データの残留

データ残留とは、データを削除または消去しようとした後でも残るデジタル データの残留表現です。この残留は、通常のファイル削除操作によってデータがそのまま残されたこと、メディアに以前書き込まれたデータが削除されないストレージ メディアの再フォーマット、または以前書き込まれたデータの回復を可能にするストレージメディアの物理的特性によって発生することがあります。データ残留により、ストレージ メディアが管理されていない環境に放出された場合 (例: ゴミ箱に捨てられたり紛失したりした場合)、 機密情報が不注意に漏洩する可能性があります。

データの残留に対抗するために、さまざまな技術が開発されてきました。これらの技術は、クリア、パージ/サニタイズ、または破壊に分類されます。具体的な方法としては、上書き、消磁、暗号化、メディア破壊などがあります。

対策の効果的な適用は、アクセスできないメディア、効果的に消去できないメディア、データのライフサイクル全体にわたってデータの履歴を維持する高度なストレージ システム、通常は揮発性であると考えられるメモリ内のデータの永続性など、いくつかの要因によって複雑になる可能性があります。

データの安全な削除とデータ残留の排除については、いくつかの標準が存在します。

多くのオペレーティング システム、ファイル マネージャ、およびその他のソフトウェアには、ユーザーがそのアクションを要求したときにファイルがすぐに削除されない機能があります。代わりに、ファイルは保留領域(つまり「ゴミ箱」) に移動され、ユーザーが間違いを簡単に元に戻せるようになります。同様に、多くのソフトウェア製品では、編集中のファイルのバックアップ コピーが自動的に作成され、ユーザーが元のバージョンを復元したり、クラッシュ (自動保存機能) から回復したりできるようになります。

明示的に削除されたファイルを保持する機能が提供されていない場合や、ユーザーがその機能を使用しない場合でも、オペレーティング システムは、ソリッドステート ドライブのように明示的な消去コマンドが必要であることを認識していない限り、ファイルが削除されてもそのファイルの内容は実際には削除されません。(このような場合、オペレーティング システムはSerial ATA TRIMコマンドまたはSCSI UNMAP コマンドを発行して、ドライブに削除されたデータを保持しないように通知します。) 代わりに、ファイル システム ディレクトリからファイルのエントリを削除するだけです。これは、この方が作業が少なくて済むため高速であり、ファイルの内容 (実際のデータ) はストレージ メディアに残るためです。オペレーティング システムが新しいデータ用にスペースを再利用するまで、データはそこに残ります。一部のシステムでは、一般に入手可能なユーティリティ ソフトウェアで簡単に復元できるように、十分なファイル システムメタデータも残されています。復元が不可能になった場合でも、上書きされるまでは、ディスク セクターを直接読み取るソフトウェアでデータを読み取ることができます。コンピューター フォレンジックでは、このようなソフトウェアがよく使用されます。

同様に、システムの再フォーマット、再パーティション、または再イメージ化によってディスクのすべての領域に書き込まれる可能性は低いですが、ほとんどのソフトウェアでは、ディスクが空になったり、再イメージ化の場合はイメージ内に存在するファイル以外は空になったりすることになります。

最後に、ストレージ メディアが上書きされた場合でも、メディアの物理的特性により、以前のコンテンツを復元できる場合があります。ただし、ほとんどの場合、この復元は、通常の方法でストレージ デバイスから読み取るだけでは不可能であり、デバイスを分解してコンポーネントに直接アクセス/読み取るなどの実験技術を使用する必要があります。

§以下の「合併症」では、データ残留の原因についてさらに詳しく説明します。

残留データを除去するために一般的に認識されているレベルは 3 つあります。

クリアとは、通常のシステム機能やソフトウェアのファイル/データ回復ユーティリティを使用してデータを再構築できないことが保証される方法で、ストレージデバイスから機密データを削除することです。データは回復可能である可能性がありますが、特別な実験技術がなければ回復できません。^[1]

クリアは通常、組織内での偶発的な開示に対する管理上の保護です。たとえば、組織内でハード ドライブが再利用される前に、その内容をクリアして、次のユーザーに誤って開示されるのを防ぐことができます。

消去またはサニタイズは、システムまたはストレージデバイスから機密データを物理的に書き換えることであり、後でデータを回復できないようにする特定の目的で行われます。^[2]消去は、データの機密性に比例し、通常、古いメディアを破棄する前や、セキュリティ要件が異なるコンピューターにメディアを移動する前など、メディアを制御不能にする前に行われます。

