Попался: твой компьютер у них в руках!

[digix]

Попался: твой компьютер у них в руках!

Андрей «Skvoznoy» Комаров
Хакер, номер #100, стр. 038
([email protected])

Что и где будут искать компетентные органы в твоем компе

Казалось бы, ничего такого не сделал. Ну, взломал десяток сайтов – что с того? А тут на тебе: приходят дяди из милиции, предъявляют ордер и забирают компьютер на экспертизу. Конечно, это не твой случай, но знать, что в такой ситуации будут делать люди в погонах с компьютером, наверняка, интересно и полезно.

Простые истины

Начнем с того, что просто так никто к тебе не придет. Не за чем! Приходят обычно для того, чтобы найти недостающие доказательства, или вообще сразу для задержания. При этом часть доказательной базы и хотя бы какая-то уверенность в том, что расследуемое преступление совершил именно ты, у ребят в погонах к этому моменту уже есть. Короче говоря, если где-то засветился — готовься принимать гостей. Может быть, пронесет, но есть и шансы, что придется расхлебывать кашу, которую заварил. Хочу заметить, что расследованием прецедента (по крайней мере, серьезного прецедента) совершенно не обязательно занимаются только наши правоохранительные органы. Это может быть и собственная служба безопасности пострадавшего предприятия, и нанятые ей специалисты по информационной безопасности, и спецслужбы заинтересованных стран. Поэтому, несмотря на кажущуюся безнаказанность всего содеянного в сети, спешу тебя заверить: если они захотят кого-то найти, то обязательно найдут. Даю тебе все 200%! А потом еще и засудят, используя в качестве доказательств найденные во время обыска улики, пускай даже косвенные. Сгодится все что угодно, начиная тем, какое оборудование было обнаружено у тебя дома («Подозреваемый, а зачем Вам нужен аппарат для изготовления пластиковых карт?»), и заканчивая списком сайтов, который ты посещал, конечно же забыв удалить историю.

Что, как и зачем?

Обычно задержание и арест проходят по вполне стандартной схеме. Начинается все с того, что компетентные органы посещают место жительства подозреваемого (как уже было сказано, имея в руках некоторые доказательства, например логи провайдера). После риторического вопроса: «Пользуетесь ли Вы компьютерами?» - следственный эксперт фотографирует твою машину, уделяя особое внимание задней панели. Почему? Да потому, что задокументированные снимки могут подтвердить факт использования задержанным того или иного оборудования, в том числе сетевых устройств (с помощью которых совершался выход в сеть и, соответственно, взлом). Данные с компьютера хакера особым образом копируются, и копии используются в ходе расследования, а оригинал помещается в надежное место для хранения вещественных доказательств. Как удостовериться, что тебе не записали ничего лишнего уже после изъятия компьютера? Для этого эксперты вычисляют хэш-коды MD5 или SHA, которые при необходимости могут подтвердить истинность данных. Дальше дело техники.

Начинаем операцию

Странные ребята эти хакеры, ненасытные. Мало того, что взломали интернет-магазин и увели всю базу с конфиденциальной информацией о пользователях, так еще прописали на странице загрузчик с трояном (который впаривался каждому посетителю), а потом еще и во внутреннюю сеть полезли. В общем, сделали все что только возможно, чтобы привлечь внимание, и, как это обычно бывает, в одном месте, и все-таки засветились. Пускай это будет случайный запрос браузера с настоящего IP в момент, когда упало маскирующее VPN-соединение. Найти злоумышленника по сетевому адресу — проще простого, и вот через несколько дней к нему нагрянули гости! Цель проста – собрать доказательства. Но как?

К этому могут быть привлечены как наши органы, так и независимые эксперты. Но и тем, и другим требуется некоторый набор инструментов, состав которого напрямую зависит от исследуемой файловой и операционной системы. Практически всегда хоть что-то да можно откопать.

