Frage zur Datenlöschung

[Corrado]

Hallo, Leute. Ich habe eine Frage. Ich habe eine formatierte Platte, die ich sicher löschen möchte. Ich nutze Safe Erase. Spielt es eine Rolle, ob ich "Gesamtes Laufwerk/Festplatte" wähle oder "Freien Speicher"? Ich denke, in meinem Falle, ist es egal, da ich mit dem freien Speicher ja auch die komplette HDD lösche, da sie ja leer ist. Mich wundert nur, dass es sowohl bei der Löschdauer als auch bei den zu löschenden Objekten Differenzen gibt.

 

[Arrow]

Vielleicht wird anders bzw. unterschiedlich oft überschrieben? Bei Eraser von Heidi Software (das heißt glaub ich wirklich so!) wird z.B. bei "Free Space" nur einmal überschrieben, wenn man direkt Daten löscht aber 7-35 Mal.

 

[gelöschter Benutzer]

einmal überschreiben reicht aber.

 

[Kugelfisch]

Korrekt. Viel wichtiger als mehrfaches Überschreiben ist, sicherzustellen, dass auch tatsächlich alle Daten überschrieben werden, insbesondere auch solche in ausgetauschten/`defekten` Sektoren - daher bietet sich an, zum Löschen kompletter Festplatten das ATA-Enhanced-Security-Erase-Feature zu nutzen, wie z.B. unter https://ata.wiki.kernel.org/index.php/ATA_Secure_Erase beschrieben (das dort verwendete `--security-erase`-Kommando kannst du, sofern von deiner Festplatte unterstützt, durch `--security-erase-enhanced` austauschen).

 

[Corrado]

@Arrow

Ja, das ist eben die Frage. Bei beiden Möglichkeiten werden erst alle Objekte bzw. Sektoren gelöscht, dann kommen die weiteren Durchgänge.

@elgitarre

Wenn du schon sagst, dass einmal reichen würde, solltest du auch sicherstellen, dass es sich um neue Platten handelt. Du kannst das aber nicht wissen, da ich es nicht erwähnt habe. Es ist eine relativ alte Platte, aber neu genug, damit einmal Überschreiben - in der Theorie - reicht. Die HDD hat 160 GB Datenvolumen. Ich werde aber - auf Wunsch des Besitzers - mehrmals überschreiben. Ich muss sagen, wäre es meine Platte, würde ich mit einmal Überschreiben irgendwo auch nicht zufrieden sein. Einerseits stimmt das mit der Datendichte, andererseits..warum empfehlen Behörden wie das BSI, DoD oder wer auch immer, mehrfach zu überschreiben? Ich habe vor auch schon einmal extra eine kleine Partition erstellt, mit Daten "befüllt" und anschließnd alle einmal mit dem Heidi Eraser überschrieben. Was mich beunruhigt hat, es war möglich mit Tools wie O&O DiskRecovery, Ontrack oder O&O Unerase Daten -wenn auch nur "Fetzen" bei Bildern - wiederherzustellen. Dann kann ja einmal eigentlich nicht reichen. Deshalb sehe ich das etwas kritisch. Auch wenn Craig Wright etwas anderes behauptet.

@Kugelfisch

Ja, da hast du recht. Genau das ist bei dieser Platte der Fall, es bestehen defekte/gesperrte Sektoren, die ich selbst gesperrt habe. Es ist damit ohnehin nicht mehr sinnvoll, die Platte weiter zu nutzen, da defekte Sektoren in "Gruppen" auftreten. Trotzdem vielen Dank, dass du es nocheinmal erwähnst! Jedoch kommt es auch darauf an, wie gut der Befehl in die Firmware der Platte implementiert ist, oder?

Ja, soll ich dann nur das ATA Kommando nutzen?

Die Seite ist gerade übrigens down. Es kann auch nicht an deinem Link liegen, da die Suche über Google dasselbe Ergebnis gebracht hat.

Edit: Im Cache kann ich es ja anzeigen lassen. Allerdings - das hatte ich vergessen - lösche ich die Platte mittels eines Adapters per USB - dies wird ausdrücklich nicht empfohlen.

 

[accC]

Es reicht für alle Festplatten, wenn man sie einmal überschreibt. Damals bei Bandlaufwerken, Disketten etc musstest du mehrfach überschreiben, weil nicht garantiert werden konnte, dass beim einmal-Überschreiben alle Sektoren getroffen werden. Dazu waren die Medien nicht genau genug. Bei Festplatten, wie wir sie heute kennen, kannst du aber exakt die Bereiche treffen. In sofern macht Mehrfachüberschreiben nur Sinn, wenn du noch SEHR SEHR SEHR alte Hardware hast.

