Remanência de dados

A remanescência de dados é a representação residual de dados digitais que permanece mesmo após tentativas de remover ou apagar os dados. Esse resíduo pode resultar de dados deixados intactos por uma operação nominal de exclusão de arquivo, pela reformatação de mídias de armazenamento que não remove dados gravados anteriormente, ou através de propriedades físicas do dispositivo de armazenamento que permitem que dados gravados anteriormente sejam recuperados. A remanescência de dados pode tornar possível a divulgação inadvertida de informações sensíveis caso a mídia de armazenamento seja liberada em um ambiente não controlado (ex: jogada em lixeiras ou perdida). Várias técnicas foram desenvolvidas para combater a remanescência de dados. Essas técnicas são classificadas como limpeza, expurgo/higienização ou destruição. Métodos específicos incluem sobrescrita, desmagnetização, criptografia e destruição de mídia.

A aplicação eficaz de contramedidas pode ser complicada por vários fatores, incluindo mídias inacessíveis, mídias que não podem ser apagadas de forma eficaz, sistemas de armazenamento avançados que mantêm históricos de dados durante todo o ciclo de vida dos dados e a persistência de dados na memória que é tipicamente considerada volátil.

Existem vários padrões para a remoção segura de dados e a eliminação da remanescência de dados.

Muitos sistemas operacionais, gerenciadores de arquivos e outros softwares fornecem um recurso onde um arquivo não é imediatamente excluído quando o usuário solicita essa ação. Em vez disso, o arquivo é movido para uma área de espera (ou seja, a "lixeira"), facilitando para o usuário desfazer um erro. Da mesma forma, muitos produtos de software criam automaticamente cópias de backup de arquivos que estão sendo editados, para permitir que o usuário restaure a versão original ou se recupere de uma possível falha (recurso de salvamento automático [en]).

Mesmo quando um recurso explícito de retenção de arquivos excluídos não é fornecido ou quando o usuário não o utiliza, os sistemas operacionais na verdade não removem o conteúdo de um arquivo quando ele é excluído, a menos que saibam que comandos explícitos de apagamento são necessários, como em uma unidade de estado sólido (SSD). (Nesses casos, o sistema operacional emitirá o comando Serial ATA TRIM [en] ou o comando SCSI UNMAP para informar à unidade que não deve mais manter os dados excluídos.) Em vez disso, eles simplesmente removem a entrada do arquivo do diretório do sistema de arquivos porque isso exige menos trabalho e, portanto, é mais rápido, e o conteúdo do arquivo — os dados reais — permanece no meio de armazenamento. Os dados permanecerão lá até que o sistema operacional reutilize o espaço para novos dados. Em alguns sistemas, metadados suficientes do sistema de arquivos também são deixados para trás para permitir a fácil recuperação [en] por softwares utilitários comumente disponíveis. Mesmo quando a recuperação se torna impossível, os dados, até que tenham sido sobrescritos, podem ser lidos por softwares que leem setores de disco diretamente. A computação forense frequentemente emprega tais softwares.

Da mesma forma, a reformatação, reparticionamento ou a reimaginação de um sistema provavelmente não gravará em todas as áreas do disco, embora todos façam o disco parecer vazio (ou, no caso de reimaginação, vazio exceto pelos arquivos presentes na imagem) para a maioria dos softwares.

Finalmente, mesmo quando a mídia de armazenamento é sobrescrita, as propriedades físicas da mídia podem permitir a recuperação do conteúdo anterior. Na maioria dos casos, no entanto, essa recuperação não é possível apenas lendo o dispositivo de armazenamento da maneira usual, mas requer o uso de técnicas laboratoriais, como desmontar o dispositivo e acessar/ler diretamente de seus componentes.^{[carece de fontes?]}

§ Complicações abaixo fornece mais explicações sobre as causas da remanescência de dados.