ストレージ メディアは、従来の機器では使用できなくなります。メディアを破壊した場合の効果は、メディアと方法によって異なります。メディアの記録密度や破壊技術によっては、実験室の方法でデータを回復できる場合があります。逆に、適切な技術を使用して破壊することが、回復を防ぐ最も安全な方法です。

データの残留に対抗する一般的な方法は、ストレージ メディアを新しいデータで上書きすることです。これは、印刷メディアを破壊する一般的な方法に似せて、ディスクまたはファイルのワイピングまたはシュレッディングと呼ばれることがよくありますが、メカニズムはこれらとはまったく異なります。このような方法はソフトウェアだけで実装できることが多く、メディアの一部のみを選択的にターゲットにできるため、一部のアプリケーションでは人気の低コスト オプションです。メディアが書き込み可能で破損していない限り、上書きは一般に許容される消去方法です。

最も単純な上書き手法では、すべての場所に同じデータ (多くの場合、すべてゼロのパターン) を書き込みます。これにより、少なくとも、標準のシステム機能を使用してメディアから再度読み取るだけでデータを取得できなくなります。

より高度なデータ回復技術に対抗するために、特定の上書きパターンと複数のパスが規定されることがよくあります。これらは、トレース署名を消去することを目的とした一般的なパターンである場合があります。例としては、7 パス パターン0xF6、0x00、0xFF、<ランダムバイト>、0x00、0xFF 、 <ランダムバイト>があり、誤って米国標準DOD 5220.22-Mに関連付けられることがあります。

上書きに関する課題の 1 つは、メディアの劣化やその他のエラーにより、ディスクの一部の領域にアクセスできなくなる可能性があることです。ソフトウェアによる上書きは、使用中のソフトウェアで提供できるよりも強力なデータ混在制御を必要とする高セキュリティ環境では問題になることもあります。高度なストレージ テクノロジを使用すると、ファイルベースの上書きが無効になることもあります (以下の「 § 複雑さ」の関連説明を参照してください)。

上書きが可能な特殊な機械やソフトウェアがあります。ソフトウェアは、データ破壊用に特別に設計されたスタンドアロンのオペレーティングシステムである場合もあります。国防総省の仕様 DOD 5220.22-M に従ってハードドライブを消去するように特別に設計された機械もあります。^[3]

ピーター・ガットマンは、 1990年代半ばに名目上上書きされたメディアからのデータ復旧を調査しました。彼は、磁気力顕微鏡でそのようなデータを復旧できる可能性があることを示唆し、特定のドライブ技術向けに、そのようなデータに対抗するための特定のパターンを開発しました。 ^{[4]これらのパターンは}ガットマン法として知られるようになりました。ガットマンのデータ復旧の可能性に対する信念は、ハードドライブの仕組みに対する理解の低さを示す多くの疑わしい仮定と事実上の誤りに基づいています。^[5]

民間の国立経済研究所の経済学者ダニエル・フェーンバーグは、現代のハードドライブから上書きされたデータを復元できる可能性は「都市伝説」に等しいと主張している。^{[6]彼はまた、ウォーター}ゲート事件についてリチャード・ニクソンが議論しているテープにローズ・メアリー・ウッズが作った「18分半のギャップ」を指摘している。ギャップ内の消去された情報は復元されておらず、フェーンバーグは現代の高密度デジタル信号の復元と比較すると、復元するのは簡単な作業だと主張している。

2007年11月現在、米国国防総省は、同じセキュリティエリア/ゾーン内の磁気媒体を消去するために上書きは許容されるが、サニタイズ方法としては許容されないと考えている。後者の場合、消磁または物理的破壊のみが許容される。^[7]

一方、2014 NIST特別刊行物 800-88 Rev. 1 (p. 7) によると、「磁気メディアを含むストレージ デバイスの場合、バイナリ ゼロなどの固定パターンによる 1 回の上書きパスは、最先端の実験技術を適用してデータを取得しようとしても、通常はデータの回復を妨げます。」^[8]ライトらによる磁気力顕微鏡を含む回復技術の分析でも、最新のドライブでは 1 回のワイプで十分であると結論付けられています。彼らは、複数回のワイプに必要な長い時間により、「多くの組織が [完全に] 問題を無視する状況が生まれ、その結果、データの漏洩や損失が発生している」と指摘しています。^[9]

