remanencia de datos

El borrado consiste en la eliminación de datos confidenciales de los dispositivos de almacenamiento de forma que se garantice que no puedan reconstruirse mediante las funciones normales del sistema ni con utilidades de recuperación de archivos/datos. Los datos aún podrían recuperarse, pero no sin técnicas especiales de laboratorio. ^{[ 1 ]}

El borrado seguro de datos suele ser una medida administrativa de protección contra la divulgación accidental dentro de una organización. Por ejemplo, antes de que un disco duro se reutilice dentro de una organización, su contenido puede borrarse para evitar que el siguiente usuario lo vea por error.

La eliminación o saneamiento consiste en la reescritura física de datos confidenciales de un sistema o dispositivo de almacenamiento con el propósito específico de que dichos datos sean irrecuperables posteriormente. ^{[ 2 ]} La eliminación, proporcional a la sensibilidad de los datos, generalmente se realiza antes de liberar soportes fuera de control, como antes de desechar soportes antiguos o transferirlos a una computadora con requisitos de seguridad diferentes.

El soporte de almacenamiento queda inutilizable para equipos convencionales. La eficacia de la destrucción varía según el soporte y el método. Dependiendo de la densidad de grabación del soporte y/o la técnica de destrucción, es posible que los datos puedan recuperarse mediante métodos de laboratorio. Por el contrario, la destrucción mediante técnicas adecuadas es el método más seguro para evitar su recuperación.

Un método común para contrarrestar la persistencia de datos consiste en sobrescribir el medio de almacenamiento con datos nuevos. Esto se suele denominar borrado o destrucción de un disco o archivo, por analogía con los métodos habituales de destrucción de soportes impresos , aunque el mecanismo no guarda ninguna similitud con estos. Dado que este método a menudo se puede implementar solo con software y puede afectar selectivamente solo a una parte del medio, es una opción popular y de bajo costo para algunas aplicaciones. La sobrescritura es generalmente un método de borrado aceptable, siempre que el medio sea grabable y no esté dañado.

La técnica de sobrescritura más sencilla escribe los mismos datos en todas partes, a menudo solo un patrón de ceros. Como mínimo, esto impedirá que los datos se recuperen simplemente leyéndolos de nuevo desde el medio mediante las funciones estándar del sistema. La UEFI de los equipos modernos también puede ofrecer una función de borrado de disco de clase ATA. El estándar ATA-6 rige las especificaciones de borrado seguro.

Bitlocker cifra todo el disco y resulta ilegible sin la clave. Escribir una nueva tabla de particiones GPT permite establecer un nuevo sistema de archivos. Los bloques quedarán vacíos, pero la lectura LBA será ilegible. Los nuevos datos no se verán afectados y funcionarán correctamente.

En un intento por contrarrestar técnicas de recuperación de datos más avanzadas, a menudo se han prescrito patrones de sobrescritura específicos y múltiples pasadas. Estos pueden ser patrones genéricos destinados a erradicar cualquier firma de rastreo; un ejemplo es el patrón de siete pasadas 0xF6 , 0x00 , 0xFF , <byte aleatorio> , 0x00 , 0xFF , <byte aleatorio> , a veces atribuido erróneamente al estándar estadounidense DOD 5220.22-M .

Un problema con la sobrescritura es que algunas áreas del disco pueden volverse inaccesibles debido a la degradación del medio u otros errores. La sobrescritura por software también puede ser problemática en entornos de alta seguridad, que requieren controles más estrictos sobre la mezcla de datos que los que puede proporcionar el software en uso. El uso de tecnologías de almacenamiento avanzadas también puede hacer que la sobrescritura basada en archivos sea ineficaz (consulte la discusión relacionada a continuación en ).

