मिटाया नहीं जा सकता

दुनिया भर के दो जिज्ञासु शोध लेख, एक के बाद एक लगभग वेब पर प्रकाशित, SSD, या ठोस राज्य भंडारण उपकरणों के फॉरेंसिक पहलुओं पर एक नया रूप देते हैं, जिन्हें अक्सर फ्लैश ड्राइव कहा जाता है।
एसएसडी ऑपरेशन के आंतरिक तंत्र पारंपरिक हार्ड डिस्क ड्राइव से काफी अलग हैं कि फोरेंसिक जांचकर्ता अब उन परिस्थितियों में वर्तमान डेटा भंडारण प्रौद्योगिकियों पर भरोसा नहीं कर सकते हैं जहां एसएसडी मीडिया के सबूत मुकदमेबाजी में दिखाई देते हैं।
दूसरी ओर, फ्लैश ड्राइव मेमोरी में संग्रहीत डेटा के टुकड़े लगभग अविनाशी हो सकते हैं।


बहाल नहीं किया जा सकता है

लगभग यह ऑस्ट्रेलियन यूनिवर्सिटी ऑफ मर्डोक ("सॉलिड स्टेट ड्राइव्स: द बिगिनिंग ऑफ द मौजूदा प्रैक्टिस फॉर डिजिटल प्रैक्टिस इन डिस्कवरी इन डिजिटल फॉरेंसिक डिस्कवरी" ग्रीम बी। बेल और रिचर्ड बोडिंगटन, पीडीएफ द्वारा) के एक शोध लेख के परिणामों में चेतावनी का सार है।

अध्ययन के नमूनों में डेटा स्टोरेज की बारीकियों की तुलना में किए गए प्रयोगों की एक बड़ी श्रृंखला पर आधारित था: कॉर्सियर 64 जीबी एसएसडी फ्लैश ड्राइव और पारंपरिक हिताची 80 जीबी चुंबकीय डिस्क। एक तुलनात्मक विश्लेषण में, शोधकर्ताओं ने एसएसडी में डेटा रिकवरी के साथ समस्याओं की एक पूरी गुच्छा की पहचान की। समस्याएँ पूरी तरह से चुंबकीय डिस्क के पूरी तरह से अप्राप्य हैं और अधिकतम प्रदर्शन स्तर पर फ्लैश ड्राइव को बनाए रखने के लिए उपयोग किए जाने वाले सफाई या "कचरा संग्रह" एल्गोरिदम के कारण होती हैं।

इन एल्गोरिदम के प्रभाव में, आधुनिक एसएसडी पर संग्रहीत जांच डेटा के लिए महत्वपूर्ण अक्सर एक ऐसी प्रक्रिया का उद्देश्य बन जाता है जिसे फोरेंसिक वैज्ञानिकों के बीच "आत्म-संक्षारण" कहा जाता है। इस प्रक्रिया का परिणाम यह है कि एसएसडी पर साक्ष्य लगातार मिटाया जाता है या बाहरी डेटा के साथ दूषित होता है - एक तरह से जो हार्ड चुंबकीय डिस्क के आधार पर मीडिया के पूरी तरह से अप्राप्य है। और, जो मौलिक रूप से महत्वपूर्ण है, जानकारी के साथ ये सभी परिवर्तन उपयोगकर्ता या कंप्यूटर से किसी भी आदेश की अनुपस्थिति में होते हैं।

ऑस्ट्रेलियाई शोधकर्ताओं के परिणाम अनिवार्य रूप से उन फाइलों की अखंडता और विश्वसनीयता के बारे में संदेह पैदा करते हैं जो फोरेंसिक तरीकों से अलग हो जाते हैं और भंडारण उपकरणों से हटा दिए जाते हैं। आप यह भी कह सकते हैं कि डिजिटल साक्ष्य के संग्रह में उस "स्वर्ण युग" के अंत के लिए एक अलग खतरा था, जो चुंबकीय मीडिया पर डेटा संग्रहीत करने की ख़ासियत द्वारा प्रदान किया गया था।