Вот, например, винда. Хакер упорно отрицает свои занятия грязными делишками и уверяет, что вообще не знаком со взломом. Но уже через пару дней во время допроса ему предоставляют толстую папочку, в которой отображена вся история сетевой активности (Documents and Settings\user\Local Settings\History\), включающая запись о том самом злополучном интернет-магазине, конфиденциальные данные из кэша браузера (Documents and Settings\user\Local Settings\Temporary Internet Files\), которые могли там оказаться только в том случае, если хакер имел доступ к защищенной (и взломанной) части сайта, и многое другое. А помимо этого, в системе «случайно» обнаружатся авторизированные SSL-сертификаты для различных аккаунтов в платежных системах и, что еще хуже, банках. Товарищ, откуда все это? Быстрый анализ таких вот предательских местечек можно провести с помощью специальной утилиты Web Historian (www.mandiant.com/webhistorian.htm), которой хорошо известны все секреты современных браузеров.

Мало того, в ходе экспертизы выяснится, что в системе была установлена куча самого что ни на есть хакерского софта, который ты пытался впопыхах удалить. Только вот незадача. Большая часть прикладных программ так гадит в систему, что спешу тебя заверить: следы за собой они оставят обязательно. Нынешние деинсталляторы ни на что не годятся, и доверять можно только самому себе. А для этого уже во время установки и дальше, во время эксплуатации, нужно четко следить и запоминать, где программа оставляет следы своей деятельности. В этом тебе, кстати, помогут утилиты от Sysinternals (www.microsoft.com/technet/sysinternals): Diskmon, Filemon, Regmon, Process Monitor.

Поближе к файлам: программные методы

Одним исследованием твоих сетевых пристрастий не обойтись, поэтому следаки обязательно изучат все содержимое твоего харда. В этих целях используются специальные утилиты, которые не только проанализируют все файлы на диске, но еще и создадут наглядные и удобные отчеты и листинги. Прямо по заказу: сначала для устрашения злоумышленника (помнишь о той самой толстой папочке?), а потом для эффектного выступления в суде.

Серьезно ошибаются те, кто рассматривает установленную Unix-систему как гарант безопасности. Слишком сложно для экспертизы? Наоборот! Грамотные люди обязательно воспользуются специальным набором программ для анализа UNIX-систем — The Sleuth Kit (www.sleuthkit.org). Связка TSK хороша тем, что позволяет получить детальный отчет о системе, выявить любые файлы, скрываемые руткитами и при этом не нарушив целостности системы, что крайне важно для сбора доказательств. Комплекс скрупулезно анализирует файловые системы FAT, NTFS, Ext2/3, UFS, выводит листинги всех каталогов, восстанавливает удаленные файлы, строит графические диаграммы файловых операций и работает с базами хэш-кодов файлов. Словом, утаить что-либо очень будет сложно.

Кстати, чтобы не дай бог ничего не сбить в системе злоумышленника (чтобы тот не использовал этот факт для своей защиты в суде), компетентные ребята обязательно захотят снять точную копию физического накопителя. И сделают это, например, с помощью знаменитой утилиты Safeback (orensics-intl.com/safeback.html). В результате этой процедуры будет составлен) сжатый файл, в котором и будет сохранена вся инфа с харда (в том числе и с SCSI-винтов). Чтобы заверить подлинность такого образа, программа создает специальный лог-файл, в котором документируется весь процесс копирования и в который после его завершения заносится местоположение исследуемого инцидента и оборудования, изготовитель харда и его серийный номер, фамилия и имя эксперта.

Но на стол к эксперту может попасть не только обычный компьютер или ноутбук. Так, существуют специальные приложения, готовые произвести тщательный анализ портативных устройств. Большой популярностью среди специалистов по информационной безопасности пользуется Encase (www.guidancesoftware.com). Несмотря на то что появилась утилита достаточно давно, ее по сей день используют как небольшие коммерческие предприятия, так и крупные правительственные структуры. Причем освоить все премудрости работы с этим программным комплексом предлагается на специализированных курсах. Сам продукт распространяется в двух версиях – корпоративной и экспертной. Основное их различие в том, что корпоративная версия способно анализировать сразу группу компьютеров в локальной сети, что иногда очень полезно (скажем, для поиска преступника внутри большой компании). В этом случае Encase будет обращаться к каждой машине, распределено анализируя их файловые системы. Что будет представлять собой такая машина, не имеет никакого значения, так как этот серьезный комплекс дружит сразу со всеми известными операционными системами и может быть использован даже при анализе портативных карманных компьютеров и носителей.