Ver artigo principal: Apagamento de dados

Existem três níveis comumente reconhecidos para eliminar dados remanescentes:

A limpeza é a remoção de dados sensíveis de dispositivos de armazenamento de tal forma que haja garantia de que os dados não possam ser reconstruídos usando funções normais do sistema ou utilitários de recuperação de arquivos/dados de software. Os dados ainda podem ser recuperáveis, mas não sem técnicas laboratoriais especiais.^[1]

A limpeza é tipicamente uma proteção administrativa contra divulgação acidental dentro de uma organização. Por exemplo, antes de um disco rígido ser reutilizado dentro de uma organização, seu conteúdo pode ser limpo para evitar a divulgação acidental ao próximo usuário.

O expurgo ou a higienização (sanitização) é a reescrita física de dados sensíveis de um sistema ou dispositivo de armazenamento feita com a intenção específica de tornar os dados irrecuperáveis posteriormente.^[2] O expurgo, proporcional à sensibilidade dos dados, é geralmente feito antes de liberar a mídia para fora de controle, como antes de descartar mídias antigas ou mover mídias para um computador com requisitos de segurança diferentes.

A mídia de armazenamento é tornada inutilizável para equipamentos convencionais. A eficácia da destruição da mídia varia de acordo com o meio e o método. Dependendo da densidade de gravação da mídia e/ou da técnica de destruição, isso pode deixar dados recuperáveis por métodos laboratoriais. Por outro lado, a destruição usando técnicas apropriadas é o método mais seguro de impedir a recuperação.

Um método comum usado para combater a remanescência de dados é sobrescrever a mídia de armazenamento com novos dados. Isso é frequentemente chamado de wiping (limpeza) ou shredding (trituração) de um disco ou arquivo, por analogia aos métodos comuns de destruição de mídia impressa [en], embora o mecanismo não tenha semelhança com estes. Como tal método muitas vezes pode ser implementado apenas em software, e pode ser capaz de atingir seletivamente apenas parte da mídia, é uma opção popular e de baixo custo para algumas aplicações. A sobrescrita é geralmente um método aceitável de limpeza, desde que a mídia seja gravável e não esteja danificada.

A técnica de sobrescrita mais simples escreve os mesmos dados em todos os lugares — frequentemente apenas um padrão de zeros em tudo/todos. No mínimo, isso impedirá que os dados sejam recuperados simplesmente lendo a mídia novamente usando funções padrão do sistema. A UEFI em máquinas modernas pode oferecer também uma função de apagamento de disco da classe ATA. O padrão ATA-6 rege as especificações de apagamento seguro.

O BitLocker [en] é uma criptografia de disco inteiro e ilegível sem a chave. Escrever uma nova GPT permite que um novo sistema de arquivos seja estabelecido. Os blocos serão definidos como vazios, mas a leitura LBA é ilegível. Novos dados não serão afetados e funcionarão bem.

Na tentativa de combater técnicas de recuperação de dados mais avançadas, padrões específicos de sobrescrita e múltiplas passagens têm sido frequentemente prescritos. Estes podem ser padrões genéricos destinados a erradicar quaisquer assinaturas de rastreamento; um exemplo é o padrão de sete passagens 0xF6, 0x00, 0xFF, <byte aleatório>, 0x00, 0xFF, <byte aleatório>, às vezes erroneamente atribuído ao padrão dos EUA DOD 5220.22-M [en].

Um desafio com a sobrescrita é que algumas áreas do disco podem ser inacessíveis, devido à degradação da mídia ou outros erros. A sobrescrita por software também pode ser problemática em ambientes de alta segurança, que exigem controles mais fortes sobre a mistura de dados [en] do que os que podem ser fornecidos pelo software em uso. O uso de tecnologias de armazenamento avançadas também pode tornar a sobrescrita baseada em arquivos ineficaz (veja a discussão relacionada abaixo em § Complicações).