消磁とは、消去するメディア用に設計された消磁装置と呼ばれる装置を使用して、ディスクまたはドライブの磁場を除去または減少させることです。磁気メディアに適用すると、消磁によってメディア要素全体を迅速かつ効果的に消去できます。

消磁を行うと、製造時に工場でのみ行われる低レベルのフォーマットが消去されるため、ハードディスクが動作不能になることがよくあります。場合によっては、製造元で修理することでドライブを機能状態に戻すことができます。ただし、最近の消磁装置の中には、非常に強力な磁気パルスを使用するものがあり、消磁プロセスでプラッターを回転させるモーターが破損する可能性があり、修理の費用対効果が低い場合があります。DLT などの消磁されたコンピュータ テープは、通常、再フォーマットして、標準的な消費者向けハードウェアで再利用できます。

高度なセキュリティが求められる環境では、その用途に承認された消磁装置の使用が求められる場合があります。たとえば、米国政府や軍事管轄区域では、 NSAの「評価済み製品リスト」に掲載されている消磁装置の使用が求められる場合があります。^[10]

メディアに保存する前にデータを暗号化すると、データの残存に関する懸念が軽減される可能性があります。復号化キーが強力で、慎重に管理されている場合、メディア上のすべてのデータを事実上回復不可能にすることができます。キーがメディアに保存されている場合でも、ディスク全体を上書きするよりも、キーだけを上書きする方が簡単または迅速であることが判明する場合があります。このプロセスは、暗号シュレッディングと呼ばれます。

暗号化はファイルごとに行うことも、ディスク全体に対して行うこともできます。コールド ブート攻撃は、メディアの暗号化されていないセクションにプレーン テキスト キーを保存する可能性がないため、ディスク全体の暗号化方式を破る数少ない方法の 1 つです。詳細については、「複雑さ: RAM 内のデータ」セクションを参照してください。

その他のサイドチャネル攻撃（キーロガー、復号鍵を含むメモの取得、ラバーホース暗号解読など）は、成功する可能性が高いかもしれませんが、使用される暗号化方法の弱点に依存していません。そのため、この記事との関連性は低いです。

基礎となるストレージ メディアを完全に破壊することが、データの残留に対抗する最も確実な方法です。ただし、このプロセスは一般に時間がかかり、面倒で、メディアの小さな断片にも大量のデータが含まれている可能性があるため、非常に徹底した方法が必要になる場合があります。

具体的な破壊手法としては、以下のものがあります。

• メディアを物理的に分解する（例：粉砕または細断する）
• 媒体を化学的に改変して読み取り不可能、逆復元不可能な状態にする（焼却、腐食性化学物質への曝露など）
• 相転移（例：固体ディスクの液化または気化）
• 磁気媒体の場合、キュリー点を超える温度に上げると
• 多くの電気/電子の揮発性および不揮発性記憶媒体では、安全な動作仕様を大幅に超える電磁場（例：高電圧電流、高振幅のマイクロ波または電離放射線）への曝露^[要出典]

ストレージ メディアには、通常の方法ではアクセスできない領域が存在する場合があります。たとえば、磁気ディスクでは、データが書き込まれた後に新しい不良セクタが発生する可能性があり、テープではレコード間のギャップが必要です。最近のハード ディスクでは、多くの場合、限界セクタまたはトラックの再割り当てが自動化されており、オペレーティング システムがそれを処理する必要がなくなります。この問題は、比較的大きな再配置された不良ブロック テーブルに依存するソリッド ステート ドライブ(SSD)で特に顕著です。このような状況では、データの残留を上書きで防ごうとしても、名目上はアクセスできない領域にデータが残っている可能性があるため、うまくいかない可能性があります。

より高度な機能を備えたデータ ストレージ システムでは、特にファイル単位では、上書きが効果的でない場合があります。たとえば、ジャーナリング ファイル システムは、書き込み操作を複数の場所に記録し、トランザクションのようなセマンティクスを適用することでデータの整合性を高めます。このようなシステムでは、データの残りが名目上のファイル ストレージ場所の「外側」の場所に存在する可能性があります。一部のファイル システムでは、ファイルに書き込むことでデータがその場で上書きされないように、コピー オンライトまたは組み込みのリビジョン コントロールも実装されています。さらに、 RAIDや断片化防止技術などのテクノロジでは、設計上 (フォールト トレランスのため)、またはデータの残りとして、ファイル データが複数の場所に書き込まれることがあります。