Мы рассмотрели довольно сложные варианты, хотя, как правило, идти на подобные ухищрения необязательно. Что может быть проще, чем до боли знакомая Windows-система? Forencis Toolkit (www.accessdata.com) — это чисто виндовый пакет с богатыми функциями для снятия данных с жестких дисков, анализа отдельных разделов и их файловых особенностей. Основная фишка FTK – это максимально быстрая работа с прикладным уровнем системы. Она гораздо проще Encase и предусматривает сразу несколько вариантов просмотра образа диска. К примеру, можно выбрать в меню программы пункт «Электронные таблицы», и FTK тут же выведет список всех найденных xls-файлов с подобных описанием и указанием месторасположения. Аналогичным образом легко отыскиваются базы данных, графика и сообщения электронной почты. Достаточно кликнуть на PST-файл Outlook — и FTK раскодирует все его содержимое, в том числе посланную почту, журнальные записи, задачи, календарь и удаленные документы. На борту программы присутствует база ключевых слов, по которым осуществляется поиск компрометирующей информации, включающая в себя такие слова, как cc, tan, pass.

Аппаратная часть

Протоколированию подлежит не только информация с жестких дисков и сменных носителей, но и сама начинка компьютера. Если там окажется что-то украденное или скарженное, беды не миновать. Как производится анализ железа? Раньше органы действовали следующим образом: система изымалась, ее везли на экспертизу в специальную лабораторию и там уже проводили с ней все необходимые манипуляции. Сейчас же в 80% случаев используется портативное переносное оборудование, с помощью которого легко и быстро дублируются данные, настройки, серийные номера девайсов и т.д. Причем все это применяется в совокупности с блокираторами записи. Такой подход помогает избежать сразу целого ряда потенциальных ошибок, таких как случайное изменение дат и контрольных сумм, уничтожение каких-либо процессов, перезапись данных и пр. Ведь при исследовании копии машины оригинальный «экспонат» остается в полной сохранности.

В ряде случаев органы обходятся лишь конфискацией харда, который в дальнейшем просто присоединяется к целевой системе. Стандартная конфигурация подобной машины: современный процессор, не менее 256 ОЗУ, большие жесткие диски IDE/SCSI, карта и контроллер SCSI, привод для чтения компакт-дисков, ленточные накопители (типа Exabyte), дополнительный источник питания, адаптер преобразования параллельного интерфейса в SCSI. Существуют специальные считывающие устройства, позволяющие решить вопрос копирования информации на компьютер эксперта за считанные минуты. Например, FastBloc (encase.co.za/solutions/accessories/index.shtm), который одновременно является и блокиратором записи, страхующим от случайных записей на оригинальный жесткий диск во время дублирования данных. Аппаратный блокиратор записи, например NoWrite (www.sierra-cables.com/Forensic/nowriteIDE.htm), обеспечивает неприкосновенность данных (то есть гарантию отсутствия изменений) во время копирования информации. Правда, при использовании подобного рода устройств транспортировка данных значительно замедляется.

Программный блокиратор записи делает аналогичную работу путем изменения таблицы прерываний, в которой содержатся сервисные записи BIOS. Прерывание – это метод, с помощью которого программы разговаривают с твоей системой, говоря ей, что необходимо сделать. Самую важную роль в них играет прерывание int 13h, указывающее на код записи и чтения с диска. Блокиратор заменяет запись прерывания своей собственной, перехватывая все обращения к диску. Схема дублирования такова: данные по блокам копируются на приемное устройство с исходного носителя. Размер передаваемого блока, как правило, кратен 512 байтам, являющимся размером тривиального сектора любого диска. После копирования для каждого файла выполняется расчет контрольной суммы, необходимой для доказательства того, что этот файл на компьютере эксперта не изменялся. Обычно подсчет осуществляется на автомате современными программами, но в принципе то же самое можно сделать и вручную.

