Prikaz SSD čipa na naslovnoj stranici

Sigurno brisanje SSD-a: metode, koraci i provjera

SSD se sigurno briše naredbom za sanitizaciju koju izvršava kontroler samog diska. To su ATA Secure Erase, NVMe Sanitize ili kriptografsko brisanje. Brisanje datoteka, pražnjenje koša za smeće i brzo formatiranje nisu dovoljni. SSD podatke zapisuje drugačije od klasičnog hard diska: kopije podataka ostaju u ćelijama i rezervnim blokovima do kojih operativni sustav ne dolazi. U nastavku objašnjavamo zašto je tako, koje metode postoje, kako izgleda postupak korak po korak i kako provjeriti rezultat. Objašnjavamo i kada brisanje treba prepustiti laboratoriju, bilo zato što Vam treba dokaz za reviziju, bilo zato što se na disku nalaze podaci koje prvo treba spasiti.

Datarecovery
datarecovery.hr
Sigurno izbrišite podatke sa SSD-a
Datarecovery pruža usluge sigurnog brisanja, uz laboratorijsku stručnost za slučajeve kada prije brisanja treba spasiti podatke.

Saznajte više o uslugama

Ukratko

  • Formatiranje i brisanje datoteka ne uklanjaju pouzdano podatke sa SSD-a. Wear levelling i rezervna flash memorija čuvaju stare kopije koje sustav ne vidi.
  • Pouzdane metode su ugrađene naredbe kontrolera (Secure Erase, Sanitize) i kriptografsko brisanje. Fizičko uništenje je krajnja mjera.
  • Prije brisanja napravite sigurnosnu kopiju. Nakon ispravno izvedene sanitizacije podaci se više ne mogu vratiti.
  • Tvrtke prema GDPR-u moraju brisati osobne podatke kada više nisu potrebni i za revizije moraju moći dokazati brisanje.
  • Ako SSD otkazuje, a na njemu su važni podaci, nemojte ga brisati ni dalje koristiti. Prvo se obratite laboratoriju za spašavanje podataka.

Sadržaj

Zašto formatiranje i brisanje datoteka nije dovoljno

Kod klasičnog hard diska podatak ima stalno mjesto na magnetskoj ploči. Prepišete li taj sektor, stari sadržaj nestaje. SSD ne radi tako. Flash memorija ne može prepisati postojeću stranicu na istom mjestu, pa kontroler novi sadržaj zapisuje u slobodan blok, a stari blok označava kao zastario. Brisanje se zatim odvija na razini cijelih blokova, ne pojedinih sektora.

Posljedica je da isti dokument može postojati u više fizičkih kopija. Istraživanje predstavljeno na konferenciji USENIX FAST 2011 pokazalo je da je sloj za prevođenje adresa (FTL) tijekom garbage collectiona stvorio do 16 zastarjelih kopija nekih datoteka. Isti autori utvrdili su da nijedna tehnika koja je za hard diskove služila za brisanje pojedinačnih datoteka nije bila učinkovita na SSD-ovima.

Zato vrijede tri jednostavna pravila:

  • Brisanje datoteke uklanja samo zapis u datotečnom sustavu. Što se zatim događa s ćelijama, ovisi o TRIM-u i kontroleru.
  • Brzo formatiranje stvara novu, praznu strukturu datotečnog sustava, ali ne jamči da su sve ćelije obrisane.
  • Prepisivanje nulama ili slučajnim podacima, kakvo se godinama koristilo na HDD-ovima, kod SSD-a ne dopire pouzdano do svih fizičkih lokacija.

Ako Vas zanima zašto Windows datoteke prvo premješta u koš, pogledajte objašnjenje zašto se datoteke brišu u koš za smeće. Razlike u ponašanju dviju vrsta diskova detaljno opisujemo u vodiču o razlikama SSD i HDD oporavka podataka.

