Автор: Киви Берд

В мире компьютерной криминалистики довольно часто приходится слышать спорные мнения о необходимом или желательном количестве проходов программы, удаляющей информацию с жесткого диска. Процедуру, в ходе которой поверх прежних данных записывается случайная последовательность нулей и единиц, именуют зачисткой (wiping) или надежным стиранием диска. С одной стороны, ряд экспертов и даже солидные организации, вроде Национального института стандартов и технологий США, утверждают, что единственного wipeпрохода достаточно для того, чтобы данные на диске были безвозвратно уничтожены.

С другой - давно написанные инструкции Министерства обороны США и аналогичных ведомств других стран требуют многократного применения зачистки. А наиболее озабоченные безопасностью специалисты настаивают на десяти или даже тридцати пяти проходах (так называемая "схема Гутмана"), поскольку, дескать, известны случаи успешного восстановления данных после одногодвух применений вайпинга.

Камнем преткновения в этих нескончаемых спорах является тот неоспоримый факт, что положение головки считывания-записи при каждом новом проходе хоть на микроскопическую величину, но отличается от предыдущего.

Иначе говоря, новые данные, записываемые на диск, могут расположиться не в точности на тех же местах, где были расположены первоначальные биты. А это значит, что в принципе, получив с помощью высокоточной аппаратуры сканирования картину распределения магнитных полей на диске, можно автоматизировать анализ и отделение прежних данных от новых.

Однако то, что справедливо для накопителей на жестких магнитных дисках вообще, вовсе не обязательно будет справедливо для используемой в реальной жизни техники. Именно это, собственно, и демонстрирует активно обсуждаемая ныне в Интернете статья эксперта по компьютерной криминалистике Крейга Райта (Craig Wright), который заявляет, что положил конец легенде о недостаточности единственного прохода вайпингом.

Крейг и его коллеги провели исследование, в ходе которого тщательно изучили жесткие диски разных производителей. В частности, эксперты перезаписывали хранимую этими накопителями информацию в контролируемых условиях, а затем исследовали магнитные поверхности с помощью аппаратуры магнитно-силовой микроскопии (МСМ), позволяющей получать картину магнитного поля с максимально доступным разрешением. Технология анализа на основе МСМ считается самым мощным на сегодняшний день инструментом для восстановления утраченных данных с магнитных носителей.

Результаты исследований группа представила на недавней Международной конференции по безопасности информационных систем[ Craig Wright, Dave Kleiman, Shyaam Sundhar R. S.: Overwriting Hard Drive Data: The Great Wiping Controversy. In Proceedings of the ICISS 2008, LNCS v. 5352, pp. 243–257, Springer, December 2008.], а в январе этого года сокращенное изложение той же работы выложено в свободный доступ по адресу sansforensics.wordpress.com/2009/01/15/ overwriting-hard-drive-data.

Авторы констатируют, что уже после единственной перезаписи данных на диске, независимо от того, идет ли речь о старом одногигабайтном носителе или современной модели гораздо большей емкости, вероятность успешного восстановления хоть какой-то содержательной информации ничтожна.

Впрочем, есть несколько оговорок. При разборе реального примера показано, что один конкретный бит, местоположение которого аналитику известно, может быть восстановлен с вероятностью 56%. Однако для того, чтобы восстановить целиком байт, то есть цепочку идущих подряд битов, предельно точное позиционирование головки должно быть повторено восемь раз, а вероятность этого составляет всего лишь 0,97%.

Если же говорить о восстановлении информации длиной свыше одного байта, то здесь шансы на успех выглядят совсем безнадежными.

Конечно, нашлись и скептики, не готовые вот так сразу отказаться от прежних убеждений. Известный новозеландский криптограф Питер Гутман (Peter Gutmann), на которого чаще всего ссылаются создатели программ гарантированной зачистки ("стирание в тридцать пять проходов по методу Гутмана"), уже сделал несколько едких критических замечаний по поводу исследований команды Райта (см., в частности, послесловие к его хрестоматийной статье 1996 года[www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html.], посвященной безопасному уничтожению данных).

Суть комментария известного криптографа сводится к следующему: "Восстановление перезаписанных данных с любого современного винчестера скорее всего окажется безнадежной задачей; что же касается сверхвысоких плотностей и применения перпендикулярной записи, то я вообще не вижу, каким образом можно было бы использовать здесь МСМ для получения образов, реально пригодных для работы по восстановлению первоначальных данных".

Иначе говоря, Гутману явно не понравились методы Крейга и компании, однако он вполне согласен с итоговыми выводами их работы.