Для систем Unix:

[skvz@localhost / root]# md5sum /usr/bin

13mb07ak238aobm301oa58an236lag /usr/bin

Под ОС Windows:

md5sum -b file.doc (флаг -b обязателен для подсчета в md5)

Шаловливые ручонки

Очень часто злоумышленники стараются помешать экспертизе, удалив все свои данные. Некомпетентные лица просто заново разбивают жесткий диск на разделы или просто форматируют все диски. Но задача экспертов в этом случае особенно не усложняется. Путем форматирования полностью удалить информацию невозможно. Для восстановления информации после форматирования существует много софтин, которые зачастую используются самими пользователями, по случайности удалившими что-то важное. Принцип их работы прост. Любые средства восстановления ищут примерные сигнатуры бывших файловых систем, размещенных в каждом разделе. По каким параметрам? К примеру, FAT содержит значения 0x55 и 0xAA в 510 и 511 байтах начального сектора, NTFS — по смещению 3 от начала, а в конце обязательно следует сигнатура 55h ААh и т.д. После обнаружения раздела и определения типа файловой системы начинается процесс поиска файлов путем сравнения известных сигнатур файлов (включенных в базу данных программы для восстановления информации) с имеющимися на диске. Например, большинство фотографий содержит сигнатуру JFIF и EXIF.

В Linux очень актуальна утилита gpart, которая, используя описанные выше приемы, восстанавливает исходные файловые системы на жестком диске. Это делается примерно так:

#gpart -v образ_диска.dd

Wardning: strange partition table magic 0x0000

[...]

Begin scan...

Possible Partition (Linux ext2), size (600mb)

Possible Partition (NTFS), size (1.7 gb)

Из вывода программы ясно, что на диске всего два раздела: Linux ext2 и NTFS. Аналогичным образом работают тулзы TestDisk (www.cgsecurity.org/wiki/TestDisk). Восстановив файловую систему, следователи займутся поиском метаданных или, иначе говоря, специальных конструкций, с помощью которых можно просмотреть содержимое файла и даже осуществлять поиск. Кстати, сняв слепок системы и отдав тебе компьютер под расписку, они легко смогут выяснить, что ты там потом натворил: какие файлы удалил и что в системе изменил.

Для вывода структур метаданных можно воспользоваться утилитой из пакета TSK – istat, которая будет выводить информацию по блокам:

Удален Тип Размер Время_последней_записи Блок данных

Yes File 4533 October 04, 2007, 05:05:12 642 424

Порой в своей практике эксперты сталкиваются с тем, что хитроумные злоумышленники делают в своем логове тайники, где и прячут оборудование. Например, в одной фирме с двойной бухгалтерией сервер размещался над навесным потолком, а единственный кабель (витая пара), спускающийся вниз, был сверху приделан к пружинному механизму, который в случае необходимости вытягивал кабель к потолку. В итоге, пришедшие с «долгожданной» проверкой даже не смогли найти сервер с данными.

Несколько полезных советов

1. Любые конфиденциальные файлы держи только на сменных носителях. Размещать подобные данные на своем обычном жестком диске — идея не очень разумная. В последнем случае секретную инфу можно зашифровать, но надежно спрятать ее вряд ли удастся. Хотя можно попробовать заюзать стеганографию (прием, скрывающий сам факт использования шифрования), воспользовавшись утилитами Gif-It-Up (www.theargon.com/achilles/steganography/gif-it-up), MP3stego (www.petitcolas.net/fabien/steganography/mp3stego), Steganography Tools (www.jjtc.com/Security/stegtools.htm).

2. Чтобы не морочить себе голову по поводу временных файлов браузера, нужно сразу отключить любое кэширование в его настройках. В случае Internet Explorer’а кэширования отключается в ветке реестра [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet].

3. Активированный параметр NoRecentDocsHistory в ветке [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\Explorer] запрещает системе вести статистику о документах, с которыми пользователь недавно работал.