Kako SSD zapravo čuva podatke

Tri mehanizma određuju što ostaje na disku nakon brisanja. Razumjeti ih znači razumjeti zašto je potrebna sanitizacija na razini kontrolera.

TRIM

TRIM je naredba kojom operativni sustav javlja disku koji logički blokovi više ne sadrže žive podatke. Kontroler ih zatim u pozadini, tijekom garbage collectiona, može fizički obrisati. TRIM ubrzava rad diska i često znači da se obrisana datoteka teško ili nikako ne može vratiti. Ipak, on nije metoda sigurnog brisanja. Ne određujete Vi kada će se blokovi fizički obrisati, a TRIM ne obuhvaća rezervna područja. Više o tome pročitajte u našem tehničkom vodiču o TRIM naredbi.

Wear levelling

Svaka flash ćelija podnosi ograničen broj ciklusa pisanja. Kontroler zato zapise ravnomjerno raspoređuje po cijeloj memoriji. Za trajnost diska to je dobro, ali znači da operativni sustav ne zna gdje se fizički nalazi neki podatak. Program koji „prepisuje datoteku” zapravo piše na novo mjesto, a staro ostaje netaknuto dok ga kontroler ne očisti.

Rezervni blokovi (over-provisioning)

SSD ima više fizičke memorije nego što prijavljuje kao kapacitet. Taj višak služi za zamjenu istrošenih ćelija i za rad garbage collectiona. Prema istoj studiji, testirani SSD-ovi sadržavali su 6 do 25 posto više fizičke flash memorije od prijavljenog logičkog kapaciteta. Čak ni punjenje cijelog diska ne dopire do tog područja. Do njega pouzdano dolazi samo kontroler, kada primi naredbu za sanitizaciju.

Metode sigurnog brisanja: Clear, Purge i Destruct

Norma IEEE 2883-2022 dijeli sanitizaciju na tri razine: Clear, Purge i Destruct. Ista podjela postoji i u smjernicama američkog instituta NIST, koje mnoge tvrtke koriste kao referencu. Sažetak za poslovne korisnike donosimo u članku o NIST smjernicama za brisanje podataka.

MetodaRazinaKako radiKada se koristi
Prepisivanje logičkog prostoraClearSvi adresabilni blokovi prepisuju se novim sadržajemPonovna upotreba diska unutar iste organizacije, uz niže zahtjeve zaštite
ATA Secure ErasePurgeKontroler briše sve ćelije, uključujući rezervna područjaSATA SSD-ovi koji se prodaju, vraćaju ili predaju trećoj strani
NVMe Sanitize / Format sa sigurnim brisanjemPurgeKontroler briše blokove ili mijenja ključ enkripcije na cijelom medijuNVMe SSD-ovi u prijenosnicima, radnim stanicama i poslužiteljima
Kriptografsko brisanjePurgeUništava se ključ kojim su podaci kriptirani, pa sadržaj postaje nečitljivSamokriptirajući diskovi i sustavi s hardverskom enkripcijom
Fizičko uništenjeDestructUsitnjavanje ili drugo uništenje memorijskih čipovaNeispravni diskovi, najviša razina povjerljivosti, kraj životnog vijeka

Secure Erase i Sanitize

Ovo su naredbe ugrađene u firmware diska. Kada ih kontroler primi, briše sve ćelije kojima upravlja, a ne samo one koje vidi operativni sustav. Autori studije s USENIX-a zaključili su da su ugrađene naredbe učinkovite, ali ih proizvođači ponekad neispravno implementiraju. Zbog toga se kod poslovnih diskova uz brisanje uvijek radi i provjera rezultata.

Kriptografsko brisanje

Mnogi moderni SSD-ovi sve podatke automatski kriptiraju internim ključem. Kriptografsko brisanje sanitizira taj ključ za enkripciju, a bez njega zapisani podaci postaju neupotrebljivi. Postupak traje nekoliko sekundi. IEEE 2883-2022 propisuje uvjete pod kojima se ova metoda prihvaća kao razina Purge, među ostalim uvjete za samu enkripciju medija i za generiranje ključa. O ulozi enkripcije u zaštiti podataka pišemo i u članku o kriptiranju i zaštiti podataka.