पिछले कुछ दशकों में, जांचकर्ताओं ने चुंबकीय टेप, फ्लॉपी और हार्ड ड्राइव के साथ काम किया है, जो सिस्टम द्वारा नष्ट की गई फ़ाइलों के रूप में उन सभी फाइलों को संग्रहीत करने के बाद भी बड़ी मात्रा में जानकारी संग्रहीत करना जारी रखता है। यहां तक ​​कि सुरक्षित पोंछने की प्रक्रिया, जैसा कि विशेषज्ञों को पता है, चुंबकीय माध्यम पर पूरी तरह से जानकारी को नष्ट करने के लिए हमेशा पर्याप्त से दूर है। हालांकि, SSDs में, डेटा को बहुत अलग तरीके से संग्रहीत किया जाता है - ब्लॉक या NAND तर्क के ट्रांजिस्टर चिप्स के पन्नों के रूप में, जो इलेक्ट्रॉनिक रूप से मिटाए जाने से पहले उन्हें पुन: उपयोग किया जाना चाहिए।

एसएसडी मेमोरी की दक्षता बढ़ाने के लिए उद्योग के काम का नतीजा यह है कि अधिकांश आधुनिक फ्लैश ड्राइव में फर्मवेयर का निर्माण होता है जो नियमित रूप से और स्वचालित रूप से "स्वयं-सफाई" या "कचरा संग्रह" प्रक्रिया करता है। इन सैनिटरी प्रक्रियाओं के परिणामस्वरूप, उन फ़ाइलों की निरंतर ओवरराइटिंग, संशोधन और हस्तांतरण होता है जो सिस्टम द्वारा नष्ट किए गए के रूप में चिह्नित होते हैं। इसके अलावा, यह प्रक्रिया बिना किसी सूचना के शुरू होती है और बहुत जल्दी, लगभग चिप लगाने के तुरंत बाद। उपयोगकर्ता से कोई कमांड की आवश्यकता नहीं होती है, और उपयोगकर्ता को सफाई प्रक्रिया की शुरुआत के बारे में सूचित करने के लिए फ्लैश ड्राइव किसी भी ध्वनि या प्रकाश संकेतों का उत्सर्जन नहीं करता है।

एक विशिष्ट नमूने का परीक्षण करने के बाद, जब यह त्वरित प्रारूपण के अधीन था, शोधकर्ताओं ने सफाई की उपयोगिता के बारे में 30-60 मिनट में काम करना शुरू करने की उम्मीद की, यह मानते हुए कि यह प्रक्रिया एसएसडी के साथ होनी चाहिए, इससे पहले कि नए डेटा को ब्लॉकों में लिखा जाए। व्यस्त फाइलें। उनके आश्चर्य के लिए, सफाई केवल तीन मिनट बाद हुई, जिसके बाद डिस्क से पुनर्प्राप्ति के लिए कुल 316,666 की केवल 1064 सबूत फाइलें उपलब्ध रहीं।

आगे इस प्रक्रिया का पालन करने का निर्णय लेते हुए, वैज्ञानिकों ने कंप्यूटर से फ्लैश ड्राइव को हटा दिया और इसे रिकॉर्डिंग अवरोधक से जोड़ा - एक हार्डवेयर डिवाइस जिसे विशेष रूप से सभी प्रक्रियाओं से अलग करने के लिए डिज़ाइन किया गया था जो माध्यम की सामग्री को बदल सकता है। लेकिन यहां, कनेक्ट करने के सिर्फ 20 मिनट बाद, लगभग 19 प्रतिशत फाइलें बिना किसी बाहरी आदेश के SSD के फर्मवेयर को शुरू करने वाली आंतरिक प्रक्रियाओं के कारण अधिलेखित हो गईं। तुलना के लिए, यह ध्यान दिया जा सकता है कि समतुल्य चुंबकीय हार्ड डिस्क पर, समान स्वरूपण के बाद के सभी डेटा अप्रचलित समय की परवाह किए बिना पुनर्प्राप्त होते रहे - जैसा कि शोधकर्ताओं द्वारा अपेक्षित है।