4. Помни, что некоторые файлы хранят больше информации, чем это кажется на первый взгляд. К примеру, в некоторых форматах документов (в том числе Microsoft Word), кроме текста сохраняются метаданные. Пример собранной информации из документа Word:

Built-in Document Properties:

Built-in Properties Containing Metadata: 3

Title: Счета

Author: карда

Company: Carda-barba


Last 10 Authors:

Has Last 10 Data

Mishka C:\Mishka\Carding\Work\cheta.DOC

Gemaglab1n D:\ITdefence\cheta.DOC

gorl E:\Pamba\cheta.DOC

stepper F:\Xakep\DVD\Daily Soft\cheta.DOC

Как видишь, следователям под силу изучить всю цепочку, по которой путешествовал файл, тем самым выявляя всех твоих сподвижников и партнеров по злобным делишкам. Чтобы избежать подобных вещей, следует внимательно отнестись к рекомендации Microsoft (support.microsoft.com/default.aspx?scid=kb;EN-US;223396).

Разговаривают следователь и свидетель:

- Вы догадываетесь, почему Вас вызвали?

- Да, но лучше будет, если Вы скажете.

- Почему лучше?

- В противном случае получится, что Вам стыдно сказать.

WWW

Технологии слежки за пользователями с каждым днем становятся все совершеннее. В первую очередь это вызвано ростом террористического влияния. Рекомендую тебе почитать www.eff.org - там частенько выкладывают интересные данные о вторжении в личную жизнь со стороны всевозможных ведомств, о которых пользователь даже не догадывается.

INFO

Используя продвинутые средства анализа содержимого жесткого диска, можно очень быстро найти данные, которые легко тебя скомпрометируют. Банальный поиск по ключевым словам «эксплойт», «кредитка», «cc», «tan-код» выдаст место нахождения палева с потрохами.

INFO

Знал ли ты о том, что почти на каждой бумажке, распечатанной на принтере, содержится уникальный невидимый код, с помощью которого можно установить, с какого конкретно оборудования была произведена печать. Детективы используют такую тему в целях обнаружения «письменных» шантажистов и прочих негодяев.

__________________________

Данная статья взята с сайта xakep.ru
оригинальная ссылка на статью: http://www.xakep.ru/magazine/xa/100/038/1.asp

 

[dubwarrior]

большое спасибо, очень информативно! всем собратьям-бульте предельно осторожны! Создатель не зря одарил вас мозгами. Пользуйтесь ими и шифруйтесь правильно! Micro SD c txtшками в случае чего можно и съесть) Хистори браузера чистите или вообще отключите! VPN-это дешево в сравнении с доходами! деды-это необходимо! ваш ноутдруг должен быть чист, как попа младенца! читайте топик "шифруемся в реале" и "вопросы новичков"!всем мир!

 

[Noise]

Грамотно написано.

 

[Guha5277]

Вчера был год этой статье.

 

[Zonder]

Спасибо за статью !
хотелось бы добавить , пару лет назад после жосткого формата диска я удалил единственные ключи своего кипера на вебмоней , проблема решилась спустя 3 часа простым гугленем в интернете , проблема услажналяс тем что я на формат винт установил заногос свежую винду
разделе были восстановлены , инфа восстановилась
в целости и сохраности !

Есть над чем подумать

 

[amf1]

Серьезно ошибаются те, кто рассматривает установленную Unix-систему как гарант безопасности. Слишком сложно для экспертизы? Наоборот! Грамотные люди обязательно воспользуются специальным набором программ для анализа UNIX-систем — The Sleuth Kit (www.sleuthkit.org). Связка TSK хороша тем, что позволяет получить детальный отчет о системе, выявить любые файлы, скрываемые руткитами и при этом не нарушив целостности системы, что крайне важно для сбора доказательств. Комплекс скрупулезно анализирует файловые системы FAT, NTFS, Ext2/3, UFS, выводит листинги всех каталогов, восстанавливает удаленные файлы, строит графические диаграммы файловых операций и работает с базами хэш-кодов файлов. Словом, утаить что-либо очень будет сложно.

