Sicheres Löschen von Dateien?

[speedo]

Ich habe mich schon vor langer Zeit mit dem FAT-Dateisystem auseinander gesetzt und weiß dadurch in etwa, wie ein Dateisystem ganz allgemein funktioniert. Jetzt würde ich gern in ein Programm eine Funktion implementieren, die Dateien sicher aus dem Dateisystem entfernt.

Meine Idee war folgende:
-> Die Funktion überschreibt jedes Byte der Datei mit NUL [(unsigned char)0]
-> Die Funktion ruft den Systemcall zum löschen Der Datei auf.

Dass das bei FAT funktioniert, sollte klar sein. Ich würde aber nun gerne Wissen, ob ich bei Systemen mit anderen Dateisystemen genauso damit hinkomme. Da mein Hauptaugenmerk auf Windows gerichtet ist, gibt es da wohl nur NTFS.

Dass man mit speziellen Verfahren dann trotzdem noch an die Daten kommt, ist mir nicht neu aber mir genügt es, wenn ich die Daten für User mit normalen Mitteln löschen kann.

lg, Speedo

 

[Elderan]

Hallo,
solange du sicher stellst, dass wirklich der selbe Speicherbereich auf der Festplatte überschrieben wird, ist das unabhänig vom Filesystem.

Nur musst du aufpassen, viele Dateisysteme puffern das schreiben, so dass evt. nicht geschrieben wird wenn du danach die Datei direkt löscht.
Ebenso könnten sensible Daten in den Nodes für das Filesystem stehen.

Alles punkte die man entsprechend beachten muss.

 

[speedo]

Was verstehst du unter Nodes? - Der Begriff ist mir neu.

Um zu vermeiden, dass er das Gepufferte nach dem Löschen nichtmehr überträgt, könnte ich ja veranlassen, dass das System die Datei erst nach einem Systemneustart löscht. So bekommt es die Zeit, die Daten in das Dateisystem zu übertragen (vor einem Herunterfahren ist ja dafür die letzte gelegenheit) und dann nach dem neustart die Datei automatisch entfernt wird (Bei einem System wie Windows gehört Rebooten sowieso zum "guten Ton" - Außerdem sollte absolute Sicherheit dem User ein Neustart wert sein)

lg, speedo

 

[Elderan]

Hallo,
wenn mich nicht alles täuscht, ist es bei NTFS so, dass teilweise kleine Dateien mit ins Dateiverzeichnis (Tabelle wo alle Speicheradresse drin stehen) gespeichert werden.

Wie gesagt, für andere Filesysteme sollte man sich schon näher mit diesen auseinander setzen wo nun was abgespeichert wird.

 

[beavisbee]

Original von Elderan
Hallo,
wenn mich nicht alles täuscht, ist es bei NTFS so, dass teilweise kleine Dateien mit ins Dateiverzeichnis (Tabelle wo alle Speicheradresse drin stehen) gespeichert werden.

kann ich bestätigen.
In NTFS werden die Dateien eigentlich in einem so genannten B-Tree gespeichert;
da die Einsortierung in einen solchen jedoch zu Zeitintensiv ist, gibt es für jedes Verzeichnis eine Mini-FAT mit genau 9 Einträgen...

dies hatte sich z.B. damals die zweite Version des NTFS-schreibens unter Linux zu Nutze gemacht - FAT konnten sie, also konnten sie in jedes Verzeichnis einer NTFS-Partition bis zu 9 Dateien speichern und dann musste Windows mal wieder gestartet werden, damit die Einträge in den b-tree einsortiert werden....

 

[speedo]

ich glaube, ich muss mich erstmal etwas genauer mit dem ntfs auseinandersetzen. danke aber trotzdem mal =)

 

[Chef32]

Also wenn du die "Gutmann Methode" anwendest, ist die wahrscheinlichkeit, dass man Daten wiederherstellen kann, sehr gering. Die Daten werden 35 mal überschrieben, nahc dem heutigen Stand der Wissenschaft das sicherste, das es gibt! Bei "Safe Erase 3" von O&O kannst du das auswählen. Hast dfu vorher schon Daten gelöscht, musst du auch den freien Speicher löschen, auch das geht mit dem tool.

