Kasowanie plików
Skuteczne wykasowanie danych z komputera nie jest takie proste jakby się to wydawało na pierwszy rzut oka.
Przypuśćmy, że utworzyliśmy na komputerze (np. na twardym dysku, lub na dyskietce) plik o nazwie tajemnica a w nim treść: To jest tajemnica, ażeby wykasować taki plik najczęściej wykonujemy jedną z poniższych czynności:
Wrzucamy go do śmieci. Jest to najgorszy sposób na pozbywanie się plików, ponieważ wystarczy zajrzeć do śmietnika i tam go odnaleźć.
Kasujemy plik. Teraz nie odnajdziemy wśród plików pliku o nazwie tajemnica i tym samym nie odnajdziemy treści ukrytej w tym pliku. Tylko pozorne zwycięstwo! Zarówno nazwa jak i treść pliku są na komputerze o czym przekonamy się w dalszej części!
Formatujemy dysk, tak zrobił pewien polityk gdy okazało się, że podejrzano go o działania niezgodne z prawem. Celem zatarcia śladów swojej działalności polityk ten sformatował dysk mając nadzieję, że wykasował wszystkie dane na dysku. Również nieprawda!
Można jeszcze zniszczyć fizycznie dysk (spalić, połamać młotkiem) i tylko wówczas jest duża szansa, że nikt już nie odczyta zawartości dysku. Również nieprawda! Często udaje się odczytać informacje nawet ze zniszczonego dysku.
Niszczenie plików
Zobaczmy jak przechowywane są dane na komputerze.
Tworzymy dyskietkę do eksperymentowania
Do zbadania jak to jest z kasowaniem plików możemy użyć prawdziwej dyskietki ale będzie z tym dużo roboty. Ponadto dyskietki wychodzą już z użycia i dlatego stworzymy obraz prawdziwej dyskietki na dysku naszego komputera.
Znajdujemy w swoich zasobach dowolny, w miarę duży (większy niż pół MB) plik i kopiujemy go pod nazwą floppy.img
Na razie jest to kopia pliku źródłowego.
Traktujemy ten plik jako obraz dyskietki i zakładamy system plików na tej dyskietce:
mkfs.msdos floppy.img
polecenie mksf.msdos służy, jak sama nazwa wskazuje (make file system MicrosofDOS) do tworzenia systemu plików jaki używany jest w DOS czyli systemie operacyjnym na którym oparty jest WindowsXX.
Po wykonaniu tego polecenia nasz plik stał się wierną kopią dyskietki o wielkości takiej jak plik źródłowy ale o nietypowej wielkości - nie ma to dla nas żadnego znaczenia.
Teraz możemy "włożyć" naszą dyskietkę do napędu i odczytać jej zawartość. Robimy to w ten sposób:
mount -o loop floppy.img /mnt
Wyjaśnienie:
- mount polecenie podłączania systemu plików na dowolnym nośniku (CDromie, dyskietce, pamięci USB itp) do komputerowego systemu plików.
- -o loop opcja powyższego polecenia, mówiąca, że tak na prawdę, to montowane urządzenie jest plikiem na dysku twardym naszego komputera, w naszym przypadku stworzony przez nas plik.
- /mnt standardowy katalog w każdym systemie plików służący do przechwytywania zamontowanego systemu plików.
- i to już wszystko. Zaglądamy teraz do katalogu /mnt i stwierdzamy, nic tam nie ma bo nic nie wpisaliśmy do naszej "dyskietki" floppy.img
Wpiszmy teraz cokolwiek do katalogu /mnt np. przenieśmy tam dowolny plik z naszych zasobów. Dla przykłady przenieśliśmy tam plik o nazwie tajemnica o treści "To jest tajemnica"
"Wyjmujemy" dyskietkę:
umount /mnt
Jak łatwo się domyśleć jest to czynność odwrotna do mount (od angielskiego un mount)
Po wykonaniu powyższego polecenia zginęło wszystko w katalogu /mnt (bo przecież "wyjęliśmy" dyskietkę.
