Методы уничтожения информации, хранимой на жестких магнитных дисках

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Методы уничтожения информации, хранимой на жестких магнитных дисках

С.Р. Коженевский

Рассмотрен специфический канал утечки информации, хранимой на жестких магнитных дисках. Выполнены исследования и анализ существующих методов предотвращения утечки информации и предложен метод гарантированного уничтожения информации, хранимой на жестких магнитных дисках, на этапах ремонтно-восстановительной утилизации.

Ключевые слова: накопители на жестких магнитных дисках, специ-фический канал утечки информации, конфиденциальная информация, уничтожение информации, файловые системы, остаточные следы зон намагничивания, методы уничтожения информации, программный способ, аппаратный способ. информация утилизация магнитный диск

В информационных системах, базовым элементом которых является компью-тер, основные объемы информации хранятся на различных по физическим свойст-вам носителях информации. Одним из основных узлов компьютеров и являются накопители на жестких магнитных дисках (НЖМД).

Именно на НЖМД хранится и с него загружается в оперативную память ком-пьютера его операционная система (ОС), обрабатываемая в процессе использова-ния информация, а также используемая и удаляемая информация.

Широкому применению НЖМД способствует ряд положительных эксплуа-тационных качеств: надежность, быстрота доступа и дешевизна в расчете на еди-ницу хранения информации. Кроме того, один из самых важных показателей -- энергонезависимость -- делает НЖМД практически незаменимым для опера-тивного и долговременного хранения больших массивов информации.

В тоже время размещение и хранение в устройствах долговременной энерго-независимой памяти информации с ограниченным доступом создает предпосылки несанкционированного доступа к ней.

Электронный документооборот, так называемая «безбумажная технология», в сфере государственного управления, сосредоточение конфиденциальной инфор-мации в базах данных различных правительственных и коммерческих структур представляют собой реальную ценность, а их утечка в ряде случаев способна нанести существенный ущерб интересам собственника информации.

Ущерб от компьютерных преступлений уже ежегодно составляет около: 5 млрд. долларов в США; 1 млрд. франков во Франции; 4 млрд. марок в Германии; 20 млрд. рублей в России.

Специфический канал утечки информации, хранящейся на НЖМД

Одним из каналов утечки информации, позволяющим несанкционированно и практически законно снимать информацию, хранящуюся на НЖМД, является ус-тановившаяся практика эксплуатации НЖМД, с гарантийным или постгарантий-ным их обслуживанием.

Отсутствие собственного украинского производства НЖМД, знаний о внут-реннем функционировании, оборудования для ремонта и обслуживания НЖМД непосредственно на месте их эксплуатации приводят к необходимости замены вышедшего из строя НЖМД на новый в гарантийный или постгарантийный пе-риод. При этом вся информация в доступном или недоступном для операционной системы виде остается на подлежащем замене НЖМД.

Кроме того, в компьютерах импортного производства, закупаемых по госза-казу, может быть применен принцип имитации выхода из строя компьютеров по вине НЖМД после определенного периода функционирования и накопления на нем важной информации. Так как договор гарантии распространяется на всю партию компьютерной техники и предусматривает замену НЖМД на безоплатной основе, при сохранности пломб и соблюдении правил эксплуатации, то сервис-ному центру или организации, обеспечивающей поставку компьютерной техники (как правило, зарубежной) добровольно передается информация, хранящаяся на НЖМД.

То же самое относится и к отечественным поставщикам компьютерной тех-ники, которые закупают комплектующие у ведущих зарубежных производителей через их дистрибьютеров. В этом случае, при выходе из строя НЖМД у поль-зователя, эти дистрибьютеры производят замену НЖМД, а неисправный нако-питель отправляют зарубежному производителю. Можно только представить мас-штабы и объемы утечки информации.

Чаще всего выход НЖМД из строя для пользователя является неожиданным и происходит в самый неподходящий момент. Поэтому, пользователю не предо-ставляется возможным уничтожить конфиденциальную информацию.