Existen máquinas y software especializados capaces de sobrescribir datos. En ocasiones, el software puede ser un sistema operativo independiente diseñado específicamente para la destrucción de datos. También existen máquinas diseñadas específicamente para borrar discos duros según las especificaciones del Departamento de Defensa DOD 5220.22-M. ^{[ 3 ]}

Escribir ceros en cada bloque de discos duros y SSD tiene la ventaja de permitir que el firmware implemente bloques de repuesto cuando se identifican bloques defectuosos. BitLocker tiene la ventaja de que los datos son ilegibles sin la clave. Seatools y otras herramientas pueden borrar discos con ceros, lo cual es típico para recuperar discos antiguos de consumo, pero también pueden borrar discos de servidor, aunque lentamente. Los discos modernos de 28 TB o más tienen una enorme cantidad de bloques LBA48. Los discos de 40 TB y 60 TB tardarán proporcionalmente más tiempo en borrarse.

La desmagnetización consiste en eliminar o reducir el campo magnético de un disco o unidad mediante un dispositivo llamado desmagnetizador, diseñado específicamente para el soporte que se va a borrar. Aplicada a soportes magnéticos , la desmagnetización puede eliminar por completo un elemento de almacenamiento de forma rápida y eficaz.

La desmagnetización suele dejar los discos duros inoperables, ya que borra el formato de bajo nivel que se realiza en la fábrica durante la fabricación. En algunos casos, es posible recuperar el funcionamiento del disco mediante el servicio técnico del fabricante. Sin embargo, algunos desmagnetizadores modernos utilizan un pulso magnético tan potente que el motor que hace girar los platos puede dañarse durante el proceso, y la reparación podría no ser rentable. Las cintas de ordenador desmagnetizadas, como las DLT , generalmente se pueden reformatear y reutilizar con hardware doméstico estándar.

En algunos entornos de alta seguridad, puede ser necesario utilizar un desmagnetizador aprobado para tal fin. Por ejemplo, en jurisdicciones gubernamentales y militares de EE. UU. , puede ser necesario utilizar un desmagnetizador de la "Lista de productos evaluados" de la NSA . ^{[ 10 ]}

El cifrado de datos antes de almacenarlos en el soporte puede mitigar las preocupaciones sobre la persistencia de datos. Si la clave de descifrado es robusta y se controla rigurosamente, puede hacer que cualquier dato almacenado en el soporte sea prácticamente irrecuperable. Incluso si la clave se almacena en el soporte, puede resultar más fácil o rápido sobrescribir solo la clave que el disco completo. Este proceso se denomina criptografía de destrucción masiva .

El cifrado puede realizarse archivo por archivo o en todo el disco . Los ataques de arranque en frío son uno de los pocos métodos posibles para vulnerar un método de cifrado de disco completo , ya que no existe la posibilidad de almacenar la clave en texto plano en una sección sin cifrar del medio. Consulte la sección «Complicaciones: Datos en la RAM» para obtener más información.

Otros ataques de canal lateral (como los registradores de pulsaciones de teclas , la obtención de una nota escrita que contenga la clave de descifrado o el criptoanálisis de manguera de goma ) pueden ofrecer una mayor probabilidad de éxito, pero no se basan en debilidades del método criptográfico empleado. Por lo tanto, su relevancia para este artículo es menor.

La destrucción total del soporte de almacenamiento subyacente es la forma más segura de evitar la persistencia de datos. Sin embargo, este proceso suele ser largo, engorroso y puede requerir métodos extremadamente minuciosos, ya que incluso un pequeño fragmento del soporte puede contener grandes cantidades de datos.

Las técnicas de destrucción específicas incluyen:

• Descomponer físicamente el material (por ejemplo, moliéndolo o triturándolo).
• Alterar químicamente el soporte hasta convertirlo en un estado ilegible e irrecuperable (por ejemplo, mediante incineración o exposición a productos químicos cáusticos / corrosivos ).
• Transición de fase (por ejemplo, licuefacción o vaporización de un disco sólido)
• Para los medios magnéticos, elevar su temperatura por encima del punto de Curie.
• Para muchos medios de almacenamiento eléctricos/electrónicos volátiles y no volátiles, la exposición a campos electromagnéticos que superan ampliamente las especificaciones operativas seguras (por ejemplo, corriente eléctrica de alto voltaje o radiación de microondas o ionizante de alta amplitud )

