[HaBo]

speedo

Ich habe mich schon vor langer Zeit mit dem FAT-Dateisystem auseinander gesetzt und weiß dadurch in etwa, wie ein Dateisystem ganz allgemein funktioniert. Jetzt würde ich gern in ein Programm eine Funktion implementieren, die Dateien sicher aus dem Dateisystem entfernt.

Meine Idee war folgende:
-> Die Funktion überschreibt jedes Byte der Datei mit NUL [(unsigned char)0]
-> Die Funktion ruft den Systemcall zum löschen Der Datei auf.

Dass das bei FAT funktioniert, sollte klar sein. Ich würde aber nun gerne Wissen, ob ich bei Systemen mit anderen Dateisystemen genauso damit hinkomme. Da mein Hauptaugenmerk auf Windows gerichtet ist, gibt es da wohl nur NTFS.

Dass man mit speziellen Verfahren dann trotzdem noch an die Daten kommt, ist mir nicht neu aber mir genügt es, wenn ich die Daten für User mit normalen Mitteln löschen kann.

lg, Speedo

Elderan

Hallo,
solange du sicher stellst, dass wirklich der selbe Speicherbereich auf der Festplatte überschrieben wird, ist das unabhänig vom Filesystem.

Nur musst du aufpassen, viele Dateisysteme puffern das schreiben, so dass evt. nicht geschrieben wird wenn du danach die Datei direkt löscht.
Ebenso könnten sensible Daten in den Nodes für das Filesystem stehen.

Alles punkte die man entsprechend beachten muss.

speedo

Was verstehst du unter Nodes? - Der Begriff ist mir neu.

Um zu vermeiden, dass er das Gepufferte nach dem Löschen nichtmehr überträgt, könnte ich ja veranlassen, dass das System die Datei erst nach einem Systemneustart löscht. So bekommt es die Zeit, die Daten in das Dateisystem zu übertragen (vor einem Herunterfahren ist ja dafür die letzte gelegenheit) und dann nach dem neustart die Datei automatisch entfernt wird (Bei einem System wie Windows gehört Rebooten sowieso zum "guten Ton" - Außerdem sollte absolute Sicherheit dem User ein Neustart wert sein)

lg, speedo

Elderan

Hallo,
wenn mich nicht alles täuscht, ist es bei NTFS so, dass teilweise kleine Dateien mit ins Dateiverzeichnis (Tabelle wo alle Speicheradresse drin stehen) gespeichert werden.

Wie gesagt, für andere Filesysteme sollte man sich schon näher mit diesen auseinander setzen wo nun was abgespeichert wird.

beavisbee

kann ich bestätigen.
In NTFS werden die Dateien eigentlich in einem so genannten B-Tree gespeichert;
da die Einsortierung in einen solchen jedoch zu Zeitintensiv ist, gibt es für jedes Verzeichnis eine Mini-FAT mit genau 9 Einträgen...

dies hatte sich z.B. damals die zweite Version des NTFS-schreibens unter Linux zu Nutze gemacht - FAT konnten sie, also konnten sie in jedes Verzeichnis einer NTFS-Partition bis zu 9 Dateien speichern und dann musste Windows mal wieder gestartet werden, damit die Einträge in den b-tree einsortiert werden....

speedo

ich glaube, ich muss mich erstmal etwas genauer mit dem ntfs auseinandersetzen. danke aber trotzdem mal

Chef32

Also wenn du die "Gutmann Methode" anwendest, ist die wahrscheinlichkeit, dass man Daten wiederherstellen kann, sehr gering. Die Daten werden 35 mal überschrieben, nahc dem heutigen Stand der Wissenschaft das sicherste, das es gibt! Bei "Safe Erase 3" von O&O kannst du das auswählen. Hast dfu vorher schon Daten gelöscht, musst du auch den freien Speicher löschen, auch das geht mit dem tool.