 

[Schurke]

Wäre es nicht am einfachsten die Partition auf der er mit den Daten arbeitet einfach mit so etwas wie Truecrypt zu verschlüsseln? Die Pufferung bliebe zwar erhalten, wenn er löscht sind die Daten jedoch auch noch nach dem Freigeben des Speicherbereichs verschlüsselt ( Denke ich )

( Ist ja fast schon Offtopic ^^ )

 

[sieben]

Original von Chef32
Also wenn du die "Gutmann Methode" anwendest, ist die wahrscheinlichkeit, dass man Daten wiederherstellen kann, sehr gering. Die Daten werden 35 mal überschrieben, nahc dem heutigen Stand der Wissenschaft das sicherste, das es gibt! Bei "Safe Erase 3" von O&O kannst du das auswählen. Hast dfu vorher schon Daten gelöscht, musst du auch den freien Speicher löschen, auch das geht mit dem tool.

Das mit diesem 35x die Platte abnutzen ist Geheimdienst-Paranoia unter dem "Aber wenn die in 150 Jahren mit Alientechnologie in unsere Kuppelstaedte kommen!!!1"-Gesichtspunkt. Das gilt schon so seit 2001-2002 als überholt und unnötig, schon weil die Datendichte stark gestiegen ist. Um die üblichen Verdächtigen abzuschrecken reicht auch 1x NULL und um ein paar Geheimdienste zum Schwitzen zu bringen noch 1x Zufall... ich frag mich immer was ihr für Daten habt das Typen in verrauchten Konferenzräumen Millionen von Euros aufwenden um da dran zu kommen (und dann trotzdem noch daran scheitern (Physik und so)).

Btw, wenn du es mit einem Journaling-Dateisystem zu hast (wie auch NTFS eines ist) kannst du das mit dem "ich ratter mal ein paar Bits tot" in vielen Fällen sowieso vergessen. Ich empfehle da in akuten Fällen den Vorschlaghammer und halt das ganze Dateisystem töten. Ein weiteres Problem ist die moderne Logik von Festplatten mit derer sie eigenständig Sektoren als Kaputt markieren. Also wenn es ernst ist: Vorschlaghammer und sonst nix.

 

[Redfox]

Das mit diesem 35x die Platte abnutzen ist Geheimdienst-Paranoia unter dem "Aber wenn die in 150 Jahren mit Alientechnologie in unsere Kuppelstaedte kommen!!!1"-Gesichtspunkt. Das gilt schon so seit 2001-2002 als überholt und unnötig, schon weil die Datendichte stark gestiegen ist. Um die üblichen Verdächtigen abzuschrecken reicht auch 1x NULL und um ein paar Geheimdienste zum Schwitzen zu bringen noch 1x Zufall... ich frag mich immer was ihr für Daten habt das Typen in verrauchten Konferenzräumen Millionen von Euros aufwenden um da dran zu kommen (und dann trotzdem noch daran scheitern (Physik und so)).

Richtig, Peter Gutmann hat sellbst geschrieben:

Epilogue
In the time since this paper was published, some people have treated the 35-pass overwrite technique described in it more as a kind of voodoo incantation to banish evil spirits than the result of a technical analysis of drive encoding techniques. As a result, they advocate applying the voodoo to PRML and EPRML drives even though it will have no more effect than a simple scrubbing with random data. In fact performing the full 35-pass overwrite is pointless for any drive since it targets a blend of scenarios involving all types of (normally-used) encoding technology, which covers everything back to 30+-year-old MFM methods (if you don't understand that statement, re-read the paper). If you're using a drive which uses encoding technology X, you only need to perform the passes specific to X, and you never need to perform all 35 passes. For any modern PRML/EPRML drive, a few passes of random scrubbing is the best you can do. As the paper says, "A good scrubbing with random data will do about as well as can be expected". This was true in 1996, and is still true now.