с офф. сайта
They can be used to analyze NTFS, FAT, HFS+, Ext2, Ext3, UFS1, and UFS2 file systems and several volume system types.

и теперь просто ставим другую файловую систему типа reiser, XTS, btrfs ]]

 

[CUK77]

Защита жесткого диска от правоохранительных органов​

hello world

Помните ситуацию, называемую в просторечье «Маски Шоу»? Готовы ли вы, и ваш «персональный друг», к такому повороту судьбы? Куда девать данные? Как быстро удалить, стереть информацию? Прятать ли жесткий диск, с корнем вырвав его из компьютера? Слышал: …можно положить жесткий диск, в микроволновку, — вуаля, полное удаление данных. — Бред?, — Не знаю не пробовал. Не отдавать же свой комп, со всем своим палевом, сотрудникам правоохранительных органов? Ну и как быть? Как бы вы поступили, если в глазок увидели, сотрудников полиции, с понятыми? Как же быстро удалить, всё что нажито не посильным трудом, всё что годами копилось на жестких дисках ваших братьев железных? Если резервные копии сделаны и надежно запрятаны, к примеру, у бабушки — соседки, которая даже и не догадывается об этом, или на каком-нибудь FTP, в офисе у жены, в зашифрованном виде — в директории «infected virus».

Обычно анон ограничивается простым удалением файлов со своего компьютера, считая при этом, что все нормально — никаких следов не осталось. Но на самом деле это только верхушка айсберга, так как все удаленные файлы все еще существуют (ну, а как вы думали работают программы по восстановлению файлов?). И если неосторожный анон не предпримет специальных мер, по исправлению этой ситуации, то в один прекрасный день на его голову упадет его железная дверь, когда специалисты из управления «К» решат посмотреть, чем это он занимался на прошлой неделе. Забрав жесткие диски, они смогут найти все, что их интересует.

Что такое компьютерная криминалистика и работа на «месте преступления»​

Компьютерная криминалистика по другому - «форензика» — это калька с английского слова forensics, которое, в свою очередь, является сокращенной формой от forensic science, «судебная наука», то есть наука об исследовании доказательств. В русском это понятие чаще называют криминалистикой, а слово «форензика» закрепилось за компьютерной ее частью.

Форензика — это удел спецов из групп быстрого реагирования, которые включаются в работу, если произошел инцидент, например взлом веб-сервера или утечка конфиденциальной информации, шифрование ценных данных и тому подобные проблемы. Перед экспертами-криминалистами в таком случае ставятся следующие задачи:

• понять, как была реализована атака;
• построить сценарий взлома;
• восстановить хронологию (таймлайн) атаки;
• собрать артефакты
• предложить превентивные защитные меры, чтобы такого впредь не повторилось.

Естественно, что эксперты будут работать над тем, чтобы обнаружить все файлы в системе субъекта преступления. Это включает в себя существующие активные, невидимые, удаленные, скрытые, защищенные паролями или зашифрованные файлы. Во многих случаях во время проведения компьютерной экспертизы собирается информация, которая обычно недоступна или не может даже просматриваться обычным пользователем, например фрагменты каких-нибудь данных, которые можно найти в пространстве, выделенном для существующих файлов (так называемом slack-пространстве). Для получения такого рода информации или доказательств необходимы специальные навыки и инструменты.
Эксперт может восстановить практически все ваши удаленные файлы, а также другие данные, которые еще не были перезаписаны. По мере того, как вы пользуетесь компьютером, операционная система постоянно записывает какие-нибудь данные на жесткий диск. Время от времени ОС будет сохранять новые данные на жестком диске, перезаписывая те, которые все еще существуют на диске, но больше ей не нужны, то есть перезаписывая удаленные файлы. Таким образом, постоянное использование компьютера может уничтожить данные, которые могли быть восстановлены до того момента, как они будут перезаписаны новыми данными.

