Daten zuverlässig von einer SSD löschen

Das zuverlässige Löschen von Daten von Speichermedien (Formatieren der Medien) ist ein entscheidender Bestandteil der sicheren Datenverwaltung. Flash-basierte Solid-State-Laufwerke (SSDs) unterscheiden sich von Festplatten sowohl in der Technologie zur Datenspeicherung (Flash-Chips gegenüber magnetischen Scheiben) als auch in den Algorithmen zur Verwaltung und zum Zugriff auf diese Daten. SSDs verwalten eine Schicht der Indirektion zwischen den logischen Blockadressen, die Computersysteme zum Zugriff auf Daten verwenden, und den rohen Flash-Adressen, die den physischen Speicher identifizieren. Die Schicht der Indirektion verbessert die Leistung und Zuverlässigkeit von SSDs, indem sie die eigenartige Schnittstelle des Flash-Speichers verbirgt und dessen begrenzte Lebensdauer verwaltet. Sie kann jedoch auch Kopien der Daten erzeugen, die für den Benutzer unsichtbar, aber von einem anspruchsvollen Angreifer wiederherstellbar sind. Aus diesem Grund ist es so wichtig, die Medien vollständig zu formatieren.

1. Gesamte Laufwerksformatieren

Es gibt vier verschiedene Techniken zur Formatierung einer gesamten SSD:

• Ausgabe eines integrierten Formatierungsbefehls
• Wiederholtes Schreiben über das Laufwerk mit normalen IO-Operationen
• Elektrische Zerstörung des Laufwerks über einen Hochspannungsgenerator
• Nutzung der Verschlüsselung

1.1 Eingebaute Formatierungsbefehle

Die meisten modernen Laufwerke verfügen über eingebaute Formatierungsbefehle, die die On-Board-Firmware anweisen, ein Formatierungsprotokoll auf dem Laufwerk auszuführen. Traditionell sieht der ATA-Sicherheitsbefehlssatz einen "ERASE UNIT"-Befehl vor, der alle vom Benutzer zugänglichen Bereiche auf dem Laufwerk durch Schreiben von binären Nullen oder Einsen löscht. Es gibt auch einen erweiterten "ERASE UNIT ENH"-Befehl, der ein vom Hersteller definiertes Muster schreibt, wie zum Beispiel eine 1-MB-Binärdatei mit einem Inhalt von 0x55. Die ACS-2/ACS-3-Spezifikation sieht einen "BLOCK ERASE"-Befehl vor, der Teil ihres SANITIZE-Funktionsumfangs ist. Er weist ein Laufwerk an, einen Blocklöschvorgang auf allen Speicherblöcken mit Benutzerdaten durchzuführen, auch wenn sie für den Benutzer nicht zugänglich sind. SP Industrial SSDs unterstützen die ACS-2/ACS-3-Spezifikationen, um eine 4-Wege-Interleave-Mehrblock-Löschfunktion bereitzustellen und ein vollständiges Laufwerks-Formatierungsverfahren effektiv durchzuführen. Zum Beispiel kann eine 1TB SSD (SP010TSSD301RW0) oder eine pSLC 512GB SSD (SP512GISSD501RW0) durch einen 5-poligen Feature Connector ausgelöst werden, um eine 4-Wege-Interleave-Mehrblock-Löschfunktion auszuführen und die vollständige Formatierung des gesamten Laufwerks in etwa 10 Sekunden abzuschließen.