Fizičko uništenje

Kada disk ne reagira na naredbe, kada je mehanički ili elektronički oštećen ili kada pravila tvrtke traže najvišu razinu sigurnosti, pouzdano rješenje je uništenje memorijskih čipova. Kod SSD-a nije dovoljno probušiti kućište. Podaci su u NAND čipovima na tiskanoj pločici, pa uništeni moraju biti upravo čipovi.

Prije brisanja: što pripremiti

Sigurno brisanje je nepovratno, i to je njegova svrha. Zato prije pokretanja postupka provjerite sljedeće:

  1. Sigurnosna kopija. Upute proizvođača diskova izričito traže da se prije Secure Erasea napravi sigurnosna kopija podataka. Provjerite otvaraju li se kopirane datoteke, a ne samo postoje li.
  2. Ključevi za enkripciju. Ako koristite BitLocker ili drugu enkripciju, spremite ključ za oporavak i provjerite trebate li stare podatke. Zašto je ključ važan, opisali smo u tekstu o BitLocker oporavku nakon Windows ažuriranja.
  3. Licence i računi. Deaktivirajte licence vezane uz uređaj i odjavite se iz poslovnih aplikacija.
  4. Identifikacija diska. Zapišite model, serijski broj i sučelje (SATA ili NVMe). Za poslovnu evidenciju to je temelj zapisnika o brisanju.
  5. Napajanje. Prijenosnik priključite na punjač. Prekid napajanja usred sanitizacije može disk ostaviti u nedefiniranom stanju.
  6. Stanje diska. Ako disk javlja greške, usporava, nestaje iz sustava ili se ne može pokrenuti, a podaci Vam trebaju, ne pokrećite brisanje. Takav disk prvo treba dijagnostiku.

Sigurno brisanje SSD-a korak po korak

Postupak se razlikuje ovisno o proizvođaču, ali logika je ista:

  1. Provjerite podržava li disk naredbu. Većina SATA i NVMe SSD-ova podržava Secure Erase, Sanitize ili kriptografsko brisanje. Podatke o tome navodi proizvođač u dokumentaciji diska.
  2. Odaberite okruženje. Disk na kojem radi operativni sustav ne može se obrisati iznutra. Proizvođači za neke sistemske diskove predviđaju pokretanje s bootable medija, a neka računala nude funkciju sigurnog brisanja izravno u UEFI/BIOS sučelju.
  3. Riješite stanje „frozen”. Neki SATA diskovi nakon pokretanja računala blokiraju sigurnosne naredbe. To se obično rješava ponovnim pokretanjem ili kratkim stanjem mirovanja, prema uputama proizvođača.
  4. Pokrenite naredbu i potvrdite je. Sustav će tražiti potvrdu jer je postupak nepovratan. Provjerite još jednom da ste odabrali pravi disk.
  5. Pričekajte završetak. Kriptografsko brisanje traje sekunde, a blokovsko brisanje može trajati dulje. Ne prekidajte napajanje.
  6. Provjerite rezultat. Nakon brisanja provjerite jesu li podaci uklonjeni. Postupak provjere opisujemo u nastavku.
  7. Dokumentirajte. Za poslovne uređaje zabilježite datum, metodu, model i serijski broj diska te tko je postupak izveo.

Sistemski, zaključani, neispravni SSD i RAID

Najviše problema nastaje kod diskova koji nisu „obični” prazni SSD spojeni na računalo.

Disk s instaliranim Windowsom. Sistemski disk ne može obrisati sam sebe dok je u upotrebi. Potreban je vanjski medij za pokretanje ili funkcija u UEFI/BIOS-u. Ponovna instalacija Windowsa uz brisanje particija nije sigurno brisanje.

