Formatujecie karty pamięci w urządzeniach? To nie formatujecie

dodał 24 lipca 2018 o 23:39 w kategorii Prywatność, Wpadki  z tagami: • • •
Formatujecie karty pamięci w urządzeniach? To nie formatujecie

Dzisiaj karty pamięci są tanie, popularne i pełne zdjęć oraz danych, których nie chcecie pokazywać obcym. Czy zatem wystarczy użyć formatowania w aparacie, zanim je sprzedacie? Zdecydowanie nie.

Czy wiecie, co dzieje się, gdy próbujecie kasować zdjęcia z poziomu aparatu fotograficznego lub formatujecie kartę pamięci za pomocą smartfona lub kamery drogowej? Przeczytajcie poniżej.

Badania na świecie

Według badania przeprowadzonego przez Uniwersytet Hertfordshire i Comparitech prawie dwie trzecie kart pamięci na rynku wtórnym może zawierać dane poprzednich właścicieli. Zespół prowadzący badanie zakupił pomiędzy styczniem a majem 2018 roku 100 używanych kart SD i micro SD, pochodzących z różnych źródeł. Nabywano je nie tylko na aukcjach internetowych, ale także od second handów oraz podczas okazyjnych wyprzedaży garażowych. Następnie przy użyciu popularnych i wolnodostępnych narzędzi odzyskiwania danych (w tym przypadku wybrano FTK Imager do wykonania obrazu oraz WinHex i Osforensics do wyciągnięcia plików) dokonano analizy.

Większość z tych kart, jak się okazało, była używana w smartfonach, tabletach, kamerach, czego można było się spodziewać. Jednak niespodzianką dla badaczy było pojawienie się też tych, które były używane w dronach, co zdarzyło się chyba po raz pierwszy w tego rodzaju badaniach. Można zatem powiedzieć, że plon był dość obfity. Zawartość kart była różnorodna, obejmowała między innymi najróżniejsze zdjęcia, także intymnej natury, kopie paszportów i innych dowodów tożsamości, duplikaty dokumentów, w tym związanych z prowadzeniem działalności gospodarczej, listy kontaktów, dane nawigacyjne, historię przeglądarek itp.

W zestawieniu okazało się, że na 100 próbek:

  • 36 kart zostało sprzedanych wraz z niewykasowanymi danymi,
  • z 2 tylko usunięto dane, jednak były one łatwe do odzyskania,
  • 29 zostało sformatowanych, ale pliki można było odzyskać przy niewielkim wysiłku,
  • 25 zostało skutecznie wyczyszczonych z danych,
  • 4 nie zawierały żadnych danych (i nie ustalono przyczyny),
  • 4 były uszkodzone.

Wyniki mogą się wydawać zaskakujące, jednak to nie pierwszy raz, gdy okazuje się, że wraz ze starymi nośnikami można nabyć także bonusowe dane. Można nawet powiedzieć, że jest to stały problem. Dla porównania, w 2003 roku dwóch studentów MIT zbadało 150 dysków twardych, tylko 9% było prawidłowo wyczyszczonych. Z kolei w brytyjskich badaniach z 2005 i 2006 roku okazało się, że także blisko połowa zakupionych przy tej okazji nośników z drugiej ręki zawierała dane pozwalające zidentyfikować poprzedniego właściciela, w tym istotne informacje o strukturach przedsiębiorstw, dane ekonomiczne firm, a nawet dokumenty oznaczone klauzulą tajności związane z zamówieniami wojskowymi. Podobne niedbalstwo przy postępowaniu z utylizacją pamięci masowych zaobserwowano w Niemczech, Australii czy Kanadzie (nawet w przypadku wrażliwych danych medycznych, podlegających szczególnej ochronie).

Niestety, za zwiększającą się rolą elektronicznego obiegu dokumentów, jak i przenoszeniem zbiorów danych do postaci cyfrowej, nie idzie zwiększenie świadomości zagrożeń. Nie zmieniło się więc nic, za to przybyło okazji, bo dramatycznie zwiększyła się liczba urządzeń. Tym razem w grę wchodzą nie tylko dyski twarde, ale również telefony i tablety oraz nośniki z nimi związane, jak to można zauważyć w badaniu NAID z 2017 roku.

Skąd te wyniki?