В другой ситуации (при обычной работе на компьютере) пользователь, когда приходит время удалять ненужную информацию, применяет стандартную для операционной системы операцию стирания (удаления). При этом выделяется файл и выполняется команда «DELETE». Стандартные средства визуализации инфор-мируют об удалении файла, и у пользователя создается иллюзия, что он унич-тожен.

Однако, опытному специалисту известно, что это только кажущееся уничто-жение информации. На самом деле информация не исчезла, пропали только ссыл-ки на нее в каталоге и в таблице размещения файлов. Сама же информация по-прежнему находится на НЖМД и может быть восстановлена.

Когда стираемая информация несущественна, пользователя мало интересует возможность ее восстановления посторонними лицами. Другое дело, когда инфор-мация носит конфиденциальный характер. В этом случае у пользователя должна быть полная уверенность в надежности ее уничтожения.

Кажущаяся, на первый взгляд несложной, задача уничтожения информации, хранящейся на НЖМД, перерастает в серьезную проблему обеспечения гаранти-рованной утилизации информационных отходов.

Методы уничтожения информации, хранимой на НЖМД

Одним из аспектов общей проблемы защиты от несанкционированного досту-па к конфиденциальной информации, хранящейся на накопителях с жесткими магнитными дисками, является проблема надежного уничтожения (стирания) ин-формации, как в процессе постоянной эксплуатации накопителя, так и в случаях вывода накопителя из эксплуатации по различным причинам. Ввиду обширности данной проблемы рассмотрим только некоторые возможные способы уничтоже-ния информации при выводе накопителя из эксплуатации.

Все возможные способы уничтожения информации, хранящейся на НЖМД, можно разбить на две большие группы:

с безвозвратной потерей работоспособности накопителя;

с сохранением работоспособности накопителя.

Сущность способов первой группы заключается в таком воздействии на рабочие слои дисков, в результате которого разрушается физическая, химическая либо магнитная структура рабочего слоя. К таким способам можно отнести: меха-ническое разрушение дисков (прессование, механическое эрозирование поверх-ности (пескоструй), ультразвуковое и электрохимическое эрозирование), химичес-кое травление в агрессивных средах и обжиг или переплавку дисков. Съем дан-ных с магнитных дисков, подвергшимся таким воздействиям становится невоз-можным ни практически, ни теоретически.

К этой же группе можно отнести и воздействие на диски мощным постоян-ным или переменным магнитным полем, при котором разрушается магнитная структура рабочих поверхностей, в том числе служебная информация низкоуров-него форматирования и сервометок. Хотя в этом случае и существует теорети-ческая возможность восстановления работоспособности накопителя, связанная с повторной записью сервометок и последующим низкоуровневым форматирова-нием, но практическая реализация такой возможности (даже при успешном реше-нии организационных вопросов с заводом изготовителем) сомнительна с эконо-мической точки зрения. Следует отметить, что этот способ не исключает теоре-тической возможности съема информации с дисков по остаточным следам зон намагниченности путем использования особо чувствительных специальных голо-вок чтения (например, с криогенным охлаждением или магнито-оптических мето-дов) и использованием статистических методов обработки сигналов с накопле-нием.

Безусловно, конечный потребитель заинтересован в дальнейшей эксплуата-ции своего НЖМД, поэтому подобное решение проблемы можно рекомендовать только в экстренных случаях.

Ко второй группе способов (с сохранением работоспособности накопителя) можно отнести традиционные способы уничтожения информации путем многок-ратной записи на ее место случайных (шумоподобных) последовательностей, в ре-зультате которой разрушается магнитная структура только тех участков дорожек, на которых хранились данные, а структура всех служебных областей полностью сохраняется. При таком способе уничтожения данных, возможность съема инфор-мации является такой же теоретической, как и при воздействии мощного электро-магнитного поля, но работоспособность накопителя полностью сохраняется.

Проблемы программного удаления данных

Остановимся подробнее на проблеме удаления данных при помощи традиционных программных средств.

Традиционные способы удаления данных с жесткого диска компьютера, на-пример, удаление файлов или переформатирование, не гарантируют полного уни-чтожения данных, а оставляют их в форме, из которой они могут быть относи-тельно легко восстановлены. Дело в том, что при удалении файлов они бесследно не исчезают. Операционные системы не предоставляют пользователю средства гарантированного уничтожения информации. В большинстве ОС файлам сопо-ставляются указатели на содержащиеся в них данные. При удалении файла фак-тически стирается только указатель. А сами данные по-прежнему остаются на же-стком диске.