Existem máquinas e softwares especializados capazes de realizar a sobrescrita. O software às vezes pode ser um sistema operacional autônomo especificamente projetado para destruição de dados. Existem também máquinas especificamente projetadas para limpar discos rígidos de acordo com as especificações do Departamento de Defesa DOD 5220.22-M.^[3]

Escrever zero em cada bloco em discos rígidos e SSDs tem a vantagem de permitir que o firmware utilize blocos de reserva quando blocos defeituosos são identificados. O BitLocker tem a vantagem de que os dados são ilegíveis sem a chave. Seatools e outras ferramentas podem apagar discos com zero, o que é típico para reviver discos de classe de consumidor antigos, mas podem limpar discos de servidor, embora lentamente. Discos modernos de 28TB e maiores têm um número enorme de blocos LBA48. Discos de 40TB e 60TB levarão tempos proporcionalmente maiores para limpar.

Peter Gutmann investigou a recuperação de dados de mídias nominalmente sobrescritas em meados da década de 1990. Ele sugeriu que a microscopia de força magnética [en] poderia ser capaz de recuperar tais dados e desenvolveu padrões específicos, para tecnologias de drive específicas, projetados para combater isso.^[4] Esses padrões ficaram conhecidos como o método de Gutmann. A crença de Gutmann na possibilidade de recuperação de dados baseia-se em muitas suposições questionáveis e erros factuais que indicam um baixo nível de compreensão de como os discos rígidos funcionam.^[5]

Daniel Feenberg, um economista do National Bureau of Economic Research privado, afirma que as chances de dados sobrescritos serem recuperados de um disco rígido moderno equivalem a "lenda urbana".^[6] Ele também aponta para a "lacuna de 18 minutos e meio" que Rose Mary Woods criou em uma fita de Richard Nixon discutindo a Invasão de Watergate [en]. As informações apagadas na lacuna não foram recuperadas, e Feenberg afirma que fazer isso seria uma tarefa fácil em comparação com a recuperação de um sinal digital moderno de alta densidade.

Em novembro de 2007, o Departamento de Defesa dos Estados Unidos considerava a sobrescrita aceitável para limpar mídias magnéticas dentro da mesma área/zona de segurança, mas não como um método de higienização. Apenas a desmagnetização ou a destruição física são aceitáveis para o último.^[7]

Por outro lado, de acordo com a Publicação Especial 800-88 Rev. 1 do NIST de 2014 (p. 7): "Para dispositivos de armazenamento contendo mídia magnética, uma única passagem de sobrescrita com um padrão fixo, como zeros binários, tipicamente dificulta a recuperação de dados, mesmo se técnicas laboratoriais de ponta forem aplicadas para tentar recuperar os dados."^[8] Uma análise por Wright et al. de técnicas de recuperação, incluindo microscopia de força magnética, também conclui que uma única limpeza é tudo o que é necessário para drives modernos. Eles apontam que o longo tempo necessário para múltiplas limpezas "criou uma situação onde muitas organizações ignoram a questão [completamente] – resultando em vazamentos de dados e perdas."^[9]

A desmagnetização [en] é a remoção ou redução de um campo magnético de um disco ou drive, usando um dispositivo chamado desmagnetizador que foi projetado para a mídia que está sendo apagada. Aplicada a mídias magnéticas, a desmagnetização pode expurgar um elemento de mídia inteiro de forma rápida e eficaz.

A desmagnetização frequentemente torna os discos rígidos inoperantes, pois apaga a formatação de baixo nível que é feita apenas na fábrica durante a manufatura. Em alguns casos, é possível retornar o drive a um estado funcional fazendo a manutenção no fabricante. No entanto, alguns desmagnetizadores modernos usam um pulso magnético tão forte que o motor que gira os pratos pode ser destruído no processo de desmagnetização, e a manutenção pode não ser custo-efetiva. Fitas de computador desmagnetizadas, como a DLT, geralmente podem ser reformatadas e reutilizadas com hardware de consumo padrão.

Em alguns ambientes de alta segurança, pode ser exigido o uso de um desmagnetizador que tenha sido aprovado para a tarefa. Por exemplo, nas jurisdições governamentais e militares dos EUA, pode ser exigido o uso de um desmagnetizador da "Lista de Produtos Avaliados" da NSA.^[10]

Criptografar os dados antes que eles sejam armazenados na mídia pode mitigar as preocupações sobre a remanescência de dados. Se a chave de descriptografia for forte e cuidadosamente controlada, ela pode efetivamente tornar qualquer dado na mídia irrecuperável. Mesmo se a chave estiver armazenada na mídia, pode ser mais fácil ou rápido sobrescrever apenas a chave, em comparação com o disco inteiro. Esse processo é chamado de crypto-shredding [en].