Autorzy badania w raporcie wspominają, że główną przyczyną jest prawdopodobnie zapominanie o zawartości starych urządzeń i pamięci. Ciężko odmówić im racji, skoro ponad 1/3 kart pozostała z nietkniętymi danymi. Biorąc pod uwagę przeciętny czas życia telefonów czy tabletów, nietrudno zauważyć, że liczba starych urządzeń będzie się zwiększała. Jeśli nie były one odpowiednio potraktowane po odesłaniu na emeryturę, gdy codzienne obowiązki przejmuje nowszy model, istnieje spora szansa nieświadomego wysłania naszych danych w świat. Może to się zdarzyć, czy to przy wysyłaniu do utylizacji/recyklingu, sprzedaży czy nawet poratowaniu leżącym w szufladzie telefonem rodziny bądź znajomych w przypadku awarii ich urządzeń.

Jest to też pułapka na nieświadomych użytkowników, bo warto podkreślić, że zresetowanie telefonu do ustawień fabrycznych nie usuwa danych karty SD. Ta zaś w lwiej części telefonów z Androidem, jak i klasycznych nie-smartfonów,  nie jest szyfrowana i właściwe nie ma możliwości jej zaszyfrowania. Na niej zaś mogą się znajdować nie tylko multimedia, w tym zdjęcia (choć zdjęć dokumentów, kart kredytowych, wnętrz domów wraz z danymi geolokalizacyjnymi nie można można lekceważyć), ale też ściągnięte PDF-y np. z fakturami, a co gorsza kopie, nomen omen, bezpieczeństwa.

Co dzieje się naprawdę

Jest jednak coś jeszcze. W trakcie przygotowywania tego artykułu zbadałem kilkanaście sztuk różnego rodzaju sprzętu elektronicznego – aparatów fotograficznych, wideorejestratorów samochodowych, telefonów (także tych “głupich”), czytników e-booków – otóż to, co komunikują te urządzenia użytkownikowi, bezpośrednio na ekranach i pośrednio w instrukcjach obsługi, bywa niezbyt jasne i mylące. Tak bardzo, że samo to wydaje się odpowiadać za pozostałe 1/3 przypadków, w których dane usunięto czy sformatowano kartę, myśląc, że usunie to wszystkie dane. Jak wygląda to w praktyce, zasługuje na osobny i zdecydowanie dłuższy artykuł, ale pozwolę sobie przedstawić tutaj trzy przykłady, oparte o nieco starszą elektronikę – DSLR – Nikona D90, kamerę drogową Mio MiVue 358 i Samsunga Galaxy S2 z CyanogenModem 13. We wszystkich trzech przypadkach procedura testowa polegała na umieszczeniu nowej karty w urządzeniu, sformatowaniu jej, wygenerowaniu danych, ponownym sformatowaniu, a następnie próbie odzyskania danych przy użyciu PhotoRec, na domyślnych ustawieniach. Efekty tej procedury można obejrzeć na poniższym foto-story.

Karty wydają się puste, ale czy rzeczywiście tak jest?

Chyba jednak nie…

Niestety, nawet sam Cthulhu nas tu nie uratuje. Te dane są przedwieczne!

…okazuje się, że koty faktycznie mają więcej niż jedno życie.

Generalnie wymazanie/usunięcie danych, oznacza po prostu skasowanie plików, zaś formatowanie bez dodatkowego opisu to zazwyczaj odpowiednik szybkiego formatowania (quick format). Przy czym obie te operacje są stosunkowo łatwo odwracalne w znacznym zakresie, co dość dobitnie można stwierdzić powyżej. Jednak dla większości użytkowników nie jest to niestety jasne, a daje fałszywe poczucie bezpieczeństwa.

Tutaj też jedna drobna uwaga. W pierwszym przykładzie komenda dir dla karty 16 GB zwróciła 15 480 979 456 bajtów wolnego miejsca po sformatowaniu. Klasa 10/UHS-I gwarantuje zapis min. 10 MB/s, czyli dziesięć milionów bajtów na sekundę. To zaś oznacza, że do zapisu piętnastu miliardów bajtów, potrzeba 1548 sekund… czyli 26 minut (jeśli karta wypełnia minimum specyfikacji). Zatem pełne formatowanie z nadpisaniem danych, choć da nam pewien bonus za ciągłość zapisu, nie zakończy się szybciej niż w okolicach 20 minut. Więc wszystko, co obiecuje usunięcie danych w kilka, góra kilkanaście sekund, oszukuje. Jedyne, co robi, to zmusza nośnik do “zapomnienia”, gdzie dane są zapisane, a to można łatwo obejść.