Современные ОС -- по крайней мере, широко распространенные системы -- во многом похожи друг на друга. Прежде всего это определяется требованием переносимости программного обеспечения. Именно для обеспечения этой пере-носимости был принят POSIX (Portable OS Interface based on uniX) -- стандарт, определяющий минимальные функции по управлению файлами, межпроцессному взаимодействию и т.д., которые должна уметь выполнять система.

Кроме того, за четыре с лишним десятилетия, прошедших с момента раз-работки первых ОС, сообщество программистов достигло определенного пони-мания того, что:

при разработке ОС возникает много стандартных проблем и вопросов;

для большинства из этих проблем и вопросов существует набор стандарт-ных решений;

некоторые из этих решений намного лучше, чем все альтернативные.

Файловая система (ФС) является важной частью любой операционной сис-темы, которая отвечает за организацию хранения и доступа к информации на каких-либо носителях. Рассмотрим в качестве примера файловую систему FAT16 для наиболее распространенных в наше время носителей информации -- магнит-ных дисков. Как известно, информация на жестком диске хранится в секторах (обычно 512 байт) и само устройство может выполнять лишь команды считать/ записать информацию в определенный сектор на диске. В отличие от этого файловая система позволяет пользователю оперировать с более удобным для него понятием -- файл. Файловая система берет на себя организацию взаимодействия программ с файлами, расположенными на дисках. Для идентификации файлов ис-пользуются имена.

Под каталогом в ФС понимается, с одной стороны, группа файлов, объединенных пользователем, исходя из некоторых соображений, с другой стороны, каталог -- это файл, содержащий системную информацию о группе составляющих его файлов. Файловые системы обычно имеют иерархическую структуру, в кото-рой уровни создаются за счет каталогов, содержащих информацию о файлах и каталогах более низкого уровня.

Рассмотрим более подробно структуру жесткого диска. Базовой единицей жесткого диска является раздел, создаваемый во время разметки жесткого диска. Каждый раздел содержит один том, обслуживаемый какой-либо файловой системой и имеющий таблицу оглавления файлов -- корневой каталог. Жесткий диск может содержать до четырех основных разделов. Это ограничение связано с характером организации данных на жестких дисках IBM-совместимых компьютеров. Многие операционные системы позволяют создавать, так называемый, рас-ширенный (extended) раздел, который по аналогии с разделами может разбиваться на несколько логических дисков.

В первом физическом секторе жесткого диска располагается головная запись загрузки и таблица разделов (см. табл. 1). Головная запись загрузки (master boot record, MBR) -- первая часть данных на жестком диске. Она зарезервирована для программы начальной загрузки BIOS (ROM Bootstrap routine), которая при загрузке с жесткого диска считывает и загружает в память первый физический сектор на активном разделе диска, называемый загрузочным сектором (Boot Sector). Каждая запись в таблице разделов (partition table) содержит начальную позицию и размер раздела на жестком диске, а также информацию о том, первый сектор какого раздела содержит загрузочный сектор.

Таблица 1. Таблица деления диска.

Можно ли уничтожить информацию путем уничтожения содержимого перво-го сектора? Конечно нет. В этом секторе нет данных пользователя. Будет унич-тожена информация о количестве разделов, их емкости и местонахождении на диске, для ОС жесткий диск будет не виден как логическое устройство и не более того. С помощью специальных программ автоматически или вручную можно га-рантировано восстановить всю информацию на диске.

Различие между файловыми системами заключается, в основном, в способах распределения пространства между файлами на диске и организации на диске служебных областей.