Los soportes de almacenamiento pueden tener áreas que se vuelven inaccesibles por medios convencionales. Por ejemplo, los discos magnéticos pueden desarrollar nuevos sectores defectuosos después de la escritura de datos, y las cintas requieren espacios entre registros. Los discos duros modernos suelen incorporar la reasignación de sectores o pistas marginales, de forma automatizada, sin que el sistema operativo tenga que intervenir. El problema es especialmente significativo en las unidades de estado sólido (SSD), que dependen de tablas de bloques defectuosos reubicadas relativamente grandes. Los intentos de contrarrestar la persistencia de datos mediante la sobrescritura pueden no tener éxito en estas situaciones, ya que los restos de datos pueden persistir en dichas áreas nominalmente inaccesibles.

Los sistemas de almacenamiento de datos con funciones más sofisticadas pueden hacer que la sobrescritura sea ineficaz, especialmente a nivel de archivo. Por ejemplo, los sistemas de archivos con registro de transacciones aumentan la integridad de los datos al registrar las operaciones de escritura en múltiples ubicaciones y aplicar una semántica similar a la de las transacciones ; en estos sistemas, pueden existir restos de datos en ubicaciones "fuera" de la ubicación nominal de almacenamiento del archivo. Algunos sistemas de archivos también implementan la copia en escritura o el control de versiones integrado , con la intención de que la escritura en un archivo nunca sobrescriba los datos existentes. Además, tecnologías como RAID y las técnicas antifragmentación pueden provocar que los datos de un archivo se escriban en múltiples ubicaciones, ya sea por diseño (para tolerancia a fallos ) o como restos de datos.

La nivelación de desgaste también puede evitar el borrado de datos, reubicando los bloques entre el momento en que se escribieron originalmente y el momento en que se sobrescribieron. Por esta razón, algunos protocolos de seguridad adaptados a sistemas operativos u otro software con nivelación de desgaste automática recomiendan realizar un borrado completo del espacio libre de una unidad determinada y luego copiar muchos archivos pequeños y fácilmente identificables de "basura" o archivos que contengan otros datos no confidenciales para llenar la mayor parte de la unidad posible, dejando solo el espacio libre necesario para el funcionamiento satisfactorio del hardware y el software del sistema. A medida que aumentan las necesidades de almacenamiento y del sistema, los archivos de "datos basura" se pueden eliminar según sea necesario para liberar espacio; incluso si la eliminación de archivos de "datos basura" no es segura, su falta de confidencialidad inicial reduce prácticamente a cero las consecuencias de la recuperación de los datos remanentes.

Dado que los soportes ópticos no son magnéticos, no se borran mediante la desmagnetización convencional . Los soportes ópticos de escritura única ( CD-R , DVD-R , etc.) tampoco se pueden borrar sobrescribiendo. Los soportes ópticos regrabables, como los CD-RW y DVD-RW , pueden ser susceptibles a la sobrescritura . Los métodos para eliminar con éxito los datos de los discos ópticos incluyen la delaminación o abrasión de la capa metálica de datos, la trituración, la incineración, el arco eléctrico destructivo (por ejemplo, mediante la exposición a energía de microondas) y la inmersión en un disolvente de policarbonato (por ejemplo, acetona ).

Una investigación del Centro de Grabación Magnética e Investigación de la Universidad de California en San Diego ha revelado problemas inherentes al borrado de datos almacenados en unidades de estado sólido (SSD). Los investigadores descubrieron tres problemas con el almacenamiento de archivos en SSD: ^{[ 11 ]}

Primero, los comandos integrados son efectivos, pero los fabricantes a veces los implementan incorrectamente. Segundo, sobrescribir todo el espacio de direcciones visible de una SSD dos veces suele ser suficiente, pero no siempre, para limpiar la unidad. Tercero, ninguna de las técnicas existentes orientadas a discos duros para la limpieza de archivos individuales es efectiva en las SSD. ^{[ 11 ] : 1}

