Мифы и легенды высоких технологий

(Январь 2009)

В мире компьютерной криминалистики довольно часто приходится слышать весьма спорные и сильно различающиеся мнения о необходимом или желательном количестве проходов программы, удаляющей с магнитного жесткого диска информацию. Обычно специальную процедуру, сводящуюся к перезаписи поверх прежней информации случайных последовательностей из нулей и единиц, именуют зачисткой (wiping) или надежным стиранием диска.

С одной стороны, рядом экспертов и даже весьма солидными организациями вроде NIST, американского Института стандартов и технологий, утверждается, что единственного прохода операцией Wipe оказывается достаточно для того, чтобы данные на диске были уничтожены без возможности восстановления.

С другой стороны, многократного применения зачистки требуют давно написанные инструкции министерства обороны США и аналогичных ведомств других стран, а наиболее озабоченные безопасностью специалисты настаивают на десяти или даже 35 проходах (так называемая «схема Гутмана»), поскольку де известны случаи успешного восстановления данных после одного-двух применений вайпинга.

Самым главным, вероятно, камнем преткновения в этих давно идущих спорах является тот неоспоримый факт, что позиционирование головки считывания-записи при каждом новом проходе не является абсолютно точным воспроизведением предыдущих позиций. Иначе говоря, новые данные, записываемые на диск, могут расположиться не в точности на тех же местах, где были расположены первоначальные биты.

А это означает, что в принципе, получив с помощью высокоточной аппаратуры сканирования картину распределения магнитных полей на диске, можно автоматизировать анализ и отделение прежних данных от новых.

Однако то, что справедливо к устройству накопителей на жестких магнитных дисках вообще, далеко не обязательно справедливо в конкретных условиях современной реальной техники. Именно это, собственно, и демонстрирует активно обсуждаемая ныне в Сети статья Крейга Райта (Craig Wright), эксперта по компьютерной криминалистике, который весьма решительно заявляет, что положил конец легенде о недостаточности единственного прохода вайпингом.

Крейг и его коллеги провели специальное научно-техническое исследование, чтобы тщательно изучить жесткие диски от разных изготовителей и разных периодов выпуска. В частности, эксперты перезаписывали хранимую этими накопителями информацию в контролируемых условиях, а затем изучали магнитные поверхности с помощью аппаратуры MFM, т.е. магнитно-силовой микроскопии, позволяющей получать изображения картины магнитного поля с максимально доступным разрешением. Технология анализа на основе MFM считается наиболее мощным на сегодняшний день инструментом для восстановления утраченных данных с магнитных носителей.

Результаты своих исследований эта группа докладывала на недавней конференции ICISS 2008, т.е. Международной конференции по безопасности информационных систем [Craig Wright, Dave Kleiman, Shyaam Sundhar R. S.: Overwriting Hard Drive Data: The Great Wiping Controversy. In Proceedings of the ICISS 2008, LNCS v. 5352, pp. 243-257, Springer, December 2008.], а в январе этого (2009) года сокращенное изложение той же работы выложено в свободный интернет-доступ по адресу https://security.web.cern.ch/security/rules/images/overwriting-hard-drive-data.pdf.

Среди главных выводов авторов констатируется, что уже после единственной перезаписи данных на диске, в независимости от того, идет ли речь о старом 1-гигабайтном носителе или современной модели куда большей емкости, вероятность успешного восстановления хоть какой-то содержательной информации практически равна нулю.

Строго говоря, вероятность эта, конечно, продолжает оставаться ненулевой. При разборе типичного реального примера показано, что один конкретный бит, местоположение которого аналитику известно, может быть правильно восстановлен с вероятностью 56%. Однако для того, чтобы восстановить целиком байт, т.е. цепочку подряд идущих битов, предельно точное воспроизведение позиции головки должно быть повторено восемь раз, а вероятность такой удачи составляет всего лишь 0,97 процента. Если же говорить о восстановлении информации длиной свыше одного байта, то здесь шансы на успех выглядят совсем безнадежными.

Тем не менее, напоминают авторы исследования, разработчики программ зачистки предлагают перезапись диска процедурой Wipe до 35 раз. Хотя для человека, занимающегося столь тщательной ликвидацией данных, подобная программа может давать чувство глубокого психологического удовлетворения от хорошо и качественно проделанной работы, по сути дела, все это оказывается не более, чем бессмысленной тратой времени и электроэнергии…

Во всякой науке, включая и компьютерную, очень редко бывает так, чтобы новая точка зрения, существенно отличающаяся от традиционной и общепринятой, тут же была бы принята полностью и безоговорочно. Не стал исключением и этот случай.

Известный новозеландский криптограф Питер Гутман, на которого чаще всего ссылаются создатели программ гарантированной зачистки («стирание в 35 проходов по методу Гутмана»), уже сделал несколько весьма едких критических замечаний по поводу исследований команды Райта – см. новые послесловия к его хрестоматийной статье 1996 года, посвященной безопасному уничтожению данных [https://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html].
Тем не менее, если сосредоточиться на сути гутмановского комментария, то он сводится к таким примерно словам:

«[С точки зрения восстановления перезаписанных данных] Любой современный жесткий диск наиболее вероятно окажется безнадежной задачей, что же касается сверхвысоких плотностей и применения перпендикулярной записи, то я вообще не вижу, каким образом MFM можно было бы здесь использовать для получения образов, реально пригодных для работы по восстановлению первоначальных данных».

Иначе говоря, методологически Гутману явно не понравилось то, что сделано и как сделано в исследовании Крейга и компании, однако он вполне согласен с итоговыми выводами их работы.

# # #

Дополнительное чтение в тему:

Иногда они возвращаются, https://kiwibyrd.org/2013/12/05/207/

Наука полного уничтожения, https://kiwibyrd.org/2013/08/08/0607/

Закон Мерфи для хранения данных, https://kiwibyrd.org/2015/04/08/1133/