1.2 Wiederholtes Schreiben auf das Laufwerk

Die zweite Formatierungsmethode besteht darin, normale IO-Befehle zu verwenden, um jede logische Blockadresse auf dem Laufwerk zu überschreiben. Das wiederholte Überschreiben durch Software liegt vielen Standards und Tools für die Laufwerksdesinfektion zugrunde. Alle von uns überprüften Standards und Tools verwenden einen ähnlichen Ansatz. Sie überschreiben das gesamte Laufwerk sequenziell mit Mustern von 1 bis 35 Bit. Die Systemanweisung 5020 der US-Luftwaffe ist ein gutes Beispiel. Zuerst wird das Laufwerk mit binären Nullen gefüllt, dann mit binären Einsen und schließlich mit einem beliebigen Zeichen. Die Daten werden dann zurückgelesen, um zu bestätigen, dass nur das beliebige Zeichen vorhanden ist. Die verschiedenen Bitmuster sollen so viele der physischen Bits auf dem Laufwerk wie möglich umschalten und es dadurch schwieriger machen, die Daten analog wiederherzustellen. Bitmuster sind auch für SSDs potenziell wichtig, aber aus anderen Gründen. Da einige SSDs Daten vor dem Speichern komprimieren, schreiben sie weniger Bits auf den Flash, wenn die Daten hoch komprimierbar sind. Dies legt nahe, dass Überlagerungsverfahren für SSDs für maximale Effektivität zufällige Daten verwenden sollten. Die Komplexität der SSD-Firmware-Translators (FTLs) bedeutet, dass die Verwendungsgeschichte vor den Überschreibvorgängen die Effektivität der Technik beeinträchtigen kann. Um dies zu berücksichtigen, haben wir SSDs getestet, indem wir die ersten Daten entweder sequenziell oder zufällig geschrieben haben. Anschließend führten wir 20 sequenzielle Überschreibungen durch. Bei den Zufallsschreibvorgängen haben wir jede logische Blockadresse genau einmal geschrieben, jedoch in einer pseudozufälligen Reihenfolge. In den meisten Fällen reichte es aus, das gesamte Laufwerk zweimal zu überschreiben, um es zu desinfizieren, unabhängig vom vorherigen Zustand des Laufwerks. Es dauert jedoch lange, um die Formatierung des gesamten Laufwerks auf diese Weise abzuschließen.

1.3 Elektrische Zerstörung des Laufwerks durch einen Hochspannungsgenerator

Das Entmagnetisieren ist eine schnelle und effektive Methode, um Festplatten zu zerstören, da es das Low-Level-Formatting der Festplatte entfernt (zusammen mit allen Daten) und den Motor der Festplatte beschädigt. Der Mechanismus, den Flash-Speicher zum Speichern von Daten verwendet, basiert jedoch nicht auf Magnetismus. Daher erwarten wir nicht, dass der Entmagnetisierer die Flash-Zellen direkt löscht. Alternativ kann ein spezielles Design mit einem Hochspannungsgenerator und einem Controller im Inneren des SSD den NAND-Flash physisch zerstören. Dies ist jedoch kein übliches Design für SSDs. SP Industrial SSDs sind mit einer integrierten, industrietauglichen aktiven PMU (Power Management Unit) ausgestattet, um eine höhere Stromversorgungsverlässlichkeit im Vergleich zu herkömmlichen diskreten Schaltungen zu bieten. Sie verfügen auch über vollständigen Schutz mit OVP, OCP, Surge Rejection und In-Out Short Protection, um einen höheren Schutz im Vergleich zum traditionellen Sicherungsentwurf zu bieten. Daher empfehlen wir nicht, diese Technik für die Formatierung des gesamten Laufwerks zu implementieren.

1.4 Verschlüsselung nutzen

Die selbstverschlüsselnde Festplatte (SED) der SSDs von SP Industrial verfügt über einen AES-256-Verschlüsselungsmotor, der eine hardwarebasierte, sichere Datenverschlüsselung ohne Leistungsverlust der SSD bietet. Diese SED folgt der TCG/Opal-Spezifikation für vertrauenswürdige Peripheriegeräte. Die Datenverschlüsselung läuft immer; jedoch werden die Verschlüsselungsschlüssel nicht verwaltet und die Daten sind nicht sicher, bis entweder die TCG/Opal- oder die ATA-Sicherheitsfunktionen aktiviert sind. Diese Technik ist ein schnelles Mittel, um das Laufwerk zu formatieren, da das Löschen des Verschlüsselungsschlüssels theoretisch dazu führt, dass die Daten auf dem Laufwerk nicht wiederhergestellt werden können.