Las unidades de estado sólido (SSD), que se basan en memoria flash, se diferencian de los discos duros en dos aspectos: primero, en la forma en que se almacenan los datos; y segundo, en la forma en que se utilizan los algoritmos para gestionar y acceder a esos datos. Estas diferencias pueden ser explotadas para recuperar datos previamente borrados. Las SSD mantienen una capa de indirección entre las direcciones lógicas que utilizan los sistemas informáticos para acceder a los datos y las direcciones internas que identifican el almacenamiento físico. Esta capa de indirección oculta las interfaces de medios idiosincrásicas y mejora el rendimiento, la fiabilidad y la vida útil de las SSD (véase nivelación de desgaste ), pero también puede producir copias de los datos que son invisibles para el usuario y que un atacante sofisticado podría recuperar. Para sanitizar discos completos, se ha comprobado que los comandos de sanitización integrados en el hardware de la SSD son eficaces cuando se implementan correctamente, y se ha comprobado que las técnicas de software para sanitizar discos completos funcionan la mayoría de las veces, pero no siempre. ^{[ 11 ] : sección 5} En las pruebas, ninguna de las técnicas de software fue eficaz para sanitizar archivos individuales. Estos incluían algoritmos bien conocidos como el método Gutmann , US DoD 5220.22-M , RCMP TSSIT OPS-II, Schneier 7 Pass y Secure Empty Trash en macOS (una función incluida en las versiones OS X 10.3-10.9). ^{[ 11 ] : sección 5}

La función TRIM en muchos dispositivos SSD, si se implementa correctamente, borrará los datos después de eliminarlos, ^{[ 12 ]} pero el proceso puede tardar un tiempo, generalmente varios minutos. Muchos sistemas operativos antiguos no son compatibles con esta función, y no todas las combinaciones de unidades y sistemas operativos funcionan. ^{[ 13 ]}

Se ha observado persistencia de datos en memorias de acceso aleatorio estáticas (SRAM), que generalmente se consideran volátiles ( es decir , su contenido se degrada al perderse la alimentación externa). En un estudio, se observó retención de datos incluso a temperatura ambiente. ^{[ 14 ]}

También se ha observado remanencia de datos en la memoria de acceso aleatorio dinámico (DRAM). Los chips DRAM modernos tienen un módulo de autorrefresco incorporado, ya que no solo requieren una fuente de alimentación para retener los datos, sino que también deben refrescarse periódicamente para evitar que su contenido se borre de los condensadores en sus circuitos integrados. Un estudio encontró remanencia de datos en DRAM con una retención de datos de segundos a minutos a temperatura ambiente y "una semana completa sin refrescar cuando se enfría con nitrógeno líquido". ^{[ 15 ]} Los autores del estudio pudieron utilizar un ataque de arranque en frío para recuperar claves criptográficas para varios sistemas populares de cifrado de disco completo , incluidos Microsoft BitLocker , Apple FileVault , dm-crypt para Linux y TrueCrypt . ^{[ 15 ] : 12}

A pesar de cierta degradación de la memoria, los autores del estudio descrito anteriormente pudieron aprovechar la redundancia en la forma en que se almacenan las claves después de haber sido expandidas para un uso eficiente, como en la programación de claves . Los autores recomiendan que las computadoras se apaguen, en lugar de dejarlas en un estado de " suspensión ", cuando no estén bajo el control físico del propietario. En algunos casos, como ciertos modos del programa de software BitLocker, los autores recomiendan que se utilice una contraseña de arranque o una clave en un dispositivo USB extraíble. ^{[ 15 ] : 12} TRESOR es un parche del kernel para Linux específicamente diseñado para prevenir ataques de arranque en frío en la RAM al garantizar que las claves de cifrado no sean accesibles desde el espacio de usuario y se almacenen en la CPU en lugar de la RAM del sistema siempre que sea posible. Las versiones más recientes del software de cifrado de disco VeraCrypt pueden cifrar claves y contraseñas en la RAM en Windows de 64 bits. ^{[ 16 ]}