Schurke

Wäre es nicht am einfachsten die Partition auf der er mit den Daten arbeitet einfach mit so etwas wie Truecrypt zu verschlüsseln? Die Pufferung bliebe zwar erhalten, wenn er löscht sind die Daten jedoch auch noch nach dem Freigeben des Speicherbereichs verschlüsselt ( Denke ich )

( Ist ja fast schon Offtopic ^^ )

sieben

Das mit diesem 35x die Platte abnutzen ist Geheimdienst-Paranoia unter dem "Aber wenn die in 150 Jahren mit Alientechnologie in unsere Kuppelstaedte kommen!!!1"-Gesichtspunkt. Das gilt schon so seit 2001-2002 als überholt und unnötig, schon weil die Datendichte stark gestiegen ist. Um die üblichen Verdächtigen abzuschrecken reicht auch 1x NULL und um ein paar Geheimdienste zum Schwitzen zu bringen noch 1x Zufall... ich frag mich immer was ihr für Daten habt das Typen in verrauchten Konferenzräumen Millionen von Euros aufwenden um da dran zu kommen (und dann trotzdem noch daran scheitern (Physik und so)).

Btw, wenn du es mit einem Journaling-Dateisystem zu hast (wie auch NTFS eines ist) kannst du das mit dem "ich ratter mal ein paar Bits tot" in vielen Fällen sowieso vergessen. Ich empfehle da in akuten Fällen den Vorschlaghammer und halt das ganze Dateisystem töten. Ein weiteres Problem ist die moderne Logik von Festplatten mit derer sie eigenständig Sektoren als Kaputt markieren. Also wenn es ernst ist: Vorschlaghammer und sonst nix.

__________________
Diese Zeile ist reserviert für Clark Kent.

Redfox

Richtig, Peter Gutmann hat sellbst geschrieben:

http://www.cs.auckland.ac.nz/~pgut00...ecure_del.html

(den Text in Fettschrift auswändig lernen, das wird später abgefragt! ;-) )

Jep, das ist in meinen Augen auch ein weiterer guter grund für Platten-Verschlüsselung.

Unter Linux könnte man ext2 benutzen, Jounaling ist für den Standartuser sowiso nicht so wichtig.

farhaven

Wie soll man das verstehen? Ich bin mir sicher, dass das ext3-Journal mir schon öfter meine Daten gerettet hat, z.B. wenn X sich dazu entschliesst, nichtmehr auf Benutzereingaben zu reagieren und MagicSysrq im Kernel deaktiviert ist. Ausserdem erleichtert ein Journal bei einem Desktop-Rechner im Falle eines Stromausfalles den nächsten Start enorm.

Chef32

Zunächst mal habe ich nicht gesgat, dass ich das Programm brauche bzw. meine DAten so lösche. Und also das es sicher ist, ein Mal die Daten mit Null Werten zu überschreiben, glaubst du selber nicht ,oder? Teste es doch einfach, da kannst du mit billigsten Tools (die obendrein kostenlos sind), die Daten wiederherstellen, ganz zu schweigen von forensischen Tools...

@Schurke

Schon mal was von "RAM Dumping" gehört? Oder von dem Tool "TrueCrypt Brute"? Wenn da Passwort nicht viele Stellen oder Zeichen hat, ist es kein Problem.

Und das ein Geheimdienst seine Daten nicht mit der Gutmann Methode überschreibt, sondern die Platte einschmelzt, das ist klar.

Elderan

Hallo,
zu dem Thema heute gelesen: Sicheres Löschen: Einmal überschreiben genügt

Wie bereits oft erwähnt: Mehr als einmal seine Daten zu überschreiben macht überhaupt keinen Sinn.

SilentBoB

Aber Sie schreiben ja, dass mit dem Wissen wo bestimmte Bits liegen, sie auch rekonstruirbar sind. Ganz sicher zu gehen sollte man dann vielleicht 2 oder 3 Mal, aber 35 nach Gutmann wäre laut dem Paper natürlich absolut unsinnig

Chef32

Das genügt leider NICHT! Und es gibt auch "Cluster Tips", d.h., man muss den freien Speicher löschen. Und wenn man auf die Platte eine Datei schreibt, die iene bestimmt Größe hat, sind die einzelnen Sektoren belegt. Wenn das z.B. 1 MB wäre, die Datei gelöscht wurde und dann wieder beschreiben werden würde, allerdinsg nur mit 500 KB, dann wären nur die ersetn 500 KB des Sektors überschrieben, der Rest ist "geblockt". Man muss also soweiso in jedem Fall den freien Speicher löschen. Und schau mal, was du bei Google unter "Kassettenphänomen" findest...dann überlege mal, ob einmal Überschreiben reicht.

@SilentBob

Du scheinst es verstanden zu haben