यह स्पष्ट है कि मीडिया पर सभी डेटा की सुरक्षा के बारे में चिंतित अपराधियों के लिए, एसएसडी की यह विशेषता एक बड़ी समस्या है। सह-लेखकों में से एक के रूप में, ग्राहम बेल ने अपने लेख में एक टिप्पणी में लिखा है, "कंप्यूटर फोरेंसिक समुदाय के कई लोगों को यह अंदाजा था कि एसएसडी में डेटा के साथ कुछ मजेदार चीजें हो रही थीं, लेकिन लगभग सभी ने जो हमारे परिणाम दिखाए, वे हैरान थे जो खोजा गया था, उसकी सीमा। ”

यदि एसएसडी में "कचरा संग्रह" एक छवि लेने के लिए फोरेंसिक प्रक्रिया से पहले या उसके दौरान होता है, तो इससे मूल्यवान डेटा के संभावित बड़े सरणियों का अपरिवर्तनीय विनाश होता है। डेटा जो आम तौर पर खोजी प्रक्रिया के दौरान सबूत के रूप में प्राप्त किया जाएगा, जहां नया शब्द आया था - "सबूत जंग"।

इसमें कोई संदेह नहीं है कि ऑस्ट्रेलियाई विशेषज्ञों की खोजों में अनिवार्य रूप से उन आपराधिक और दीवानी अदालती मामलों के गंभीर परिणाम होंगे जो डिजिटल साक्ष्य पर निर्भर करते हैं। यदि जिस डिस्क से साक्ष्य प्राप्त किया गया था, उसके संकेत हैं कि स्वामी से डिवाइस लेने के बाद डेटा बदल गया है, तो विरोधी पक्ष के पास इन प्रमाणपत्रों को न्यायिक समीक्षा से हटाने की मांग करने का कारण है।

लेख के लेखकों ने यह भी चेतावनी दी है कि जैसे-जैसे यूएसबी फ्लैश ड्राइव की क्षमता बढ़ती है, निर्माता उनमें समान सफाई प्रौद्योगिकियों को एकीकृत करना शुरू कर सकते हैं, जिससे माध्यमिक (बाहरी) संग्रहण मीडिया की एक ही समस्या हो सकती है। इसके अलावा, बेल और बोडिंगटन सुझाव देते हैं कि "कचरा संग्रहण" उपयोगिताएं समय के साथ और अधिक आक्रामक हो जाएंगी - क्योंकि निर्माता अपनी कार्यक्षमता में अधिक से अधिक शक्तिशाली फर्मवेयर, चिपसेट और बड़े डिस्क पेश करते हैं।

समस्या के 18 बिंदुओं वाले लेख के अंतिम निष्कर्ष में, शोधकर्ताओं ने यह मानते हुए कि इस समस्या का कोई सरल और प्रभावी समाधान नहीं है, किसी भी उपचार के तरीके की पेशकश नहीं करते हैं।

इसे मिटाना असंभव है

अगर हम एक अन्य अमेरिकी शोध लेख के बारे में बात करते हैं, जो एसएसडी में डेटा स्टोरेज की विशिष्ट विशेषताओं के लिए भी समर्पित है, तो पहली नज़र में इसके परिणाम स्पष्ट रूप से ऑस्ट्रेलियाई लोगों द्वारा प्राप्त किए गए लोगों के साथ परस्पर विरोधी लगते हैं। यहां, शोधकर्ताओं की टीम एक पूरी तरह से अलग खोज में आई: फ्लैश ड्राइव मेमोरी में संग्रहीत डेटा के टुकड़े लगभग अविनाशी हो सकते हैं।