ウェア レベリングは、ブロックが最初に書き込まれた時点と上書きされた時点の間にブロックを再配置することで、データ消去を回避できます。このため、オペレーティング システムや自動ウェア レベリング機能を備えたその他のソフトウェア向けに調整された一部のセキュリティ プロトコルでは、特定のドライブの空き領域を消去し、多数の小さくて簡単に識別できる「ジャンク」ファイルまたは機密性のないデータを含むファイルをコピーして、そのドライブをできるだけ多く埋め、システムのハードウェアとソフトウェアの正常な動作に必要な空き領域のみを残すことを推奨しています。ストレージとシステムの需要が増大するにつれて、必要に応じて「ジャンク データ」ファイルを削除して領域を解放できます。「ジャンク データ」ファイルの削除が安全でない場合でも、当初の機密性が低いため、そこから残っているデータを回復した場合の影響はほぼゼロになります。^{[引用が必要]}

光メディアは磁性を持たないため、従来の消磁方法では消去できません。また、一度だけ書き込み可能な光メディア ( CD-R、DVD-Rなど) も、上書きによって消去することはできません。CD -RWやDVD-RWなどの書き換え可能な光メディアは、上書きされる可能性があります。光ディスクを効果的に消毒する方法としては、金属データ層の剥離または研磨、細断、焼却、破壊的な電気アーク放電 (マイクロ波エネルギーへの曝露など)、ポリカーボネート溶剤 (アセトンなど) への浸漬などがあります。

カリフォルニア大学サンディエゴ校の磁気記録研究センターの研究では、ソリッドステートドライブ（SSD）に保存されたデータを消去する際に固有の問題が明らかになりました。研究者は、SSD上のファイル保存に関する3つの問題を発見しました。^[11]

まず、組み込みコマンドは効果的ですが、メーカーがそれらを誤って実装することがあります。次に、SSDの可視アドレス空間全体を2回上書きするだけでは、通常、ドライブをサニタイズするのに十分ですが、常に十分とは限りません。3つ目に、個々のファイルのサニタイズのための既存のハードドライブ指向の技術はどれもSSDでは効果的ではありません。^{[11] : 1}

フラッシュベースのソリッドステートドライブは、ハードディスクドライブとは 2 つの点で異なります。1 つ目は、データの保存方法です。2 つ目は、そのデータの管理とアクセスに使用されるアルゴリズムです。これらの違いを利用すると、以前に消去されたデータを回復できます。SSD は、コンピュータ システムがデータにアクセスするために使用する論理アドレスと、物理ストレージを識別する内部アドレスの間に間接層を維持します。この間接層により、固有のメディア インターフェイスが隠され、SSD のパフォーマンス、信頼性、および寿命が向上します (ウェア レベリングを参照)。ただし、ユーザーには見えず、高度な攻撃者であれば復元できるデータのコピーも作成されます。ディスク全体のサニタイズについては、SSD ハードウェアに組み込まれているサニタイズ コマンドが正しく実装されていれば効果的であることがわかっています。また、ディスク全体をサニタイズするためのソフトウェアのみの手法は、ほとんどの場合に機能しますが、常に機能するとは限りません。^{[11] : section 5}テストでは、ソフトウェア手法のいずれも個々のファイルのサニタイズには効果的ではありませんでした。これらには、グットマン法、米国国防総省5220.22-M 、RCMP TSSIT OPS-II、シュナイアー7パス、macOSのSecure Empty Trash（OS X 10.3-10.9に含まれる機能）などのよく知られたアルゴリズムが含まれていました。^{[11] ：セクション5}

多くのSSDデバイスに搭載されているTRIM機能は、適切に実装されていれば、削除後に最終的にデータを消去しますが^{[12] [要出典]}、このプロセスには時間がかかり、通常は数分かかります。多くの古いオペレーティングシステムはこの機能をサポートしておらず、ドライブとオペレーティングシステムのすべての組み合わせが機能するわけではありません。^[13]

データの残留は、一般的に揮発性（つまり、外部電源が失われると内容が劣化する）であると考えられている静的ランダムアクセスメモリ（SRAM）で観察されています。ある研究では、室温でもデータ保持が観察されました。 ^[14]

