помнить.

11.7. Заметаем следы

Иногда невозможно не "наследить", но нужно знать, как правильно заметать следы. Поскольку предмет этой книги - Linux, то и рассмотрим, ка.к безвоз­ вратно удалять информацию с жесткого диска и как почистить логи сервера, если всю информацию удалять нельзя, а нужно удалить только инфу о своем пребывании на сервере.

11.7.1. Приложения для безопасного удаления данных с жестких дисков

Приложений для безопасного удаления достаточно много - Secure Erase (https://partedmagic.corn/secure-erase/), DBAN (https://dban.org/) и т.д. Выбор утилитъ1 зависит от предпочтений пользователя. Мы рекомендуем выбирать только ОреnSоurсе-утилиты, исходный код которыХ; доступен. Важно, чтобы утилита выполняла именно удаление, а не шифрование информации.

Представим, что утилита информацию перезапишет не случайной последо­ вательностью данных, а зашифрованной каким-то ключом версией данных пользователя, то есть попросту зашифрует информацию. Пользователь бу­ дет считать, что информацию удалил, а кто-то сможет ее "восстановить" пу­ тем дешифровки.

Приложение DBAN является как раз OpenSource - его исходный код досту­ пен всем желающим, и настоящие параноики могут даже откомпилировать

его из исходников, чтобы быть уверенными в том, что утилита действитель­ но делает то, что нужно.

•

·------------------------------------------------------------------------------------

Безвозвратно удалить данные с SSD сложнее, чем с обычного жесткого дис­ ка. Чтобы удалить ее действительно надежно, нужно понимать, как проис­ ходит удаление информации с SSD.

Микросхемы памяти, которые используются в SSD-накопителях, позволяют очень быстро считать информацию, чуть медленнее записать ее в чистый блок и совсем медленно они записывают в блок, в котором уже есть другие данные. Больше всего нас интересует как раз третий вариант - ведь нам нуж­ но имеющуюся информацию перезаписать другой информацией.

Чтобы записать данные в ячейку, контроллер SSD должен сначала стереть данные в этой ячейке, а затем уже записывать новые. Поскольку сей процесс не очень быстрый, производители SSD разработали ряд оптимизационных алгоритмов, благодаря которым в распоряжении контроллера всегда есть нужное количество пустых ячеек, то есть в большинстве случаев при записи информации на SSD она записывается в чистую, а не уже использованную ячейку. Именно поэтому, когда SSD диск новый и пустой, он работает быстрее, чем когда уже на нем есть информация и чем больше информации на SSD, тем медленнее он работает.

Что случится, если ОС захочет записать данные в ячейку с определенным адресом, но по этому адресу уже есть какие-то данные? Тогда контроллер SSD выполнит подмену адресов: нужный адрес будет назначен другой - пустой ячейке, а занятый блок или получит другой адрес или уйдет в неадре­ суемый пул для последующей очистки.

Вот здесь и начинается безудержное веселье. Оказывается, информация просто-напросто не удаляется с SSD. Когда-то она, конечно, будет удалена, но должно пройти время. Пользователь думает, что удалил файл, но на самом деле информация осталась на диске. Пользователь думает, что перезаписал файл нулями, на самом деле он записал нулями неиспользуемые ячейки, а ячейки с данными остались в целости и сохранности. Все это существенно усложняет нашу задачу.

Получается, что при обычном использовании на диск записывается больше данных, чем он может вместить. Пул свободных ячеек сокращается и наста­ ет момент, когда контроллеру становится доступным лишь пул из неадресу­ емого пространства. Данная проблема решается с помощью механизма Trim, который работает совместно с ОС. Если пользователь удаляет какой-то файл,

Самое интересное, что в результате работы Trim сама ОС не перезаписывает эти блоки, то есть не стирает информацию физически. Она просто передает информацию контроллеру SSD, с этого момента начинается фоновый про­ цесс (или мqжет начаться --'- все решает контроллер) удаления информации.

Что случится, если хакер попытается считать данные из ячеек, на которые поступила команда Trim, но которые не очищены физически. Тут все зависит от типа контроллера. Существуют три типа контроллеров, точнее три алго­ ритма работы контроллеров:

•Non-deterministic trim - контроллер может вернуть фактические данные, нули или еще что-то, причем результат может отличаться между попытка­ ми. При первой попытке это могут быть нули, при второй - единицы, при третьей - фактические данные.

•Deterministic trim (DRAТ) - контроллер возвращает одно и то же значение (чаще всего нули) для всех ячеек после команды Trim.

•DeterministicRead Zero afler Trim (DZAT) - гарантированное возвращение нулей после Trim.

Узнать тип контроллера в Linux можно так:

Контроллеры· первого типа сейчас практически не встречаются. Ранее по­ добным поведением отличались накопители стандарта еММС. На данный момент они практически все успешно вымерли, как мамонты. Как правило, на обычных ПК сегодня используется диски второго типа, третий тип ис­ пользуется только на дисках, предназначенных для работы в составе много­ дисковых массивов.

Казалось бы, все просто. Если у нас есть контроллер даже со вторым типом Trim, то для ячейки, помеченной на удаление, мы гарантировано получим

•нули. Но не тут то бьmо.

·····················-·-·---·--------·----'·······································-

аа-- --- --- ------- -------- ----------- -- --- .- -- . -- --.---.- ---.---..- ... ----.---------•.