जैसा कि इस लेख के लेखक प्रदर्शित करते हैं, फ्लैश ड्राइव डेटा को साफ करने के लिए बहुत मुश्किल है जो समझौता करने के लिए संवेदनशील है, फ़ाइलों और डिस्क को सुरक्षित रूप से मिटाने के लिए पारंपरिक तरीकों का उपयोग कर। यहां तक ​​कि ऐसे मामलों में जहां एसएसडी डिवाइस दिखाते हैं कि फाइलें नष्ट हो गई हैं, उनमें मौजूद 75 प्रतिशत तक डेटा अभी भी फ्लैश ड्राइव की मेमोरी में हो सकता है। विशेष रूप से, कुछ मामलों में जहां ठोस-राज्य ड्राइव इंगित करते हैं कि फाइलें "सुरक्षित रूप से मिटा दी जाती हैं", उनके डुप्लिकेट वास्तव में माध्यमिक स्थानों में बड़े पैमाने पर अछूते रहते हैं।

ये संक्षेप में, कैलिफोर्निया विश्वविद्यालय, सैन डिएगो में किए गए एक अध्ययन के निष्कर्ष हैं और फरवरी के अंत में यूसेनिक्स FAST 11 सम्मेलन में प्रस्तुत किया गया था ("विश्वसनीय रूप से फ्लैश-आधारित ठोस राज्य ड्राइव से डेटा को मिटाता है" माइकल वी, लॉरप ग्रुप, फ्रेडरिक स्पडा, स्टीवन स्वानसन द्वारा किया गया था। । पीडीएफ)।

SSDs पर विश्वसनीय डेटा ओवरराइटिंग के साथ समस्याएँ, जैसा कि काम के लेखक लिखते हैं, माध्यम के एक मौलिक भिन्न आंतरिक डिजाइन के कारण होते हैं। पारंपरिक एटीए और एससीएसआई ड्राइव एक विशेष भौतिक स्थान की जानकारी लिखने के लिए मैग्नेटाइज्ड सामग्रियों का उपयोग करते हैं, जिन्हें एलबीए या लॉजिकल ब्लॉक एड्रेस के रूप में जाना जाता है। दूसरी ओर, SSDs में, डिजिटल स्टोरेज के लिए चिप्स का उपयोग किया जाता है, सामग्री प्रबंधन के लिए FTL या "फ़्लैश लेयर" का उपयोग किया जाता है। जब इस तरह के माध्यम में डेटा को संशोधित किया जाता है, तो एफटीएल अक्सर अलग-अलग जगहों पर नई फाइलें लिखता है, साथ ही साथ किए गए परिवर्तनों को प्रतिबिंबित करने के लिए मेमोरी आवंटन मैप को अपडेट करता है। इस तरह की जोड़तोड़ का नतीजा यह है कि पिछली फाइलों के अवशेष, जिन्हें लेखक "डिजिटल अवशेष" कहते हैं, अनियंत्रित डुप्लिकेट के रूप में डिस्क पर संग्रहीत होते रहते हैं।

लेखकों के अनुसार, "चुंबकीय डिस्क और एसएसडी के बीच प्रसंस्करण में ये अंतर संभावित रूप से उपयोगकर्ता की अपेक्षाओं और फ्लैश ड्राइव के वास्तविक व्यवहार के बीच खतरनाक विसंगतियों को जन्म देता है ... इस तरह के डिवाइस के मालिक एसएसडी के लिए मानक हार्ड डिस्क क्लीनर का उपयोग कर सकते हैं, गलती से विश्वास है कि परिणामस्वरूप डेटा पर। ड्राइव स्थायी रूप से नष्ट हो जाएगा। वास्तव में, यह डेटा डिस्क पर बना रह सकता है और इसे पुनर्स्थापित करने के लिए केवल कुछ और जटिल ऑपरेशन की आवश्यकता होती है। ”

विशिष्ट आंकड़ों के बारे में बात करते हुए, शोधकर्ताओं ने पाया कि Apple मैक ओएस एक्स पर उपलब्ध "सुरक्षित मिटा" फ़ंक्शन का उपयोग करके एसएसडी में नष्ट होने के बाद भी फ़ाइल में संग्रहीत डेटा का लगभग 67 प्रतिशत डिस्क पर रहता है। अन्य ऑपरेटिंग सिस्टम में सुरक्षित उपयोगिताओं ने समान परिणाम दिखाए। उदाहरण के लिए, Pseudorandom Data प्रोग्राम द्वारा व्यक्तिगत फ़ाइलों को नष्ट करने के बाद, 75% तक डेटा SSD पर रह सकता है, जबकि ब्रिटिश सरकार की स्ट्रिपिंग तकनीक ब्रिटिश HMG IS5 का उपयोग करते हुए, 58 प्रतिशत तक बनी रही।