Файловая система FAT (File Allocation Table) была разработана Биллом Гейт-сом и Марком МакДональдом в 1977 году и первоначально использовалась в опе-рационной системе 86-DOS. Чтобы добиться переносимости программ из опера-ционной системы CP/M в 86-DOS, в ней были сохранены ранее принятые ограни-чения на имена файлов. В дальнейшем 86-DOS была приобретена Microsoft и ста-ла основой для ОС MS-DOS 1.0, выпущенной в августе 1981 года. FAT была пред-назначена для работы с гибкими дисками размером менее 1 Мбайта, и вначале не предусматривала поддержки жестких дисков. Структура раздела FAT изображена на рисунке.

Структура раздела FAT.

В блоке параметров BIOS содержится необходимая BIOS информация о физических характеристиках жесткого диска. Файловая система FAT не может контролировать отдельно каждый сектор, поэтому она объединяет смежные сектора в ???????? (clusters). Таким образом уменьшается общее количество единиц хранения, за которыми должна следить файловая система. Размер кластера в FAT является степенью двойки и определяется размером тома при форматировании диска. Кластер представляет собой минимальное пространство, которое может занимать файл.

Уничтожение загрузочного сектора не является серьезным препятствием для восстановления данных, так как конкретные значения блока параметров BIOS (размер кластера, число кластеров в томе, число элементов FAT и т.п.) может быть получено расчетным путем.

Свое название FAT получила от одноименной таблицы размещения файлов, в которой хранится информация о кластерах логического диска. Каждому кластеру в FAT соответствует отдельная запись, показывающая, свободен ли он, занят ли данными файла, или помечен как сбойный (испорченный). Если кластер занят под файл, то в соответствующей записи в таблице размещения файлов указывается адрес кластера, содержащего следующую часть файла. Из-за этого FAT называют файловой системой со связанными списками.

Файловая система FAT всегда заполняет свободное место на диске последо-вательно от начала к концу. При создании нового файла или увеличении уже су-ществующего она ищет самый первый свободный кластер в таблице размещения файлов. Если в процессе работы одни файлы были удалены, а другие изменились в размере, то появляющиеся в результате пустые кластеры будут рассеяны по дис-ку. Если кластеры, содержащие данные файла, расположены не подряд, то файл оказывается фрагментированным.

Уничтожение таблиц FAT (например, при форматировании диска) значитель-но усложняет задачу восстановления данных, так как именно они являются жиз-ненно важными схемами расположения файлов. Вся область файлов становится морем информации без каких-либо указателей. Автоматическое восстановление данных с помощью утилит не гарантирует полного восстановления и чем больше степень фрагментации файлов, тем меньше вероятность восстановления. Полное восстановление возможно в «полуавтоматическом» режиме специалистами по восстановлению информации, но это требует значительных, но вполне приемле-мых временных затрат.

За таблицами размещения файлов размещен корневой каталог. Каждому фай-лу и подкаталогу в корневом каталоге соответствует 32-байтный элемент каталога (directory entry), содержащий имя файла, его атрибуты (архивный, скрытый, сис-темный и «только для чтения»), дату и время создания (или внесения в него пос-ледних изменений), а также прочую информацию (см. табл. 2).

Таблица 2. Элемент каталога.

При удалении файлов содержание элемента каталога меняется незначительно, в имени файла первый символ заменяется символом, соответствующим шестнад-цатеричному значению Е5, и может быть легко восстановлен. Однако при форма-тировании диска элементы каталогов в корневом каталоге полностью уничто-жаются (прописываются нулями), при этом теряются данные об имени файла, его размере и номере начального кластера с данными. В этом случае можно восстано-вить все файлы на диске за исключением тех, имена которых находились в корне-вом каталоге.

Последний элемент структуры раздела FAT -- область файлов. В этой об-ласти при переформатировании диска и удалении файлов содержимое последних не изменяется. Чтобы уничтожить эти данные, необходимо поверх старых файлов записать новые данные. На то, чтобы в файловой системе этот процесс произошел «естественным путем», могут уйти недели и даже месяцы. Поэтому следует ис-пользовать специальные программы, которые удаляют не только заголовок файла, но и стирают все данные в использованных секторах. Информацию, стертую та-ким образом, восстановить обычными средствами уже невозможно.

Однако, природа записи на магнитные носители такова, что жесткий диск хранит следы ранее записанных файлов, даже, если поверх них записана новая информация. На основании этих следов содержание удаленных и затертых файлов может быть восстановлено с применением специальных средств.