A criptografia pode ser feita arquivo por arquivo [en], ou no disco inteiro. Ataques de inicialização a frio são um dos poucos métodos possíveis para subverter um método de criptografia de disco total, pois não há possibilidade de armazenar a chave em texto simples em uma seção não criptografada do meio. Veja a seção Complicações: Dados na RAM para mais discussões.

Outros ataques de canal lateral (como keyloggers, aquisição de uma nota escrita contendo a chave de descriptografia ou criptoanálise de mangueira de borracha) podem oferecer uma chance maior de sucesso, mas não dependem de fraquezas no método criptográfico empregado. Como tal, sua relevância para este artigo é menor.

A destruição completa da mídia de armazenamento subjacente é a maneira mais certa de combater a remanescência de dados. No entanto, o processo é geralmente demorado, trabalhoso e pode exigir métodos extremamente minuciosos, pois mesmo um pequeno fragmento da mídia pode conter grandes quantidades de dados.

Técnicas de destruição específicas incluem:

• Quebrar fisicamente [en] a mídia (ex: moendo ou triturando)
• Alterar quimicamente a mídia para um estado não legível e não reconstruível (ex: através de incineração ou exposição a produtos químicos cáusticos/corrosivos)
• Transição de fase (ex: liquefação ou vaporização de um disco sólido)
• Para mídias magnéticas, elevar sua temperatura acima do Ponto de Curie
• Para muitas mídias de armazenamento voláteis e não voláteis elétricas/eletrônicas, exposição a campos eletromagnéticos excedendo em muito as especificações operacionais seguras (ex: corrente elétrica de alta tensão ou micro-ondas de alta amplitude ou radiação ionizante)^{[carece de fontes?]}

Mídias de armazenamento podem ter áreas que se tornam inacessíveis por meios normais. Por exemplo, discos magnéticos podem desenvolver novos setores defeituosos depois que os dados foram gravados, e fitas requerem lacunas entre registros. Discos rígidos modernos frequentemente apresentam realocação de setores ou trilhas marginais, automatizada de uma forma que o sistema operacional não precisaria trabalhar com isso. O problema é especialmente significativo em unidades de estado sólido (SSDs) que dependem de tabelas de blocos ruins realocados relativamente grandes. Tentativas de combater a remanescência de dados por sobrescrita podem não ser bem-sucedidas em tais situações, pois restos de dados podem persistir nessas áreas nominalmente inacessíveis.

Sistemas de armazenamento de dados com recursos mais sofisticados podem tornar a sobrescrita ineficaz, especialmente baseada em arquivos. Por exemplo, sistemas de arquivos com journaling aumentam a integridade dos dados registrando operações de gravação em vários locais e aplicando semântica semelhante a transações; nesses sistemas, restos de dados podem existir em locais "fora" do local nominal de armazenamento do arquivo. Alguns sistemas de arquivos também implementam copiar ao gravar ou controle de revisão integrado, com a intenção de que a gravação em um arquivo nunca sobrescreva dados no local. Além disso, tecnologias como RAID e técnicas de anti-fragmentação podem resultar em dados de arquivos sendo gravados em vários locais, seja por design (para tolerância a falhas) ou como restos de dados.