जैसा कि लेख चेतावनी देता है, ये परिणाम दर्शाते हैं कि एसएसडी की स्थिति में, डेटा को अधिलेखित करना अप्रभावी है, और निर्माताओं द्वारा प्रदान की गई मानक मिटा प्रक्रिया ठीक से काम नहीं कर सकती है।

शोधकर्ताओं के अनुसार, एसएसडी में डेटा को सुरक्षित रूप से हटाने का सबसे प्रभावी तरीका उन उपकरणों का उपयोग करना है जो उनकी सामग्री को एन्क्रिप्ट करते हैं। यहां, "कीस्टोर" नामक एक विशेष खंड में एन्क्रिप्शन कुंजी को नष्ट करने के लिए पोंछने की प्रक्रिया उबलती है, अनिवार्य रूप से गारंटी है कि डेटा डिस्क पर हमेशा के लिए एन्क्रिप्टेड रहता है।

लेकिन यहाँ, निश्चित रूप से, एक और समस्या प्रतीक्षा में है। जैसा कि लेख के लेखक लिखते हैं, "खतरा इस तथ्य में निहित है कि संरक्षण नियंत्रक के सही संचालन पर निर्भर करता है, जो आंतरिक भंडारण डिब्बे को साफ करता है, जिसमें क्रिप्टो कुंजी और उससे प्राप्त किसी भी अन्य मान शामिल होते हैं जो क्रिप्टोनालिसिस में उपयोगी हो सकते हैं। कार्यान्वयन त्रुटियों को ध्यान में रखते हुए, जो हमने सुरक्षित मिटा उपयोगिताओं के कुछ संस्करणों में पाया, यह अनुचित रूप से आशावादी होगा कि एसएसडी प्रदाता सही ढंग से कीस्टोर को साफ करेंगे। इससे भी बदतर, कोई रास्ता नहीं है (उदाहरण के लिए, डिवाइस को डिसाइड करके) यह सुनिश्चित करने के लिए कि इरेज़र वास्तव में हुआ है। "

शोधकर्ताओं ने एसएसडी की फाइलों को अच्छी तरह से पहचान योग्य डेटा संरचनाओं के साथ लिखकर अपना परिणाम प्राप्त किया। उसके बाद, सुरक्षित मिटा प्रक्रियाओं को लागू करने के बाद FPGA (रिप्रोग्रामेबल लॉजिक वाले चिप्स) पर आधारित एक विशेष उपकरण को इन फाइलों के शेष "फिंगरप्रिंट" को जल्दी से खोजने और पहचानने के लिए इस्तेमाल किया गया था। शोधकर्ताओं के लिए एक विशेष उपकरण की कीमत लगभग एक हजार डॉलर है, लेकिन "माइक्रोकंट्रोलर पर आधारित डिवाइस के एक सरल संस्करण की कीमत लगभग $ 200 होगी और इसे डिजाइन करने के लिए केवल एक मामूली तकनीकी अनुभव की आवश्यकता होगी।"
कोई विरोधाभास नहीं है

स्लैशडॉट चर्चा मंच पर इन दो लेखों के संचयी परिणाम के रूप में कहा गया था, "या तो SSDs को मिटाना बहुत कठिन है, या उनसे हटाई गई फ़ाइलों को पुनर्प्राप्त करना वास्तव में बहुत कठिन है। यह किसी तरह की भ्रामक कहानी का पता लगाता है "...