Алгоритмы гарантированного уничтожения информации основываются на многократном перезаписывании новых данных поверх ранее хранившейся на раз-деле (диске) информации. При этом учитываются особенности технологии записи данных на современные жесткие диски. После обработки диска с помощью наи-более мощных алгоритмов уничтожения восстановление информации невозможно никакими современными средствами.

Способы гарантированного уничтожения информации путем перезаписи

Алгоритмы гарантированного уничтожения информации можно реализовать двумя путями.

Программный способ. Заключается в использовании специальных утилит для ПК, обеспечивающих прямой доступ к секторам накопителя на физическом уровне для записи шумоподобных кодов в обход стандартных функций операци-онных систем, которые обеспечивают доступ к файлам и папкам.

Из широко распространенных программных средств хорошо себя зарекомен-довали утилита WipeInfo из пакета Нортоновских утилит, DataEraser фирмы Ont-rack, Acronis Proof Eraser, Sanitizer фирмы Stratfor Systems и многие другие.

При реализации данного способа должны быть решены организационные и технические вопросы, связанные с возможностью несанкционированного созда-ния резервных копий в процессе уничтожения данных.

Аппаратный способ. Предусматривает использование автономных устрой-ств, не входящих в состав ПК и обеспечивающих прямую запись шумоподобных последовательностей во все секторы накопителя. Такой способ уничтожения кон-фиденциальной информации обеспечивает прибор «ЕПОС Тестер HDD», разрабо-танный и выпускаемый ООО «ЕПОС». Возможность несанкционированного соз-дания резервных копий в процессе уничтожения данных исключается самой конс-трукцией прибора.

«ЕПОС Тестер HDD» представляет собой автономный прибор с габаритами 140 190 60 мм, весом около 300 г., подключаемый к любому стандартному ис-точнику питания ПК. Прибор обеспечивает полное уничтожение данных пользо-вателя на физическом уровне путем записи определенных последовательностей, а также работу со всеми типами и моделями накопителей с интерфейсом IDE. Скорость уничтожения данных составляет 330 … 350 Мб/мин в зависимости от типа накопителя. После уничтожения данных накопитель полностью сохраняет свою работоспособность.

Прибор имеет встроенную систему самодиагностики, а также защиту от слу-чайных сбоев, пропадания питания, обеспечивающую надежное и успешное за-вершение начатых операций уничтожения данных.

В состав тестера входит:

базовый микропроцессорный модуль на основе 16-разрядного микроконт-роллера фирмы Intel типа 80C196NU с тактовой частотой 40 Мгц;

двухканальный адаптер IDE интерфейса;

дисплей на основе символьного ЖК индикатора;

пленочная клавиатура (матрица 3 4).

Каждый факт использования прибора автоматически регистрируется в энер-гонезависимой памяти прибора с указанием типов моделей и серийных номеров использованных накопителей и результатов завершения операций.

EPOS Tester HDD является многофункциональным устройством и может также выполнять следующие операции:

проверку технического состояния накопителей;

создание копий (образов) данных накопителей на физическом уровне (без-относительно установленной версии операционной системы), в том числе и при наличии на исходном накопителе (источнике информации) секторов с повреж-денными данными со скоростью 240 … 260 Мб/мин.

Копия создается только в одном экземпляре на накопителе приемнике, воз-можность какого-либо другого доступа к копируемым данным исключается. В процессе уничтожения данных также исключается возможность доступа к данным или их несанкционированного копирования.

В процессе копирования постоянно осуществляется контроль состояния по-верхностей источника и приемника. При обнаружении поврежденного сектора ис-точника в соответствующий сектор приемника записываются прочитанные дан-ные, фиксируется наличие и число поврежденных секторов источника и копиро-вание продолжается. При обнаружении поврежденных секторов на приемнике дальнейшее копирование прекращается с выдачей соответствующего сообщения.

В настоящее время разрабатывается новая версия конструкции прибора «ЕПОС Тестер HDD», которая будет также обеспечивать возможность работы с накопителями на магнито-оптических дисках.

Размещено на Allbest.ru