Looking at this from the other point of view, with the ever-increasing data density on disk platters and a corresponding reduction in feature size and use of exotic techniques to record data on the medium, it's unlikely that anything can be recovered from any recent drive except perhaps a single level via basic error-cancelling techniques. In particular the drives in use at the time that this paper was originally written have mostly fallen out of use, so the methods that applied specifically to the older, lower-density technology don't apply any more. Conversely, with modern high-density drives, even if you've got 10KB of sensitive data on a drive and can't erase it with 100% certainty, the chances of an adversary being able to find the erased traces of that 10KB in 80GB of other erased traces are close to zero.

Another point that a number of readers seem to have missed is that this paper doesn't present a data-recovery solution but a data-deletion solution. In other words it points out in its problem statement that there is a potential risk, and then the body of the paper explores the means of mitigating that risk.

http://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html

(den Text in Fettschrift auswändig lernen, das wird später abgefragt! ;-) )

Wäre es nicht am einfachsten die Partition auf der er mit den Daten arbeitet einfach mit so etwas wie Truecrypt zu verschlüsseln? Die Pufferung bliebe zwar erhalten, wenn er löscht sind die Daten jedoch auch noch nach dem Freigeben des Speicherbereichs verschlüsselt

Jep, das ist in meinen Augen auch ein weiterer guter grund für Platten-Verschlüsselung.

Btw, wenn du es mit einem Journaling-Dateisystem zu hast (wie auch NTFS eines ist) kannst du das mit dem "ich ratter mal ein paar Bits tot" in vielen Fällen sowieso vergessen.

Unter Linux könnte man ext2 benutzen, Jounaling ist für den Standartuser sowiso nicht so wichtig.

 

[farhaven]

Jounaling ist für den Standartuser sowiso nicht so wichtig.

Wie soll man das verstehen? Ich bin mir sicher, dass das ext3-Journal mir schon öfter meine Daten gerettet hat, z.B. wenn X sich dazu entschliesst, nichtmehr auf Benutzereingaben zu reagieren und MagicSysrq im Kernel deaktiviert ist. Ausserdem erleichtert ein Journal bei einem Desktop-Rechner im Falle eines Stromausfalles den nächsten Start enorm.

 

[Chef32]

Original von Redfox

Das mit diesem 35x die Platte abnutzen ist Geheimdienst-Paranoia unter dem "Aber wenn die in 150 Jahren mit Alientechnologie in unsere Kuppelstaedte kommen!!!1"-Gesichtspunkt. Das gilt schon so seit 2001-2002 als überholt und unnötig, schon weil die Datendichte stark gestiegen ist. Um die üblichen Verdächtigen abzuschrecken reicht auch 1x NULL und um ein paar Geheimdienste zum Schwitzen zu bringen noch 1x Zufall... ich frag mich immer was ihr für Daten habt das Typen in verrauchten Konferenzräumen Millionen von Euros aufwenden um da dran zu kommen (und dann trotzdem noch daran scheitern (Physik und so)).

Richtig, Peter Gutmann hat sellbst geschrieben:

Epilogue
In the time since this paper was published, some people have treated the 35-pass overwrite technique described in it more as a kind of voodoo incantation to banish evil spirits than the result of a technical analysis of drive encoding techniques. As a result, they advocate applying the voodoo to PRML and EPRML drives even though it will have no more effect than a simple scrubbing with random data. In fact performing the full 35-pass overwrite is pointless for any drive since it targets a blend of scenarios involving all types of (normally-used) encoding technology, which covers everything back to 30+-year-old MFM methods (if you don't understand that statement, re-read the paper). If you're using a drive which uses encoding technology X, you only need to perform the passes specific to X, and you never need to perform all 35 passes. For any modern PRML/EPRML drive, a few passes of random scrubbing is the best you can do. As the paper says, "A good scrubbing with random data will do about as well as can be expected". This was true in 1996, and is still true now.

Looking at this from the other point of view, with the ever-increasing data density on disk platters and a corresponding reduction in feature size and use of exotic techniques to record data on the medium, it's unlikely that anything can be recovered from any recent drive except perhaps a single level via basic error-cancelling techniques. In particular the drives in use at the time that this paper was originally written have mostly fallen out of use, so the methods that applied specifically to the older, lower-density technology don't apply any more. Conversely, with modern high-density drives, even if you've got 10KB of sensitive data on a drive and can't erase it with 100% certainty, the chances of an adversary being able to find the erased traces of that 10KB in 80GB of other erased traces are close to zero.