Zaključan disk. Ako je na disku postavljena ATA lozinka ili hardverska enkripcija s nepoznatim ključem, naredbe se mogu odbiti. Ovdje treba stručna procjena, posebno kada nije jasno je li netko kasnije trebao podatke s tog diska.

SSD u RAID polju. Alati proizvođača često ne vide diskove iza RAID kontrolera. U uputama jednog proizvođača izričito stoji da uslužni program ne prepoznaje SSD-ove u hardverskom ili softverskom RAID-u. Ako brisanje ne uspije, iste upute savjetuju ponovni pokušaj, promjenu priključka ili kontakt s podrškom. Kod poslužitelja i NAS uređaja diskovi se obično brišu pojedinačno, nakon što se izvade iz polja, a prije toga se mora potvrditi da na polju nema podataka koji još trebaju. Ako je RAID već prijavio grešku, pročitajte naš tekst o spašavanju podataka s RAID polja prije bilo kakve intervencije.

Neispravan disk. SSD koji se ne prepoznaje ne može primiti naredbu za brisanje. Ako se disk zbrinjava, sigurno rješenje je fizičko uništenje čipova uz zapisnik. Ako su na njemu važni podaci, rješenje je laboratorijsko spašavanje podataka.

Sistemski, zaključani, neispravni SSD i RAID

Kako provjeriti je li SSD stvarno obrisan

Provjera je najčešće preskočen korak, a za tvrtke je najvažniji. Osnovna provjera s računala izgleda ovako:

  • disk ne smije imati particije ni datotečni sustav;
  • čitanje sirovih sektora na nasumičnim mjestima vraća nule ili drugi fiksni uzorak;
  • datoteke koje su prije bile na disku ne smiju se pojaviti ni pretraživanjem po potpisima.

To ipak nije cijela slika. Svaka provjera preko SATA, NVMe ili USB sučelja vidi samo logički adresni prostor koji kontroler prikazuje. Nule u logičkom prostoru ne dokazuju da su obrisane i rezervne ćelije. Zato studija s USENIX-a zaključuje da pouzdana sanitizacija traži ugrađene operacije čiji se učinak može provjeriti. U istom radu navodi se da dvostruko prepisivanje cijelog vidljivog prostora obično, ali ne uvijek, sanitizira disk.

Za privatnog korisnika koji prodaje prijenosnik dovoljna je ispravno izvedena naredba proizvođača i osnovna provjera. Za tvrtku koja zbrinjava desetke diskova s osobnim ili poslovnim podacima mjerodavni su pisani dokaz i neovisna provjera.

Obveze tvrtki u Hrvatskoj i EU-u

Za tvrtke u Hrvatskoj vrijedi Opća uredba o zaštiti podataka (GDPR). Prema članku 17. osobni podaci moraju se izbrisati bez nepotrebnog odgađanja kada više nisu potrebni, a za revizije treba moći pružiti dokaz brisanja. U praksi to znači:

  • evidenciju uređaja, sa serijskim brojevima diskova koji su sadržavali osobne podatke;
  • definiranu metodu brisanja za svaku vrstu medija (SSD, HDD, USB, mobitel, snimači videonadzora);
  • zapisnik ili certifikat za svaki obrisani ili uništeni disk;
  • kontrolu nad lancem predaje kada uređaji idu na servis, prodaju, otpis ili povrat iz najma.

Posebno pazite na uređaje koji se ne doživljavaju kao računala: snimače videonadzora, NAS uređaje, multifunkcijske pisače i službene mobitele. Za videonadzor smo pripremili zaseban vodič o zaštiti podataka CCTV-a. Zašto je certifikat važan i kod prodaje rabljene opreme, objašnjavamo u članku o brisanju podataka prije prodaje.

Sigurno brisanje s certifikatom u laboratoriju

Kada Vam treba dokaz da su podaci nepovratno uklonjeni, ili kada disk ne surađuje, brisanje možete prepustiti našem laboratoriju. Datarecovery (InfoLAB) radi od 1993. godine. Prema našim saznanjima jedini smo laboratorij za spašavanje podataka u regiji s potvrdom ISO 9001:2015. Sigurno brisanje i uništenje podataka izvodimo uz izdavanje certifikata za SSD-ove, hard diskove, RAID i NAS sustave, USB i flash medije te mobilne uređaje.

