme necessário para liberar espaço; mesmo que a exclusão de arquivos de "dados indesejados" não seja segura, sua falta de sensibilidade inicial reduz a quase zero as consequências da recuperação de dados remanescentes deles.^{[carece de fontes?]}

Como as mídias ópticas não são magnéticas, elss não são apagadas pela desmagnetização convencional. A mídia óptica de gravação única (CD-R,DVD-R [en], etc.) também não pode ser purgada por sobregravação. Mídias ópticas regraváveis, como CD-RW e DVD-RW [en], podem ser receptivas à sobregravação. Os métodos para sanitizar discos ópticos com sucesso incluem delaminação [en] ou abrasão da camada de dados metálica, trituração, incineração, arco elétrico destrutivo (como por exposição à energia de micro-ondas) e submersão em um solvente de policarbonato (por exemplo, acetona).

Uma pesquisa do Centro de gravação e pesquisa magnética da Universidade da Califórnia, em San Diego, descobriu problemas inerentes ao apagamento de dados armazenados em unidades de estado sólido (SSDs). Os pesquisadores descobriram três problemas com armazenamento de arquivos em SSDs:^[10]

Primeiro, os comandos integrados são eficazes, mas os fabricantes às vezes os implementam incorretamente. Em segundo lugar, substituir todo o espaço de endereço visível de um SSD duas vezes é geralmente, mas nem sempre, suficiente para limpar a unidade. Terceiro, nenhuma das técnicas existentes orientadas a discos rígidos para sanitização de arquivos individuais são eficazes em SSDs.^[10](p1)

As unidades de estado sólido, que são baseadas em flash, diferem das unidades de disco rígido de duas maneiras: primeiro, na maneira como os dados são armazenados; e segundo, na forma como os algoritmos são usados ​​para gerenciar e acessar esses dados. Essas diferenças podem ser exploradas para recuperar dados apagados anteriormente. Os SSDs mantêm uma camada de indireção entre os endereços lógicos usados ​​pelos sistemas de computador para acessar os dados e os endereços internos que identificam o armazenamento físico. Essa camada de indireção oculta interfaces de mídia idiossincráticas e aprimora o desempenho, a confiabilidade, e a vida útil da SSD (consulte nivelamento de desgaste [en]), mas também pode produzir cópias dos dados que são invisíveis para o usuário e que um invasor sofisticado pode recuperar. Para sanitizar discos inteiros, os comandos de sanitização embutidos no hardware da SSD mostraram-se eficazes quando implementados corretamente, e descobriu-se que as técnicas somente de software para sanitizar discos inteiros funcionam na maioria das vezes, mas não em todas.^{[10]:seção 5} Nos testes, nenhuma das técnicas de software foi eficaz para sanitizar arquivos individuais. Isso inclui algoritmos bem conhecidos, como o método de Gutmann, o 5220.22-M do DoD dos E.U.A. [en], o RCMP TSSIT OPS-II, o Schneier de 7 passos e esvaziar o lixo seguro no macOS (um recurso incluído nas versões 10.3-10.9 do OS X).^{[10]:seção 5}

O recurso TRIMTrim (computing) [en] em muitas SSDs, se implementado corretamente, eventualmente apagará os dados depois que eles forem excluídos^{[11][carece de fontes?]}, mas o processo pode levar algum tempo, normalmente vários minutos. Muitos sistemas operacionais mais antigos não oferecem suporte a esse recurso e nem todas as combinações de unidades e sistemas operacionais funcionam.^[12]

A remanência de dados foi observada na memória estática de acesso aleatório (SRAM) [en], que normalmente é considerada volátil (ou seja, o conteúdo se degrada com a perda de energia externa). Em um estudo, a retenção de dados [en] foi observada mesmo em temperatura ambiente.^[13]