Another point that a number of readers seem to have missed is that this paper doesn't present a data-recovery solution but a data-deletion solution. In other words it points out in its problem statement that there is a potential risk, and then the body of the paper explores the means of mitigating that risk.

http://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html

(den Text in Fettschrift auswändig lernen, das wird später abgefragt! ;-) )

Wäre es nicht am einfachsten die Partition auf der er mit den Daten arbeitet einfach mit so etwas wie Truecrypt zu verschlüsseln? Die Pufferung bliebe zwar erhalten, wenn er löscht sind die Daten jedoch auch noch nach dem Freigeben des Speicherbereichs verschlüsselt

Jep, das ist in meinen Augen auch ein weiterer guter grund für Platten-Verschlüsselung.

Btw, wenn du es mit einem Journaling-Dateisystem zu hast (wie auch NTFS eines ist) kannst du das mit dem "ich ratter mal ein paar Bits tot" in vielen Fällen sowieso vergessen.

Unter Linux könnte man ext2 benutzen, Jounaling ist für den Standartuser sowiso nicht so wichtig.

Zunächst mal habe ich nicht gesgat, dass ich das Programm brauche bzw. meine DAten so lösche. Und also das es sicher ist, ein Mal die Daten mit Null Werten zu überschreiben, glaubst du selber nicht ,oder? Teste es doch einfach, da kannst du mit billigsten Tools (die obendrein kostenlos sind), die Daten wiederherstellen, ganz zu schweigen von forensischen Tools...

@Schurke

Schon mal was von "RAM Dumping" gehört? Oder von dem Tool "TrueCrypt Brute"? Wenn da Passwort nicht viele Stellen oder Zeichen hat, ist es kein Problem.

Und das ein Geheimdienst seine Daten nicht mit der Gutmann Methode überschreibt, sondern die Platte einschmelzt, das ist klar.

 

[Elderan]

Hallo,
zu dem Thema heute gelesen: Sicheres Löschen: Einmal überschreiben genügt

Wie bereits oft erwähnt: Mehr als einmal seine Daten zu überschreiben macht überhaupt keinen Sinn.

 

[SilentBoB]

Aber Sie schreiben ja, dass mit dem Wissen wo bestimmte Bits liegen, sie auch rekonstruirbar sind. Ganz sicher zu gehen sollte man dann vielleicht 2 oder 3 Mal, aber 35 nach Gutmann wäre laut dem Paper natürlich absolut unsinnig

 

[Chef32]

Original von Elderan
Hallo,
zu dem Thema heute gelesen: Sicheres Löschen: Einmal überschreiben genügt

Wie bereits oft erwähnt: Mehr als einmal seine Daten zu überschreiben macht überhaupt keinen Sinn.

Das genügt leider NICHT! Und es gibt auch "Cluster Tips", d.h., man muss den freien Speicher löschen. Und wenn man auf die Platte eine Datei schreibt, die iene bestimmt Größe hat, sind die einzelnen Sektoren belegt. Wenn das z.B. 1 MB wäre, die Datei gelöscht wurde und dann wieder beschreiben werden würde, allerdinsg nur mit 500 KB, dann wären nur die ersetn 500 KB des Sektors überschrieben, der Rest ist "geblockt". Man muss also soweiso in jedem Fall den freien Speicher löschen. Und schau mal, was du bei Google unter "Kassettenphänomen" findest...dann überlege mal, ob einmal Überschreiben reicht.

@SilentBob

Du scheinst es verstanden zu haben

 

[Heinzelotto]

Original von SilentBoB
Aber Sie schreiben ja, dass mit dem Wissen wo bestimmte Bits liegen, sie auch rekonstruirbar sind.

ja, das ist im artikel ja vorgerechnet: ein Bit kann man mit der Wahrscheinlichkeit von 0.56 rekonstruieren, 8 bits = 1 Byte dann mit der Wahrscheinlichkeit von 0.56^8 = 0.0097..

Sensible Daten sollte man aber so oder so mit einer starken Passphrase verschlüsselt speichern.