Datarecovery

Za tvrtke i IT odjele to znači jednu dokumentiranu uslugu umjesto ručnog brisanja disk po disk. Usluge i kontakt pronaći ćete na stranici Datarecovery laboratorija. Ako je na disku još nešto što trebate, a disk otkazuje, isti tim prvo radi dijagnostiku i spašavanje podataka u Zagrebu prema pravilu „no Data, no Money”.

Kada ne brisati: SSD koji otkazuje, a podaci su važni

U svijetu spašavanja podataka ponavlja se isti obrazac: korisnik primijeti da SSD usporava, javlja greške ili povremeno nestaje iz sustava, pa pokuša formatirati disk, reinstalirati sustav ili ga „resetirati”. Kod SSD-a svaki takav korak može pokrenuti TRIM i garbage collection, koji trajno brišu upravo one blokove u kojima su bili podaci.

Ako je Vaš SSD pokazao neki od sljedećih znakova, a podaci na njemu su važni, prestanite ga koristiti:

  • disk se povremeno ne prepoznaje ili se prikazuje s pogrešnim kapacitetom;
  • datoteke se ne otvaraju ili su oštećene;
  • sustav se ne pokreće ili se ruši pri pristupu disku;
  • disk je izložen pregrijavanju, padu ili prenaponu.

Ne pokrećite brisanje, formatiranje ni programe za popravak. Isključite uređaj i obratite nam se. Kod SSD-a vrijeme ima veću ulogu nego kod HDD-a, jer kontroler sam čisti blokove dok je disk pod naponom. Kako toplina oštećuje flash memoriju, objašnjavamo u vodiču o tome kako toplina uništava SSD, a opće savjete donosimo u tekstu o gubitku podataka. Kod urgentnih popravaka nudimo i posudbu zamjenskog laptopa, kako bi posao mogao teći dalje.

Česta pitanja

Može li se SSD oporaviti nakon sigurnog brisanja?

Nakon ispravno izvedene naredbe Secure Erase, Sanitize ili kriptografskog brisanja podaci se ne mogu vratiti. Upravo je to svrha postupka. Zato je sigurnosna kopija prije brisanja obavezna. Ako ste disk obrisali greškom, odmah ga isključite i obratite se laboratoriju da procijeni stanje.

Skraćuje li sigurno brisanje vijek trajanja SSD-a?

Jedno sigurno brisanje ne troši disk osjetno, a kriptografsko brisanje gotovo uopće ne piše po ćelijama. Višestruko prepisivanje cijelog diska, kakvo se radilo na HDD-ovima, kod SSD-a samo nepotrebno troši cikluse pisanja. Zato se za SSD koriste ugrađene naredbe kontrolera.

Je li formatiranje dovoljno prije prodaje prijenosnika?

Nije. Formatiranje i reinstalacija sustava ne jamče uklanjanje podataka iz svih ćelija i rezervnih blokova. Prije prodaje koristite sigurno brisanje, a za poslovne uređaje zatražite certifikat o brisanju.

Koja je razlika između Secure Erase i Sanitize?

Obje su naredbe kontrolera namijenjene brisanju cijelog medija. Sanitize je noviji i stroži skup operacija, osmišljen tako da obuhvati sva područja diska, uključujući predmemoriju i rezervne blokove. Koja je naredba dostupna, ovisi o sučelju i modelu diska.

Izvori

Wei i sur.: Reliably Erasing Data From Flash-Based Solid State Drives, USENIX FAST 2011
SNIA: Media Sanitization
Kioxia: SSD Utility User Guide 6.1.0.14
International Data Sanitization Consortium: Data Sanitization Regulations

Preporučeno

Objave