Forenzika i Istraga

Obrisani podaci nisu obrisani

Faruk Višća
avgust 2009.

.

Recycle Bin (kanta za smetlje) i brisanje podataka

Kao što je opće poznato, prilikom brisanja fajla ili foldera isti se po defaultu nepovratno ne brišu nego se premještaju u Recycle Bin odakle ih je lahko ponovo vratiti. U prethodnoj rečenici bar tri riječi trebalo bi staviti pod navodnike, ali da ne komplikujem. Idemo dalje.

Neki misle da nakon pražnjenja Recycle Bin-a odnosno nakon brisanja podataka iz te kante za smetlje ti podaci bivaju definitivno i nepovratno obrisani. To nikako nije tačno.

Tačno je da su ti podaci nevidljivi za sam operativni sistem ali stvarno stanje je takvo da oni nisu obrisani i da ih je u zavisnosti od okolnosti moguće vratiti.

Da bi smo shvatili o čemu se ovdje radi potrebno je poznavati samo nekoliko principa na kojim radi file sistem ili bolje rečeno kako se to podaci zapisuju i "brišu" na disku.

Prvo digresija u cilju razumijevanja kroz nekoliko riječi o fajl sistemu.

File system

Dok operativni sistem upravlja cjelokupnim računarskim sistemom tj. hardwerom i softwerom računara dotle file sistem ima specifičniju ulogu.

Uloga file sistema je da se brine za smiještanje i manipulaciju podacima na mediju na kojim se podaci nalaze.

Jednostavno govoreći, file sistem posjeduje tefter u koji zapisuje gdje se koji podatak nalazi na mediju, briše, fragmentira...

Najpoznatiji file sistemi su FAT, NTFS, ext3, reiser...

Zapisivanje podatka

Zamislimo sada da sa nekog medija (npr. CD-a) trebamo na svoj hard disk presnimiti neki dokument ili da smo u Word-u otvorili prazan dokument i želimo da ga snimimo, svejedno je. Dakle, želimo snimiti dokument na hard disk.

Ono što svaki file sistem radi jeste da pronađe slobodan prostor gdje će zapisati podatke, zapiše ih i u svoj tefter zatefteri gdje se oni nalaze. Kada sljedeći put budemo željeli pristupiti tom dokumentu naša aplikacija (npr. Word) će se obratiti operativnom sistemu (npr. Windows) koji će se obratiti file sistemu (npr. FAT32) da nađe dokument. File sistem gleda u tefter (npr. u ovom slučaju FAT), pronalazi lokaciju tj. pointer koji govori gdje se nalazi početak dokumenta i to je to.

Dakle, file sistem između ostalog ima tablu u kojoj se nalaze pointeri na lokacije podataka. I ne samo to.

Brisanje podataka

Kao što sam prije rekao file sistem se brine za manipulaciju podacima odnosno medijem za smještanje podataka što uključuje i brisanje podataka zbog čega i pišem ovaj tekst.

Šta radi file sistem kad mi kažemo operativnom sistemu da brišemo dokument?

Pazite sada, ovo je najvažnija rečenica u cijeloj priči: prilikom brisanja dokumenta file sistem neće dirati prostor na kojem se nalazi dokument nego će obrisati pointer u svojoj tabeli (tefteru) i naznačiti da je navedeni prostor slobodan za zapisivanje novih podataka.

Da, dokument je tu. Vi tj. operativni sistem ga ne vidi jer nema pointera koji je govorio gdje se nalazi dokument ali sam dokument je tu sa svim svojim sadržajem, dokument je netaknut.

Vraćanje obrisanih podataka

Obratite pažnju na dio u gornjoj boldiranoj rečenici u kojem se kaže da se prostor u kojem stoji dokument koji je "obrisan" biva označen kao slobodan za zapisivanje novih podataka.

To znači da svoje podatke možemo vratiti ukoliko nisu prepisani drugim. Što je veći hard disk, što je manja aktivnost na njemu i što se brže sjetite da trebate nešto što je "obrisano" vratiti to je veća mogućnost da spasite podatke.

U jednostavnijim slučajevima podatke je moguće vratiti i besplatnim programčićima koje možete naći na internetu. Složenije slučajeve i slučajeve gdje se radi o važnim podacima treba prepustiti laboratorijima koji posjeduju specijalizirani software poput EnCase-a.

Napominjem da besplatni programčići i nestručno rukovanje mogu napraviti štetu većom nego što već jeste. Također, laboratoriji ne čine čuda i ne mogu vratiti ono čega nema ali pošto rade po pravilima barem ste sigurni da vam neće napraviti dodatnu štetu na mediju sa podacima.

Sigurno brisanje tj. nepovratno uništavanje podataka

Jedan od sigurnijih načina za nepovratno uništavanje podataka jeste da medij na kojem se nalaze podaci preciznim mljevenjem sameljemo u prašinu, a istu zatim termički obradimo na temperaturi od 2500 stepeni celzijusa.

"Šalu na stranu", što bi reko moj prijatelj A.E.

Postoji mnogo legendi o sigurnom brisanju i vraćanju "obrisanih" podataka. Činjenica je da mnoge državne agencije širom svijeta fizički uništavaju hard diskove nakon prestanka upotrebe. Obratite pažnju na oglase kada npr. ozbiljnije agencije, ambasade i sl. prodaju zastarjele računare - prodaju ih bez hard diskova.

Ipak, mi obični smrtnici možemo biti sigurni u softwerske metode uništavanja podataka kako bi smo zaštitili svoju privatnost.

Softwerski metod sastoji se u tome da se cjelokupan medij ili samo određeno mjesto na mediju prepiše drugim podacima, obično nizom nula ili nizom jedinica.

Države, a često i određene institucije imaju svoje vlastite algoritme za softwersko uništavanje podataka. Ti algoritmi se međusobno razlikuju u broju prolaza i vrsti podataka kojima se prepisuje medij sa podacima koji se žele uništiti.

Glasovi razuma (jel baš) vele da je dovoljan jedan prolaz (jedno prepisivanje), dok određeni paranoici koriste algoritme sa desetak i više prepisivanja različitim podacima.

Ali, vi se nedajte zavarati, mljevenje na sitno i termička obrada su po meni najbolji metod za uništenje podataka. Ili baš i nisu? Možda je ipak bolje dobro samljeti pa rastopiti (dobro pazite da nešto ne ispari jer ko zna), a onda, kad se ohladi opet samljeti pa rastopiti i tako 17 puta...

Nisam baš toliki paranoik, a nemam ni šta da krijem pa ću uskoro ako Boga da detaljnije pisati o sigurnom brisanju podataka i opisati dva dobra besplatna programa za sigurno brisanje podataka. Tek toliko privatnosti radi, bar za ono na disku, na to bar imamo pravo.