 

[gelöschter Benutzer]

...es ist eine relativ alte Platte, aber neu genug, damit einmal Überschreiben - in der Theorie - reicht. ....

Aluhut abziehen.

Einmal überschreiben reicht immer.
Eine Rekonstruktion der Daten ist dann entweder komplett unmöglich, oder so teuer, dass man das für dich nicht zahlt.

 

[Corrado]

@accC:

Ja, und das ist, bezogen auf das Paper von Wright, schon mal nicht korrekt. Dort wird von alte HDD`s gesporchen, nicht davon, dass man es bei Bandlaufwerken einsetzen muss. Es wird einfach viel zu viel rein interpretiert.

Und du kannst, wenn die Platte, sieben, acht oder zehn Jahre alt ist, auch nicht sicher sein, dass der Schreib-/Lesekopf auf den μmm genau ist, da die Ausrichtung nicht mehr zu 100% korrekt ist. Also schon deshalb ist die Aussage, "..exakt" nicht korrekt. Wieviel das dann am Ende ausmacht, ist dabei zweitrangig.

@elgitrarre

Ich halte mich an das, was eine staatl. Einrichtung empfiehlt, auch wenn ich selbst vielleicht der Meinung bin, dass einmal reicht. Aber das sind alles Dinge, die uns nicht interessieren müssen! Man hat mich gebeten, mehrfach zu überschreiben, und ich mache es.

 

[Dummkopf]

wenn die platte eh in den muell fliegt, ist die bohrmaschine eines der sichersten mittel zur datenloeschung.

 

[Kugelfisch]

Ich habe vor auch schon einmal extra eine kleine Partition erstellt, mit Daten "befüllt" und anschließnd alle einmal mit dem Heidi Eraser überschrieben. Was mich beunruhigt hat, es war möglich mit Tools wie O&O DiskRecovery, Ontrack oder O&O Unerase Daten -wenn auch nur "Fetzen" bei Bildern - wiederherzustellen. Dann kann ja einmal eigentlich nicht reichen. Deshalb sehe ich das etwas kritisch. Auch wenn Craig Wright etwas anderes behauptet.

Dann waren die betreffenden Daten schlicht nicht überschrieben. Auch frühere Forschungen, welche auf alten Festplatten einmal überschriebene Daten anhand der Restmagnetisierung wiederherstellen konnten, verwendeten dazu keinesfalls den Schreib-/Lesekopf der Festplatte, sondern z.B. Magnetkraftmikroskope mit einer entsprechend hohen Auflösung.

Jedoch kommt es auch darauf an, wie gut der Befehl in die Firmware der Platte implementiert ist, oder? Ja, soll ich dann nur das ATA Kommando nutzen?

Die ATA-Security-Spezifikation schreibt vor, welche Auswirkungen das Kommando haben muss. Sicherlich ist nicht auszuschliessen, dass es Hersteller falsch implementieren, ein konkretes Beispiel ist mir jedoch nicht bekannt. Wenn du die Auswirkung von Implementierungsfehlern minimieren möchtest, kannst du die Festplatte zusätzlich auch noch einmal in Software mit Nullen überschreiben (z.B. mittels dd unter GNU/Linux).

Allerdings - das hatte ich vergessen - lösche ich die Platte mittels eines Adapters per USB - dies wird ausdrücklich nicht empfohlen.

Das ist tatsächlich problematisch. Besteht keine Möglichkeit, die Festplatte temporär intern anzuschliessen?

wenn die platte eh in den muell fliegt, ist die bohrmaschine eines der sichersten mittel zur datenloeschung.

Diese Meinung ist zwar relativ weit verbreitet, aber so nicht korrekt. Schliesslich betrifft die Bohrung nur einen verhältnismässig kleinen Bereich der Platter, die ansonsten weitgehend unversehrt bleiben. Diese könnte man zumindest mit einem Magnetkraftmikroskop theoretisch noch auslesen. Wenn man die Festplatte physisch zerstören möchte, dann sollte man darauf achten, dass auch die gesamte Oberfläche der Platter unlesbar wird, z.B. durch Erhitzen über die Curie-Temperatur, durch Anlegen eines starken extern Magnetfelds oder - sofern es sich bloss um eine magnetisierbare Schicht handelt - durch vollständiges Abkratzen der Oberfläche vom Träger.

