A remanescência de dados é a representação residual de dados digitais que permanece mesmo após tentativas de remover ou apagar os dados. Esse resíduo pode resultar de dados deixados intactos por uma operação nominal de exclusão de arquivo, pela reformatação de mídias de armazenamento que não remove dados gravados anteriormente, ou através de propriedades físicas do dispositivo de armazenamento que permitem que dados gravados anteriormente sejam recuperados. A remanescência de dados pode tornar possível a divulgação inadvertida de informações sensíveis caso a mídia de armazenamento seja liberada em um ambiente não controlado (ex: jogada em lixeiras ou perdida). Várias técnicas foram desenvolvidas para combater a remanescência de dados. Essas técnicas são classificadas como limpeza, expurgo/higienização ou destruição. Métodos específicos incluem sobrescrita, desmagnetização, criptografia e destruição de mídia.

A aplicação eficaz de contramedidas pode ser complicada por vários fatores, incluindo mídias inacessíveis, mídias que não podem ser apagadas de forma eficaz, sistemas de armazenamento avançados que mantêm históricos de dados durante todo o ciclo de vida dos dados e a persistência de dados na memória que é tipicamente considerada volátil.

Existem vários padrões para a remoção segura de dados e a eliminação da remanescência de dados.

Causas

Muitos sistemas operacionais, gerenciadores de arquivos e outros softwares fornecem um recurso onde um arquivo não é imediatamente excluído quando o usuário solicita essa ação. Em vez disso, o arquivo é movido para uma área de espera (ou seja, a "lixeira"), facilitando para o usuário desfazer um erro. Da mesma forma, muitos produtos de software criam automaticamente cópias de backup de arquivos que estão sendo editados, para permitir que o usuário restaure a versão original ou se recupere de uma possível falha (recurso de ).

Mesmo quando um recurso explícito de retenção de arquivos excluídos não é fornecido ou quando o usuário não o utiliza, os sistemas operacionais na verdade não removem o conteúdo de um arquivo quando ele é excluído, a menos que saibam que comandos explícitos de apagamento são necessários, como em uma unidade de estado sólido (SSD). (Nesses casos, o sistema operacional emitirá o comando Serial ATA ou o comando SCSI UNMAP para informar à unidade que não deve mais manter os dados excluídos.) Em vez disso, eles simplesmente removem a entrada do arquivo do diretório do sistema de arquivos porque isso exige menos trabalho e, portanto, é mais rápido, e o conteúdo do arquivo — os dados reais — permanece no meio de armazenamento. Os dados permanecerão lá até que o sistema operacional reutilize o espaço para novos dados. Em alguns sistemas, metadados suficientes do sistema de arquivos também são deixados para trás para permitir a fácil por softwares utilitários comumente disponíveis. Mesmo quando a recuperação se torna impossível, os dados, até que tenham sido sobrescritos, podem ser lidos por softwares que leem setores de disco diretamente. A computação forense frequentemente emprega tais softwares.

Da mesma forma, a reformatação, reparticionamento ou a reimaginação de um sistema provavelmente não gravará em todas as áreas do disco, embora todos façam o disco parecer vazio (ou, no caso de reimaginação, vazio exceto pelos arquivos presentes na imagem) para a maioria dos softwares.

Finalmente, mesmo quando a mídia de armazenamento é sobrescrita, as propriedades físicas da mídia podem permitir a recuperação do conteúdo anterior. Na maioria dos casos, no entanto, essa recuperação não é possível apenas lendo o dispositivo de armazenamento da maneira usual, mas requer o uso de técnicas laboratoriais, como desmontar o dispositivo e acessar/ler diretamente de seus componentes.

abaixo fornece mais explicações sobre as causas da remanescência de dados.