A remanência de dados também foi observada na memória dinâmica de acesso aleatório (DRAM). Os chips de DRAM modernos têm um módulo de auto-atualização integrado, pois eles não apenas exigem uma fonte de alimentação para reter os dados, mas também devem ser atualizados periodicamente para evitar que o conteúdo dos dados desapareça dos capacitores em seus circuitos integrados. Um estudo encontrou remanência de dados na DRAM com retenção de dados de segundos a minutos à temperatura ambiente e "uma semana inteira sem atualização quando resfriado com nitrogênio líquido".^[14] Os autores do estudo foram capazes de usar um ataque de inicialização a frio para recuperar chaves criptográficas para vários sistemas populares de encriptação de disco completo [en], incluindo o BitLocker [en] da Microsoft, o FileVault [en] da Apple, o dm-crypt para o Linux e o TrueCrypt.^[14](p12)

Apesar de alguma degradação da memória, os autores do estudo descrito acima conseguiram tirar proveito da redundância na forma como as chaves são armazenadas após serem expandidas para uso eficiente, como no cronograma de chaves[[]] [en]. Os autores recomendam que os computadores sejam desligados, em vez de serem deixados em estado de "sono" [en], quando não estiverem sob controle físico do proprietário. Em alguns casos, como certos modos do programa de software BitLocker, os autores recomendam que uma senha de inicialização ou uma chave em um dispositivo USB removível seja usada.^[14](p12)  TRESOR [en] é um ajuste/correção^[d] de núcleo^[e] para Linux especificamente destinado a evitar ataques inicialização a frio na RAM, garantindo que as chaves de encriptação não sejam acessíveis a partir do espaço do usuário e sejam armazenadas na CPU em vez de na RAM do sistema sempre que possível. Versões mais recentes do software de encriptação de disco VeraCrypt podem encriptar chaves e senhas na RAM em Windows de 64 bits.^[15]

Austrália

• ISM do ASD - 2014, Manual de segurança da informação do governo australiano, 2014^[16]

Canadá

• RCMP B2-002, Produtos de sobregravação de mídias de T.I. e exclusão segura, maio de 2009^[17]
• Limpeza e desclassificação de dispositivos eletrônicos de armazenamento de dados do Estabelecimento de segurança das comunicações, julho de 2006^[18]

Estados unidos

• Publicação especial 800-88 NIST, Diretrizes para sanitização de mídias, setembro de 2006^[1]
• 5220.22-M do DoD, Manual operacional do programa nacional de segurança industrial (NISPOM), fevereiro de 2006^[19]
  • As edições atuais não contêm mais referências a métodos específicos de higienização. Os padrões de sanitização são deixados para a autoridade de segurança cognitiva.^[19]
  • Embora o próprio texto do NISPOM nunca tenha descrito nenhum método específico para sanitização, as edições anteriores (1995 e 1997)^[20] continham métodos de sanitização explícitos na matriz de limpeza e sanitização do serviço de segurança de defesa (DSS) inseridos após a seção 8-306. O DSS ainda fornece essa matriz e continua a especificar métodos.^[6] A partir da edição de novembro de 2007 da matriz, a sobregravação não é mais aceitável para sanitização de mídia magnética. Apenas a desmagnetização (com um desmagnetizador aprovado pela NSA) ou a destruição física é aceitável.
• AR380-19 do exército, Segurança de sistemas de informação, fevereiro de 1998^[21] substituído pelo AR 25-2 (diretório de publicação do Exército, 2009)
• AFSSI 8580 da Força aérea, Segurança de remanência, 17 de novembro de 2008^[22]
• NAVSO P5239-26 da Marinha, Segurança de remanência, setembro de 1993^[23]
• 2883 do Instituto de engenheiros eletricistas e eletrônicos (IEEE), Padrão do IEEE para higienização de armazenamento, agosto de 2022 ^{[24] [25][26]}

Nova Zelândia

• NZISM de 2016 do Secretaria de segurança de comunicações do governo (GCSB), Manual de segurança da informação da Nova Zelândia v2.5, julho de 2016^[27]
• PSM do NZSIS [en] 2009, Manual de segurança protetora

Reino unido

• Aliança de eliminação de ativos e segurança da informação (ADISA) [en], padrão de segurança de eliminação de ativos de T.I. da ADISA^[28]