Как защититься​

Стандартное удаление файлов заключается в том, что операционная система помечает файловое пространство как доступное для повторного использования. При очистке данных (data-wiping) происходит перезаписывание всего пространства данных на устройстве хранения, т.е. происходит замена полезных данных мусорными. В зависимости от используемого метода эти данные могут быть нулями (также известными как «заполнение нулями» или zero-fill) или это могут быть различные произвольно сгенерированные паттерны данных. Вот почему простого удаления информации никогда не бывает достаточно. Вы должны предпринять активные шаги для обеспечения тотального удаления информации без возможности ее восстановления.
Для выполнения этой операции мы будем использовать замечательный загрузочный диск DBAN.
Darik's Boot and Nuke ("DBAN") — консольная утилита запускаемая с самостоятельного загрузочного CD / DVD диска или USB флеш-накопителя (ранее и с дискеты) предназначенная для полного и необратимого удаление данных с жесткого диска с целью сделать невозможным их восстановление. DBAN стоит использовать только при потребности если нужно уничтожить всё что когда либо имелось на всех HDD находящихся в компьютере (безвозвратно уничтожить личные/секретные файлы).

Шаг 1. Скачайте и запишите DBAN​

Это может быть сделано на компьютере, который вы собираетесь очистить или на совершенно ином. Однако вы делаете это, цель заключается в том, чтобы получить ISO файл и затем записать на загрузочное устройство, такое как компакт-диск или флэш-накопитель.
Вы можете скачать бета-версию 2.2.6 с Sourceforge. Когда в вашем распоряжении будет .ISO-образ, все что останется сделать — это записать его на чистый CD/DVD диск. Вставьте диск в CD-ROM и перезагрузите компьютер. Большинство компьютеров настроены в первую очередь на загрузку с компакт-диска и только во вторую проверяется возможность загрузки системы с жесткого диска. Если это не так и ваш компьютер не загружается с компакт-дисков, то вам нужно будет войти в настройки BIOS и изменить порядок приоритетов загрузки.

Шаг 2. Загрузитесь и работайте​

После запуска с компакт-диска вы увидите следующее окно:

Просто нажмите Enter, чтобы запустить DBAN в интерактивном режиме. Главное меню, показанное на скриншоте ниже, должно отобразить ваш жесткий диск, над которым предполагается провести процедуру зачистки данных.

На следующем скриншоте показано, что DBAN готов приступить к работе. По умолчанию используется метод DoD Short wipe, и он прекрасно подойдет для наших целей.

Чтобы выбрать этот способ, просто нажмите пробел и DBAM начнет свою грязную работу по очистке ваших данных. Очистка DoD займет определенное время, особенно на больших жестких дисках.
Как только DBAN полностью завершит удаление данных на отдельных жестких дисках, вы увидите сообщение "DBAN succeeded".
На данный момент можно безопасно удалить диск или USB-устройство, на которое вы установили DBAN и затем выключить или перезагрузить компьютер.

Твердотельные накопители​

Безвозвратно удалить данные с твердотельного накопителя SSD и проще, и сложнее, чем с магнитного жесткого диска. Давай разберемся, что происходит внутри SSD-накопителя при удалении данных.
Ты наверняка слышал о том, что микросхемы памяти, использующиеся в SSD-накопителях, позволяют быстро считать информацию, не очень быстро записать данные в чистый блок и совсем медленно записать информацию в область, занятую другими данными. Нас сейчас интересует именно последнее свойство SSD-накопителей. Для того чтобы записать в ячейку данные, контроллер накопителя должен будет сперва очистить (стереть) данные в этой ячейке, и только после этого станет возможной операция записи. Поскольку процесс инициализации ячейки очень и очень небыстрый, производители разработали ряд алгоритмов, благодаря которым в распоряжении контроллера всегда есть достаточное количество пустых ячеек.
А что произойдет, если операционная система захочет записать данные в ячейку с определенным адресом, но по этому адресу уже хранятся какие-то данные? В этом случае контроллер SSD выполнит моментальную подмену адресов: нужный адрес будет назначен другой, пустой ячейке, а занятый блок получит другой адрес или вовсе уйдет в неадресуемый пул для последующей фоновой очистки.