データの残留はダイナミック ランダム アクセス メモリ(DRAM)でも観察されています。最近の DRAM チップには、データを保持するために電源が必要なだけでなく、集積回路内のコンデンサからデータの内容が消えてしまわないように定期的にリフレッシュする必要があるため、セルフ リフレッシュ モジュールが組み込まれています。ある研究では、室温では数秒から数分、液体窒素で冷却すると「リフレッシュなしで丸 1 週間」データを保持できる DRAM のデータ残留が見つかりました。^{[15]研究の著者らは、}コールド ブート攻撃を使用して、Microsoft BitLocker、Apple FileVault、 Linux のdm-crypt、TrueCryptなど、いくつかの一般的なディスク全体の暗号化システムの暗号キーを復元することができました。^{[15] : 12}

メモリの劣化は多少あるが、上記の研究の著者らは、キースケジューリングなどの効率的な使用のために拡張された後のキーの保存方法の冗長性を活用することができた。著者らは、所有者が物理的に制御していないときは、コンピューターを「スリープ」状態にするのではなく、電源を切ることを推奨している。ソフトウェアプログラム BitLocker の特定のモードなど、場合によっては、ブートパスワードまたは取り外し可能な USB デバイス上のキーを使用することを著者らは推奨している。[ ^{15] : 12} TRESORは、暗号化キーがユーザー空間からアクセスできないようにし、可能な限りシステム RAM ではなく CPU に保存されるようにすることで、RAM へのコールド ブート攻撃を防ぐことを特に目的とした Linux 用カーネルパッチである。ディスク暗号化ソフトウェアVeraCryptの新しいバージョンは、64 ビット Windows で RAM 内のキーとパスワードを暗号化できる。^[16]

オーストラリア

• ASD ISM 2014、オーストラリア政府情報セキュリティマニュアル、2014年^[17]

カナダ

• RCMP B2-002、ITメディア上書きおよびセキュア消去製品、2009年5月^[18]
• 通信保安局 電子データ記憶装置の機密解除と機密解除、2006年7月^[19]

ニュージーランド

• GCSB NZISM 2016、ニュージーランド情報セキュリティマニュアルv2.5、2016年7月^[20]
• NZSIS PSM 2009、保護セキュリティマニュアル

イギリス

• 資産廃棄および情報セキュリティアライアンス（ADISA）、ADISA IT資産廃棄セキュリティ標準^[21]

アメリカ合衆国

• NIST特別刊行物800-88、メディアサニタイズガイドライン、2006年9月^[1]
• DoD 5220.22-M、国家産業安全保障プログラム運用マニュアル（NISPOM）、2006年2月^[22]
  • 現在の版では、特定のサニタイズ方法についての言及はなくなりました。サニタイズの基準は、コグニザントセキュリティ機関に委ねられています。^[22]
  • NISPOM のテキスト自体にはサニタイズのための具体的な方法は記載されていませんが、過去の版 (1995 年と 1997 年) ^[23]には、セクション 8-306 の後に挿入された国防安全保障局 (DSS) のクリアリングおよびサニタイズ マトリックス内に明示的なサニタイズ方法が含まれていました。DSS は今でもこのマトリックスを提供し、方法を引き続き指定しています。^[7] 2007 年 11 月版のマトリックスでは、磁気メディアのサニタイズに上書きは受け入れられなくなりました。消磁 (NSA 承認の消磁装置を使用) または物理的破壊のみが許可されています。
• 陸軍AR380-19、情報システムセキュリティ、1998年2月^[24] AR 25-2に置き換えられました https://armypubs.army.mil/epubs/DR_pubs/DR_a/pdf/web/ARN17503_AR25_2_Admin_FINAL.pdf (陸軍出版局、2009年)
• 空軍AFSSI 8580、残留安全保障、2008年11月17日^[25]
• 海軍NAVSO P5239-26、残留セキュリティ、1993年9月^[26]
• IEEE 2883、ストレージのサニタイジングに関するIEEE標準、2022年8月^{[27] [28] [29]}

• 自動化情報システムにおけるデータ残留の理解ガイド。国立コンピュータセキュリティセンター。1991 年 9 月。2007 年 12 月 10 日閲覧。（レインボーシリーズ「フォレストグリーンブック」）
• ディスク ドライブのデータ サニタイズに関するチュートリアル Gordon Hughes、UCSD 磁気記録研究センター、Tom Coughlin、Coughlin Associates