 

[TBow]

Macht der Unix Befehl "dd if=/dev/zero of=/dev/sda " auch defekte Sektoren der (ATA) Festplatte platt?

 

[Kugelfisch]

Nicht, sofern diese firmwareseitig transparent ausgetauscht wurden, schliesslich sind sie dann nicht mehr durch das Betriebssystem adressierbar.

 

[bevoller]

Inwiefern ist die Löschung per USB bzw. USB-Adapter problematisch? Mal so interessehalber nachgefragt.

 

[Corrado]

@Kugelfisch:

Dann waren die betreffenden Daten schlicht nicht überschrieben.

Doch, doch, das ganz sicher. Es konnten ja auch nicht alle Daten wiederhergestellt werden, und es ging nicht mit allen Programmen. Es wurden vielleicht von 100 Bildern 2 wiederhergestellt, wenn auch nur "abhackt" - dies bedeutet aber, dass die Daten überschrieben worden sind. Leider habe ich kein Video davon erstellt.

sondern z.B. Magnetkraftmikroskope

Ja, klar, es wird ja im Labor durchgeführt.

ein konkretes Beispiel ist mir jedoch nicht bekannt.

Das wird halt hin und wieder als "Problem" beschrieben. Nutzen kann ich das mir jeder Linuxdistribution, oder? Z.B. Knoppix.

einmal in Software mit Nullen überschreiben

Ich werde das ATA Kommando ausführen. Da ich bereits den freien Speicher, also die gesamte Platte (sie ist ja formatiert), drei Mal überschreiben habe lassen (ich habedie Gutmann Methode angewandt, aber dann nach 3 Durchläufen abgebrochen), wird es nicht nötig sein, nochmals mit Nullen die HDD zu füllen.

die Festplatte temporär intern anzuschliessen?

Evtl. werde ich eine Konverter nehmen, um sie intern als S-ATA laufen zu lassen. Eig. hat sie eine IDE Schnittstelle. Es geht ja intern auch schneller als per USB. Ich habe jetzt die Dokumentation nicht gelsen - was is tdas Problem bei USB?

wenn die platte eh in den muell fliegt, ist die bohrmaschine eines der sichersten mittel zur datenloeschung.

Dies ist natürlich in der Tat falsch!

durch Erhitzen über die Curie-Temperatur, durch Anlegen eines starken extern Magnetfelds oder - sofern es sich bloss um eine magnetisierbare Schicht handelt - durch vollständiges Abkratzen der Oberfläche vom Träger.

Sollte sich der Besitzer dafür entscheiden, die Platte wegzuwerfen (sie hat wie gesagt defekte Sektoren, die gesperrt sind), werde ich gezielt einen Headcrash hervorrufen. Ferner die Platter, wie du gesagt hast, abkratzen und zusätzlich mittels einer Zange komplett zu verformen. Aber wenn die "Magnetteilchen" entfernt sind, sind die Daten ohnehin restlos entfernt.

Eine Frage: die Gutmann Methode hat teils ein zufälliges Datenmuster, und teils eine fest vorgschriebene. Gilt dies innerhalb EINES Löschvorganges, also eins Durchganges, oder nur als Gesamtes bei allen 35 Durchgängen? Wohl letzteres.

Edit: Kannst sagen bzw. die Formel nennen, wie hoch die Wahrscheinlichkeit ist, Daten wiederherzustellen, die einmal überschrieben worden sind?

 

[BurnerR]

Dein Ergebnis mit den Bildern klingt ein wenig danach, als wenn nicht systematisch überschrieben worden wäre, sondern die Dateien gelöscht wurden und danach Teile des Adressgebietes zwischenzeitlich vom Betriebssystem verwendet wurden.
Wenn ich mich recht erinnere konnte man bei einer vorher nicht verwendeten Festplatte ein überschriebenes Bit mit einer Erfolgswahrscheinlichkeit von ca. 52% korrekt rekonstruieren.

 

[Kampfmelone]

Wenn sogar ganze Teile von einem Bild noch da waren wurde nicht komplett überschrieben. "Ungenauigkeiten" im Lesekopf hin oder her, so ein Stückchen Bild sind eine ganze Menge bytes, die noch zusammenhängend da waren.

Einmal überschreiben reicht, wenn alle Sektoren überschrieben werden. Das ist aber auch nicht durch bloßes Mehrfachüberschreiben sichergestellt.