Co Ty możesz zrobić dla swoich nośników?

Zgodnie z zaleceniami brytyjskiego The National Cyber Security Centre odpowiedź jest krótka – mielić. Cytując raport z zaleceniami, wszystkie nośniki bazujące na pamięci flash powinny trafić do niszczarki tnącej materiał na fragmenty nie większe niż 6 mm. Jednak to, co dobre dla banków czy dużych korporacji, nie do końca jest do zastosowania w przypadku użytkowników domowych. Faktycznie, ze względu na konstrukcję tych pamięci i sposób działania nie można zagwarantować absolutnego bezpieczeństwa każdego bita, gdyż ich “życie wewnętrzne” jest dość bogate, zwłaszcza po stronie kontrolera bezpośrednio obsługującego chip flash. W typowych sytuacjach, o ile nie jesteśmy wielką instytucją finansową, korporacją, szpitalem czy kimś, kim mogą być zainteresowane znane trzyliterowe organizacje z różnych części świata, możemy zastosować zdecydowanie mniej drastyczne kroki, które są wystarczającym zabezpieczeniem przed technikami stosowanymi w tych badaniach. Co zatem można zrobić?

Właściwie powinniśmy się zastosować do trzech zasad, które będą przydatne także w przypadku zagubienia pamięci. Po pierwsze, znacznie ograniczyć liczbę urządzeń i nośników, na których znajdują się dane. Z powodów przytoczonych wyżej stare telefony, tablety, czytniki e-booków, których już nie używamy, powinny być przywrócone do ustawień fabrycznych, a karty usunięte i sformatowane z nadpisaniem danych. W tym celu w systemie Windows należy wybrać z menu kontekstowego “Formatuj…” i odznaczyć “szybkie formatowanie”. Można też skorzystać z darmowego i bardzo intuicyjnego programu udostępnionego przez SD Association, dla platform Windows i macOS, który automatycznie dobiera ustawienia pod konkretny typ karty (jednak koniecznie z opcją overwrite format).

Po drugie, nośniki w urządzeniach, w których nie możemy użyć szyfrowania, a są ciągle używane (np. aparat zapisuje na nich zdjęcia), powinny być okresowo kasowane i formatowane. To powinno znacznie ograniczyć liczbę plików – i tych dostępnych wprost, i tych możliwych do odtworzenia przez narzędzia do odzyskiwania danych.

Po trzecie, tam, gdzie to możliwe, używać szyfrowania. Obecnie dostępnych jest bardzo dużo rozwiązań, począwszy od darmowego VeraCryptu, po rozwiązania związane z konkretnymi platformami – FileValut dla macOS-a, BitLocker i BitLocker To Go dla Windowsa 10 Pro. W przypadku niektórych telefonów i tabletów z systemem Android też jest możliwe zaszyfrowanie kart SD. Choć w zależności od producenta różnie to bywa. We flagowcach Samsunga, znajdziemy większość rzeczy obecnych w Android Open Source Project, w telefonach z dolnej półki, jak popularny Xiaomi Redmi5, nie zawsze. O ile da się odkopać pod wielokrotnie zagnieżdżonymi menu szyfrowanie całego urządzenia, to z kartą SD będzie problem.

Trzeba jednak pamiętać, że oprócz oczywistych zalet to rozwiązanie ma jedną poważną wadę – uniemożliwia odczytanie ich zawartości na innych urządzeniach, nawet jeśli dysponujemy hasłem, klucz jest bowiem przechowywany w TEE (Trusted Execution Enviroment) w telefonie. Fizyczne uszkodzenie urządzenia bądź też reset do ustawień fabrycznych odetnie nas od danych. Podobnie jak użycie pełnego szyfrowania dysku mechanizmem BitLocker na platformie Windows wraz z TPM (Trusted Platform Module), ale bez zabezpieczenia recovery key, trwale powiąże dysk z maszyną. Zatem w przypadku jej awarii, szczególnie zaś modułu TPM, doprowadzi do tego, że nasze dane będą równie dobrze chronione przed osobami trzecimi, jak też nami samymi. Stąd równie istotne są tutaj nawyki (w tym regularny backup).

Jeśli będziemy pamiętać o tych zasadach, istnieje spora szansa, że nasze dane pozostaną nasze i nie dołączą jako kolejna anegdota do listy rzeczy, jakie można znaleźć na nośnikach kupionych z drugiej ręki.

Podobne wpisy