O nivelamento de desgaste [en] também pode derrotar o apagamento de dados, realocando blocos entre o momento em que são originalmente gravados e o momento em que são sobrescritos. Por esse motivo, alguns protocolos de segurança adaptados a sistemas operacionais ou outros softwares com nivelamento de desgaste automático recomendam a realização de uma limpeza de espaço livre de uma determinada unidade e, em seguida, a cópia de muitos arquivos "lixo" pequenos e facilmente identificáveis ou arquivos contendo outros dados não sensíveis para preencher o máximo possível dessa unidade, deixando apenas a quantidade de espaço livre necessária para a operação satisfatória do hardware e software do sistema. À medida que as demandas de armazenamento e sistema crescem, os arquivos de "dados lixo" podem ser excluídos conforme necessário para liberar espaço; mesmo que a exclusão de arquivos de "dados lixo" não seja segura, sua não sensibilidade inicial reduz a quase zero as consequências da recuperação de dados remanescentes deles.^{[carece de fontes?]}

Como as mídias ópticas não são magnéticas, elas não são apagadas pela desmagnetização convencional. Mídias ópticas do tipo gravação única (CD-R, DVD-R, etc.) também não podem ser expurgadas por sobrescrita. Mídias ópticas regraváveis, como CD-RW e DVD-RW, podem ser receptivas à sobrescrita. Métodos para higienizar com sucesso discos ópticos incluem a delaminação [en] ou abrasão da camada de dados metálica, trituração, incineração, arco elétrico destrutivo (como pela exposição à energia de micro-ondas) e submersão em um solvente de policarbonato (ex: acetona).

Pesquisas do Center for Magnetic Recording and Research, Universidade da Califórnia, San Diego, descobriram problemas inerentes ao apagamento de dados armazenados em unidades de estado sólido (SSDs). Os pesquisadores descobriram três problemas com o armazenamento de arquivos em SSDs:^[11]

Primeiro, os comandos integrados são eficazes, mas os fabricantes às vezes os implementam incorretamente. Segundo, sobrescrever todo o espaço de endereço visível de um SSD duas vezes é geralmente, mas nem sempre, suficiente para higienizar a unidade. Terceiro, nenhuma das técnicas existentes orientadas a discos rígidos para higienização de arquivos individuais é eficaz em SSDs.^[11](p1)

Unidades de estado sólido, que são baseadas em flash, diferem de unidades de disco rígido de duas maneiras: primeiro, na forma como os dados são armazenados; e segundo, na forma como os algoritmos são usados para gerenciar e acessar esses dados. Essas diferenças podem ser exploradas para recuperar dados apagados anteriormente. SSDs mantêm uma camada de indireção entre os endereços lógicos usados por sistemas de computador para acessar dados e os endereços internos que identificam o armazenamento físico. Essa camada de indireção oculta interfaces de mídia idiossincráticas e melhora o desempenho, a confiabilidade e a vida útil do SSD (veja wear leveling), mas também pode produzir cópias dos dados que são invisíveis para o usuário e que um invasor sofisticado poderia recuperar. Para higienizar discos inteiros, comandos de higienização integrados ao hardware do SSD foram considerados eficazes quando implementados corretamente, e técnicas apenas de software para higienizar discos inteiros funcionaram na maioria das vezes, mas não em todas.^{[11]:seção 5} Em testes, nenhuma das técnicas de software foi eficaz para higienizar arquivos individuais. Estas incluíram algoritmos bem conhecidos, como o método de Gutmann, US DoD 5220.22-M [en], RCMP TSSIT OPS-II, Schneier 7 Pass e Secure Empty Trash no macOS (um recurso incluído nas versões OS X 10.3-10.9).^{[11]:seção 5}

O recurso TRIM [en] em muitos dispositivos SSD, se implementado corretamente, acabará apagando os dados após sua exclusão,^{[12][carece de fontes?]} mas o processo pode levar algum tempo, tipicamente vários minutos. Muitos sistemas operacionais mais antigos não suportam esse recurso, e nem todas as combinações de drives e sistemas operacionais funcionam.^[13]

A remanescência de dados foi observada em memória estática de acesso aleatório (SRAM), que é tipicamente considerada volátil (ou seja, o conteúdo se degrada com a perda de energia externa). Em um estudo, a retenção de dados foi observada mesmo à temperatura ambiente.^[14]