Contramedidas

Existem três níveis comumente reconhecidos para eliminar dados remanescentes:

Limpeza A limpeza é a remoção de dados sensíveis de dispositivos de armazenamento de tal forma que haja garantia de que os dados não possam ser reconstruídos usando funções normais do sistema ou utilitários de recuperação de arquivos/dados de software. Os dados ainda podem ser recuperáveis, mas não sem técnicas laboratoriais especiais. (542 KB)

A limpeza é tipicamente uma proteção administrativa contra divulgação acidental dentro de uma organização. Por exemplo, antes de um disco rígido ser reutilizado dentro de uma organização, seu conteúdo pode ser limpo para evitar a divulgação acidental ao próximo usuário.

Expurgo O expurgo ou a higienização (sanitização) é a reescrita física de dados sensíveis de um sistema ou dispositivo de armazenamento feita com a intenção específica de tornar os dados irrecuperáveis posteriormente. O expurgo, proporcional à sensibilidade dos dados, é geralmente feito antes de liberar a mídia para fora de controle, como antes de descartar mídias antigas ou mover mídias para um computador com requisitos de segurança diferentes.

Destruição A mídia de armazenamento é tornada inutilizável para equipamentos convencionais. A eficácia da destruição da mídia varia de acordo com o meio e o método. Dependendo da densidade de gravação da mídia e/ou da técnica de destruição, isso pode deixar dados recuperáveis por métodos laboratoriais. Por outro lado, a destruição usando técnicas apropriadas é o método mais seguro de impedir a recuperação.

Métodos específicos Sobrescrita Um método comum usado para combater a remanescência de dados é sobrescrever a mídia de armazenamento com novos dados. Isso é frequentemente chamado de wiping (limpeza) ou shredding (trituração) de um disco ou arquivo, por analogia aos métodos comuns de , embora o mecanismo não tenha semelhança com estes. Como tal método muitas vezes pode ser implementado apenas em software, e pode ser capaz de atingir seletivamente apenas parte da mídia, é uma opção popular e de baixo custo para algumas aplicações. A sobrescrita é geralmente um método aceitável de limpeza, desde que a mídia seja gravável e não esteja danificada.

A técnica de sobrescrita mais simples escreve os mesmos dados em todos os lugares — frequentemente apenas um padrão de zeros em tudo/todos. No mínimo, isso impedirá que os dados sejam recuperados simplesmente lendo a mídia novamente usando funções padrão do sistema. A UEFI em máquinas modernas pode oferecer também uma função de apagamento de disco da classe ATA. O padrão ATA-6 rege as especificações de apagamento seguro.

O é uma criptografia de disco inteiro e ilegível sem a chave. Escrever uma nova GPT permite que um novo sistema de arquivos seja estabelecido. Os blocos serão definidos como vazios, mas a leitura LBA é ilegível. Novos dados não serão afetados e funcionarão bem.

Na tentativa de combater técnicas de recuperação de dados mais avançadas, padrões específicos de sobrescrita e múltiplas passagens têm sido frequentemente prescritos. Estes podem ser padrões genéricos destinados a erradicar quaisquer assinaturas de rastreamento; um exemplo é o padrão de sete passagens , , , , , , , às vezes erroneamente atribuído ao padrão dos EUA .

Um desafio com a sobrescrita é que algumas áreas do disco podem ser inacessíveis, devido à degradação da mídia ou outros erros. A sobrescrita por software também pode ser problemática em ambientes de alta segurança, que exigem controles mais fortes sobre a do que os que podem ser fornecidos pelo software em uso. O uso de tecnologias de armazenamento avançadas também pode tornar a sobrescrita baseada em arquivos ineficaz (veja a discussão relacionada abaixo em ).

Existem máquinas e softwares especializados capazes de realizar a sobrescrita. O software às vezes pode ser um sistema operacional autônomo especificamente projetado para destruição de dados. Existem também máquinas especificamente projetadas para limpar discos rígidos de acordo com as especificações do Departamento de Defesa DOD 5220.22-M.