Zobaczmy teraz jaka jest zawartość pliku floppy.img. Musimy wykorzystać jakiś edytor tekstu. Proponujemy wykorzystać edytor o nazwie hexedit, ponieważ jest to najlepsze narzędzie do przeszukiwania jakichkolwiek plików nie tylko tekstowych:
hexedit floppy.img
Pojawia się zawartość każdego bajtu naszego plku w postaci liczby oraz kodu ASCII. Przeszukujemu plik (CTRL S) celem znalezienia frazy "To jest tajemnica" i rzeczywiście na naszej "dyskietce" jest taka fraza. Widzimy ponadto, że na dyskietce jest dużo śmieci
(prawdopodobnie zawartość pierwotnego pliku).
Zamontujmy drugi raz naszą dyskietkę, wykasujmy zawartość i odmontujmy.
Sprawdzamy ponownie zawartość edytorem hexedit i stwierdzamy, że na dyskietce nadal istnieją dane (To jest tajemnica), które chcieliśmy wykasować!
Odmontujmy dyskietkę i sformatujmy ją (mkfs.mcdos), przeszukajmy edytorem hexedit - nadal wszystko jest na dyskietce! Co robić?
Powtórzmy wszystko od początku z tym, że przed wykasowaniem z "dyskietki" pliku tajemnica otwórzmy go jakimkolwiek edytorem i za wszystkie literki "To jest tajemnica" wstawmy xx xxxx xxxxxxxxx i teraz dopiero wykasujmy plik. Po takim zabiegu stwierdzimy, że po naszej tajemnicy nie pozostał żaden ślad!
Wnioski. Jak skutecznie wykasować plik z nośnika
Zamieniamy każdy bajt pliku do wykasowania dowolną przypadkową zawartością, czynność tę powtarzamy kilkukrotnie. Robimy to tak:
dd if=/dev/urandom of=tajemnica bs=4 count=3
Wyjaśnienie:
- dd polecenie do kopiowania plików. (w DOS rawrite).
- if plik wejściowy (input file).
- of plik wyjściowy (output file), ten do wykasowania.
- bs wielkość bloku danych przeważnie 1, 2, 4, 512, 1024...
- count ilość skopiowanych bloków danych.
- /dev/urandom specjalny plik z przypadkową zawartością istniejący zawsze w systemie.
- Dopiero teraz kasujemy plik lub wrzucamy go do śmieci, tego pliku już nikt nie odczyta.
Po tej operacji plik wygląda tak, widać, że jest kompletnie nieczytelny.
Pamiętajmy kopiowanie pliku i kasowanie oryginału zostawia ślad!
Jeśli chcemy skutecznie wykasować plik to musimy uważać na wszelkiego rodzaju kopie, czasami system tworzy różne kopie robocze a to nic innego, jak zachęta dla Was do podglądania.
Korzystając z edytora hexedit możemy znaleźć położenie śladów po niepotrzebnych plikach. Wpisanie w te miejsca przypadkowej zawartości (patrz wyżej) jest skuteczne ale prawdopodobnie, niechcący, zniszczymy inne potrzebne pliki. Należy uważać.
Kasowanie robimy tak jak dowolny napis na kartce papieru. Przypuśćmy, że chcemy zrobić nieczytelny napis długopisem na kartce. Piszemy w tym miejscu różne inne słowa aż wszystko będzie kompletnie zamazane. Gdybyśmy np. wytarli gumką do wycierania ten napis to rzeczywiście barwnik zostałby usunięty ale pozostałby lekko wgnieciony papier co pozwoliłoby na odtworzenie napisu pierwotnego. Kilkukrotne pisanie po papierze w tym samym miejscu utrudnia znakomicie odszyfrowanie napisu pierwotnego. Podobnie jest z zapisem na dysku. Na szczęście dla hackerów, prawie zawsze pozostają jakieś ślady na podstawie, których można odczytać używając specjalistycznych metod.
Jedynie dobre zniszczenie mechaniczne może zniszczyć informację zapisaną na dysku! Strzeżmy się.
