um pouco mais sobre wipe

Sempre que falo sobre a importância da sanitização de mídias em um processo forense, gero polêmicas e discussões (saudáveis) sobre o tema: Wipe é importante? Qual método utilizar? Existem equipamentos "mágicos" que recuperam dados sobrescritos?

Existe uma característica nos discos atuais que, devido a forma como eles operam, permitem que dados sejam recuperados mesmo após remoção dos dados do disco. Esta caratcerística se chama data remanence e pode recuperar os dados empregando-se uma técnica chamada de Magnetic force microscope, ou MFM.

Como se proteger? Sanitização! Alguns padrões de wipe reconhecidos no mercado:

1. Standard overwite (1 pass)

Pass	Binary Data	Hex Data
1	00000000 00000000 00000000	00 00 00

2. DoD 5220.22-M(E) (3 passes) (http://4n6.cc/OBM5I  /  http://4n6.cc/F4pfq)
It is US depatment of defense standard.

Pass	Binary Data	Hex Data
1	00000000 00000000 00000000	00 00 00
2	11111111 11111111 11111111	FF FF FF
3	(Random)	(Random)

3. DoD 5220.22-M(ECE) (7 passes) (http://4n6.cc/OBM5I  /  http://4n6.cc/F4pfq)
It is US depatment of defense standard.

Pass	Binary Data	Hex Data
1	(Random byte)	(Random)
2	(Random complement byte)	(Random)
3	(Random data)	(Random)
4	(Random data)	(Random)

5	(Random byte)	(Random)
6	(Random complement byte)	(Random)
7	(Random data)	(Random)

4. AR380-19 (3 passes) (http://4n6.cc/2BbEZ   /   http://4n6.cc/lcxzW)
It is US Army standard.

Pass	Binary Data	Hex Data
1	(Random data)	(Random)
2	(Random byte)	(Random)
3	(Random complement byte)	(Random)

5. Russian GOST P50739-95 (2 passes)

Pass	Binary Data	Hex Data
1	00000000 00000000 00000000	00 00 00
2	(Random)	(Random)

6. Gutmann (35 passes) (http://4n6.cc/gT3dL    /    http://4n6.cc/e7ATc)

Pass	Binary Data	Hex Data
1	(Random)	(Random)
2	(Random)	(Random)
3	(Random)	(Random)
4	(Random)	(Random)
5	01010101 01010101 01010101	55 55 55
6	10101010 10101010 10101010	AA AA AA
7	10010010 01001001 00100100	92 49 24
8	01001001 00100100 10010010	49 24 92
9	00100100 10010010 01001001	24 92 49
10	00000000 00000000 00000000	00 00 00
11	00010001 00010001 00010001	11 11 11
12	00100010 00100010 00100010	22 22 22
13	00110011 00110011 00110011	33 33 33
14	01000100 01000100 01000100	44 44 44
15	01010101 01010101 01010101	55 55 55
16	01100110 01100110 01100110	66 66 66
17	01110111 01110111 01110111	77 77 77
18	10001000 10001000 10001000	88 88 88
19	10011001 10011001 10011001	99 99 99
20	10101010 10101010 10101010	AA AA AA
21	10111011 10111011 10111011	BB BB BB
22	11001100 11001100 11001100	CC CC CC
23	11011101 11011101 11011101	DD DD DD
24	11101110 11101110 11101110	EE EE EE
25	11111111 11111111 11111111	FF FF FF
26	10010010 01001001 00100100	92 49 24
27	01001001 00100100 10010010	49 24 92
28	00100100 10010010 01001001	24 92 49
29	01101101 10110110 11011011	6D B6 DB
30	10110110 11011011 01101101	B6 DB 6D
31	11011011 01101101 10110110	DB 6D B6
32	(Random)	(Random)
33	(Random)	(Random)
34	(Random)	(Random)
35	(Random)	(Random)

Como curiosidade, mostro este caso de recuperação de dados críticos a partir de HDs encontrados nos escombros do World Trade Center, pós atentados de 09/11:

http://www.youtube.com/watch?v=MSQBLpb_OW0

Para quem quiser saber mais sobre wipe, Guttman e a recuperação de dados deletados, recomendo a leitura dos seguintes papers:

• Overwriting Hard Drive Data: The Great Wiping Controversy: 4n6.cc/R8Iad
• Recovering Unrecoverable Data: 4n6.cc/mMlpO
• NIST Special Publication 800-88: 4n6.cc/o7guB

Outras leituras recomendadas:

http://www.anti-forensics.com/disk-wiping-one-pass-is-enough
http://www.anti-forensics.com/disk-wiping-one-pass-is-enough-part-2-this-time-with-screenshots