Escrever zero em cada bloco em discos rígidos e SSDs tem a vantagem de permitir que o firmware utilize blocos de reserva quando blocos defeituosos são identificados. O BitLocker tem a vantagem de que os dados são ilegíveis sem a chave. Seatools e outras ferramentas podem apagar discos com zero, o que é típico para reviver discos de classe de consumidor antigos, mas podem limpar discos de servidor, embora lentamente. Discos modernos de 28TB e maiores têm um número enorme de blocos LBA48. Discos de 40TB e 60TB levarão tempos proporcionalmente maiores para limpar.

Viabilidade de recuperação de dados sobrescritos Peter Gutmann investigou a recuperação de dados de mídias nominalmente sobrescritas em meados da década de 1990. Ele sugeriu que a poderia ser capaz de recuperar tais dados e desenvolveu padrões específicos, para tecnologias de drive específicas, projetados para combater isso. Esses padrões ficaram conhecidos como o método de Gutmann. A crença de Gutmann na possibilidade de recuperação de dados baseia-se em muitas suposições questionáveis e erros factuais que indicam um baixo nível de compreensão de como os discos rígidos funcionam.

Daniel Feenberg, um economista do National Bureau of Economic Research privado, afirma que as chances de dados sobrescritos serem recuperados de um disco rígido moderno equivalem a "lenda urbana". Ele também aponta para a "lacuna de 18 minutos e meio" que Rose Mary Woods criou em uma fita de Richard Nixon discutindo a . As informações apagadas na lacuna não foram recuperadas, e Feenberg afirma que fazer isso seria uma tarefa fácil em comparação com a recuperação de um sinal digital moderno de alta densidade.

Em novembro de 2007, o Departamento de Defesa dos Estados Unidos considerava a sobrescrita aceitável para limpar mídias magnéticas dentro da mesma área/zona de segurança, mas não como um método de higienização. Apenas a desmagnetização ou a destruição física são aceitáveis para o último.

Por outro lado, de acordo com a Publicação Especial 800-88 Rev. 1 do NIST de 2014 (p. 7): "Para dispositivos de armazenamento contendo mídia magnética, uma única passagem de sobrescrita com um padrão fixo, como zeros binários, tipicamente dificulta a recuperação de dados, mesmo se técnicas laboratoriais de ponta forem aplicadas para tentar recuperar os dados." Uma análise por Wright et al. de técnicas de recuperação, incluindo microscopia de força magnética, também conclui que uma única limpeza é tudo o que é necessário para drives modernos. Eles apontam que o longo tempo necessário para múltiplas limpezas "criou uma situação onde muitas organizações ignoram a questão [completamente] – resultando em vazamentos de dados e perdas."

Desmagnetização A é a remoção ou redução de um campo magnético de um disco ou drive, usando um dispositivo chamado desmagnetizador que foi projetado para a mídia que está sendo apagada. Aplicada a mídias magnéticas, a desmagnetização pode expurgar um elemento de mídia inteiro de forma rápida e eficaz.

A desmagnetização frequentemente torna os discos rígidos inoperantes, pois apaga a formatação de baixo nível que é feita apenas na fábrica durante a manufatura. Em alguns casos, é possível retornar o drive a um estado funcional fazendo a manutenção no fabricante. No entanto, alguns desmagnetizadores modernos usam um pulso magnético tão forte que o motor que gira os pratos pode ser destruído no processo de desmagnetização, e a manutenção pode não ser custo-efetiva. Fitas de computador desmagnetizadas, como a DLT, geralmente podem ser reformatadas e reutilizadas com hardware de consumo padrão.

Em alguns ambientes de alta segurança, pode ser exigido o uso de um desmagnetizador que tenha sido aprovado para a tarefa. Por exemplo, nas jurisdições governamentais e militares dos EUA, pode ser exigido o uso de um desmagnetizador da "Lista de Produtos Avaliados" da NSA.

Criptografia