A remanescência de dados também foi observada em memória dinâmica de acesso aleatório (DRAM). Chips de DRAM modernos têm um módulo de auto-atualização integrado, pois não apenas exigem uma fonte de alimentação para reter dados, mas também devem ser atualizados periodicamente para evitar que seu conteúdo de dados desapareça dos capacitores em seus circuitos integrados. Um estudo encontrou remanescência de dados em DRAM com retenção de dados de segundos a minutos à temperatura ambiente e "uma semana inteira sem atualização quando resfriada com nitrogênio líquido".^[15] Os autores do estudo conseguiram usar um ataque de inicialização a frio para recuperar chaves criptográficas de vários sistemas populares de criptografia de disco total, incluindo Microsoft BitLocker [en], Apple FileVault [en], dm-crypt para Linux e TrueCrypt.^[15](p12)

Apesar de alguma degradação da memória, os autores do estudo descrito acima conseguiram tirar proveito da redundância na forma como as chaves são armazenadas depois de terem sido expandidas para uso eficiente, como no escalonamento de chaves [en]. Os autores recomendam que os computadores sejam desligados, em vez de deixados em um estado de "suspensão [en]", quando não estiverem sob controle físico do proprietário. Em alguns casos, como certos modos do programa de software BitLocker, os autores recomendam que uma senha de inicialização ou uma chave em um dispositivo USB removível seja usada.^[15](p12) TRESOR [en] é uma patch de kernel para Linux especificamente destinado a impedir ataques de inicialização a frio na RAM, garantindo que as chaves de criptografia não sejam acessíveis do espaço do usuário e sejam armazenadas na CPU em vez da RAM do sistema sempre que possível. Versões mais recentes do software de criptografia de disco VeraCrypt podem criptografar chaves e senhas na RAM no Windows de 64 bits.^[16]

Austrália

• ASD ISM 2014, Australian Government Information Security Manual, 2014^[17]

Canadá

• RCMP B2-002, IT Media Overwrite and Secure Erase Products, Maio de 2009^[18]
• Communications Security Establishment Clearing and Declassifying Electronic Data Storage Devices, Julho de 2006^[19]

Nova Zelândia

• GCSB NZISM 2016, New Zealand Information Security Manual v2.5, Julho de 2016^[20]
• NZSIS [en] PSM 2009, Protective Security Manual

Reino Unido

• Asset Disposal and Information Security Alliance [en] (ADISA), ADISA IT Asset Disposal Security Standard^[21]

Estados Unidos

• NIST Special Publication 800-88, Guidelines for Media Sanitization, Setembro de 2006^[1]
• DOD 5220.22-M [en], National Industrial Security Program Operating Manual (NISPOM), Fevereiro de 2006^[22]
  • Edições atuais não contêm mais referências a métodos de higienização específicos. Os padrões para higienização são deixados a cargo da Autoridade de Segurança Competente (Cognizant Security Authority).^[22]
  • Embora o texto do NISPOM em si nunca tenha descrito métodos específicos de higienização, edições passadas (1995 e 1997)^[23] continham métodos de higienização explícitos dentro da Clearing and Sanitization Matrix (Matriz de Limpeza e Higienização) do Defense Security Service (DSS) inserida após a Seção 8-306. O DSS ainda fornece essa matriz e continua a especificar métodos.^[7] A partir da edição de novembro de 2007 da matriz, a sobrescrita não é mais aceitável para a higienização de mídia magnética. Apenas a desmagnetização (com um desmagnetizador aprovado pela NSA) ou a destruição física são aceitáveis.
• Army AR380-19, Information Systems Security, Fevereiro de 1998^[24] substituído por AR 25-2^[25] (Army Publishing Directorate, 2009)
• Air Force AFSSI 8580, Remanence Security, 17 de novembro de 2008^[26]
• Navy NAVSO P5239-26, Remanence Security, Setembro de 1993^[27]
• IEEE 2883, IEEE Standard for Sanitizing Storage, Agosto de 2022^[28][29][30]

• A Guide to Understanding Data Remanence in Automated Information Systems. [S.l.]: National Computer Security Center. Setembro de 1991. Consultado em 10 de dezembro de 2007  (Rainbow Series "Forrest Green Book")
• Tutorial on Disk Drive Data Sanitization Gordon Hughes, UCSD Center for Magnetic Recording Research, Tom Coughlin, Coughlin Associates