 

[BurnerR]

Nachtrag:
Kleine Google Suche ergab das hier.
Der Autor bezieht sich in erster Linie auf das Paper von Gutmann. Er führt an, dass die Gerüchte das Behörden überschriebene Sektoren wiederherstellen können auf das Gutmann Paper zurückzuführen sind. Gutmann führt jedoch weder eine explizite Quelle zu der Aussage an, noch fand der Autor Hinweise in den angegebenen Quellen des Papers.
Er führt außerdem aus, was ich vorher schon angedeutet habe:

In fact, data written to the disk prior to the data whose recovery is sought will interfere with recovery just as must as data written after - the STM microscope can't tell the order in which magnetic moments are created. It isn't like ink, where later applications are physically on top of earlier markings.

Der Autor fand keine Quellen, die irgendwie nahelegen, dass so etwas wie wiederherstellen von überschriebenen Sektoren.

Zum Abschluss der vermutlich interessanteste Abschnitt.

The references Gutmann provides suggest that his piece is much overwrought. None of the references lead to examples of sensitive information being disclosed. Rather, they refer to experiments where STM microscopy was used to examine individual bits, and some evidence of previously written bits was found.

There is a large literature on the use of Magnetic Force Scanning Tunneling Microscopy (MFM or STM) to image bits recorded on magnetic media. The apparent point of this literature is not to retrieve overwritten data, but to test and improve the design of drive read/write heads. Two of the references (Rugar et al, Gomez et al) had pictures of overwritten bits, showing parts of the original data clearly visible in the micro-photograph. These were considered by the authors as examples of sub-optimal head design. The total number of bits seen was 6 in one photo and 8 in the other. Neither photo-micrograph was a total success, because in one case only transitions from one to zero were visible, and in the other case one of the transitions was ambiguous. Nevertheless, I accept that overwritten bits might be observable under certain circumstances.

So I can say that Gutmann doesn't cite anyone who claims to be reading the under-data in overwritten sectors, nor does he cite any articles suggesting that ordinary wipe-disk programs wouldn't be completely effective.

 

[accC]

Auch sehr aufschlussreich ist der von vielen Sicherheitssuites angegebene Artikel zum sicheren Überschreiben nach Millitärstandards. Wenn man den Artikel dann mal nachliest oder sich auf Wikipedia durchliest, findet man eine Abhandlung darüber, dass das nur für etwa Disketten galt und bei neueren Datenträgern keinerlei Relevanz mehr hat.
Wie gesagt, 1x überschreiben reicht normalerweise aus.

Aber ich würde mal sagen, wer wirklich auf Nummer sicher gehen will legt die Festplatte für etwa 50 Minuten auf Maximalstufe in den Microwellenautomat.. Eventuell noch einem Säurebad unterziehen und/ oder einer Nachbehandlung mit dem Bunzenbrenner. Und wem das noch nicht sicher genug ist, für den bleibt ja noch Antimaterie.

 

[drfuture]

Zumindest bei SSD's scheint das ATA-Lösch komando (leider)nicht immer fehlerfrei implementiert worden zu sein .- siehe Artikel http://static.usenix.org/event/fast11/tech/full_papers/Wei.pdf von 2011, leider habe ich bisher nichts aktuelleres gefunden - der Artikel ist aber bei uns in der Arbeit auf den Tisch gekommen als wir das Thema Datensicherheit mit der schönen neuen Technik SSD diskutiert haben.
Mit dem Ergebnis das die SSD bei außer betrieb-nahme geschreddert werden wird da es sonst aktuell keinen anderen zertifizierbaren weg gibt Daten nachhaltig und sicher von SSD's zu löschen.

 

[BurnerR]

Die Frage ist immer "wofür" bzw. "wogegen".
Ich hab noch nie einen PC/Laptop weiterverkauft, daher stellte sich die Frage nie.
Ich denke letztendlich würde ich, so sensible Daten betroffen sind, einfach die Festplatte physikalisch effektiv vernichten.
Privat finde ich persönlich reicht ein normales kaputt machen, so das die festplatte nicht ohne weiteren Aufwand gelesen werden kann und anschließendes Entsorgen aus.
Das jemand im Müll wühlt, meine Festplatte rausfischt und sie physikalisch rekonstruiert um an die vorher geschriebenen Daten dranzukommen wäre für mich kein in Betracht zu ziehendes Szenario.