पहले (ऑस्ट्रेलियाई) अध्ययन में प्रत्यक्ष प्रतिभागियों में से एक, ग्राहम बेल, इस स्पष्ट विरोधाभास को निम्नानुसार बताते हैं।

पहले, डिस्क पर डेटा पारंपरिक रूप से मैन्युअल रूप से साफ किया गया था, अर्थात, स्पष्ट रूप से कंप्यूटर को पुराने डेटा के शीर्ष पर कुछ और लिखने के लिए ड्राइव को निर्देश देने के लिए निर्देश दे रहा है। यदि इस तरह के एक अधिलेखित आदेश प्राप्त नहीं हुआ था, तो डेटा को चुंबकीय मीडिया में संग्रहीत किया जाना जारी रहा। हालाँकि, यदि आप एक ही ट्रिक को SSD में लागू करने का प्रयास करते हैं, तो यह काम नहीं कर सकती है। तार्किक मेमोरी एड्रेस जिसे आप फिर से लिखने की कोशिश कर रहे हैं, हो सकता है कि पहले से ही मक्खी पर पुनर्वितरित किया जाए, इसलिए आपका "रीराइट" कमांड कुछ अन्य भौतिक मेमोरी सेल में जाता है, न कि उस डेटा को संग्रहीत करने से पहले। तार्किक दृष्टिकोण से, यह सब ऐसा लगता है कि पुनर्लेखन कार्य किया गया है: अब आप अपने कंप्यूटर के OS के माध्यम से इस डेटा तक नहीं पहुँच सकते। हालांकि, फ्लैश ड्राइव के दृष्टिकोण से, यह डेटा अभी भी मौजूद है, कुछ भौतिक सेल में छिपा हुआ है जो वर्तमान में उपयोग में नहीं है, अगर हम इसी तार्किक क्षेत्र का मतलब है। हालांकि, कुछ सरल फर्मवेयर या टांका लगाने वाले लोहे के साथ एक चालाक हैकर, सिद्धांत रूप में, इस डेटा को प्राप्त कर सकते हैं।

उसी समय, इन सुविधाओं के अलावा, आधुनिक एसएसडी मीडिया अपने प्रदर्शन को स्वचालित रूप से बढ़ाने के लिए विभिन्न विशिष्ट चाल का उपयोग करता है। इनमें से एक ट्रिक है मेमोरी सेल को ओवरराइट करना जिसमें डेटा होता है जो अब फाइल सिस्टम द्वारा ध्यान में नहीं लिया जाता है। इस मामले में, ड्राइव स्वयं सक्रिय रूप से डिस्क से सब कुछ को लगातार साफ करने की कोशिश कर रहा है। और वह यह सब पूरी तरह से अपनी पहल पर करता है - सिर्फ भविष्य की रिकॉर्डिंग के संचालन में तेजी लाने के लिए, उपलब्ध पूर्व-तैयार पूल प्रदान करना और किसी भी तरह से शामिल कोशिकाओं द्वारा नहीं।

SSD की इन विशेषताओं को सारांशित करते हुए, हम निम्नलिखित बता सकते हैं। यदि आपका कंप्यूटर कुछ डेटा को रीसेट करने के लिए फ्लैश ड्राइव को बताता है, तो ड्राइव आपसे झूठ बोल सकता है और वास्तव में रीसेट हो सकता है, शायद यह होगा, या शायद नहीं। यदि ड्राइव स्वयं कुछ मिटाना चाहता है (और यह वास्तव में बिना किसी चेतावनी के ऐसा करता है), तो यह डेटा नष्ट हो जाएगा ...

एक और टिप्पणीकार, स्पष्ट रूप से हास्य की भावना के बिना नहीं, इन शब्दों के साथ ऐसी जटिल स्थिति का वर्णन किया:

“आप इसे भ्रम क्यों कहते हैं? यहां सब कुछ पारदर्शी और स्पष्ट है। यदि आप हटाए गए डेटा को पुनर्प्राप्त करना चाहते हैं, तो आप ऐसा नहीं कर सकते। यदि आप उन्हें नष्ट करना चाहते हैं, तो आप ऐसा नहीं कर सकते। SSDs पर डेटा संग्रहीत करने के लिए यह मर्फी का नियम है। "

पुनश्च। मूल यहाँ http://www.computerra.ru/597770/ है , दुर्भाग्य से मैं एक विषय लिंक पोस्ट नहीं कर सकता, लेकिन विषय बेहद दिलचस्प है, मुझे क्षमा करें।