Принцип работы «сборщика мусора» и Trim
При обычном использовании на диск записывается гораздо больше данных, чем он способен вместить. Пул свободных ячеек со временем сокращается, и в какой-то момент контроллеру становится доступным лишь пул из неадресуемого пространства «запасной» емкости. Эту проблему производители решают при помощи механизма Trim, работающего совместно с операционной системой. Если пользователь удаляет какой-то файл, форматирует диск или создает новый раздел, система передает контроллеру SSD информацию о том, что определенные ячейки не содержат полезных данных и могут быть очищены.
Обрати внимание: в результате работы Trim сама операционная система не перезаписывает эти блоки и не стирает информацию. Контроллеру всего лишь передается массив адресов ячеек, которые не содержат полезной информации. С этого момента контроллер может начать фоновый процесс удаления данных из ячеек.
Что произойдет, если на SSD-диске содержится большой объем информации, а контроллеру поступила команда Trim на все содержимое диска? Дальнейшее никак не зависит от действий пользователя или операционной системы: алгоритмы контроллера начнут очистку ненужных ячеек. А что случится, если пользователь (или злоумышленник) попытается считать данные из ячеек, на которые уже поступила команда Trim, но которые еще не были физически очищены?
Здесь начинается самое интересное. Современные SSD определяют три возможности:

1. Non-deterministic Trim: неопределенное состояние. Контроллер может вернуть фактические данные, нули или что-то еще, причем результат может различаться между попытками (SATA Word 169 bit 0).
2. Deterministic Trim (DRAT): контроллер гарантированно возвращает одно и то же значение (чаще всего, но не обязательно нули) для всех ячеек после команды Trim (SATA Word 69 bit 14).
3. Deterministic Read Zero after Trim (DZAT): гарантированное возвращение нулей после Trim (SATA Word 69 bit 5).

Определить, к какому типу относится твой SSD, можно при помощи все той же команды hdparm:
$ sudo hdparm -I /dev/sda | grep -i trim
* Data Set Management TRIM supported (limit 1 block)
* Deterministic read data after TRIM

SSD первого типа в настоящее время практически не встречаются (хотя до сих пор подобным поведением отличаются накопители стандарта eMMC). Как правило, для обычного использования производители предлагают диски второго типа, а SSD с поддержкой DZAT предназначены для использования в составе многодисковых массивов.
С практической точки зрения это означает только одно: сразу после удаления данных (хоть пофайлово, хоть форматированием, хоть переразбивкой разделов) информация станет недоступной для чтения как с компьютера, так и на специальном стенде.
Казалось бы, все просто? Нет, здесь есть крупный подвох, и даже не один.
Во-первых, уверен ли ты, что на твоей системе корректно функционирует Trim? Дело в том, что Trim поддерживается на уровне операционной системы начиная с Windows 7 и только при соблюдении ряда условий. Всех условий! Во-первых, диск должен быть подключен напрямую (SATA, NVME); для подавляющего большинства внешних (USB) накопителей Trim не поддерживается (бывают исключения). Во-вторых, Windows поддерживает Trim только для томов NTFS. Наконец, Trim должны поддерживать как драйверы, так и BIOS компьютера. Проверить работоспособность Trim в Windows можно командой
$ fsutil behavior query DisableDeleteNotify

Результат:

• 0 — Trim включен и работает корректно;
• 1 — Trim неактивен.

Обрати внимание: для USB-накопителей (внешних SSD) Trim с большой вероятностью не будет активен, хоть и может поддерживаться на уровне встроенного в накопитель контроллера.
Еще один момент. Да, остановить процесс фоновой сборки мусора невозможно: если на SSD-накопитель подается питание, то контроллер будет продолжать уничтожать данные после Trim независимо ни от чего. Однако достаточно извлечь из накопителя чипы памяти, и при помощи несложного стенда данные с них можно считать. Да, у исследователя будет сильнейшая головная боль, связанная с физической фрагментацией ячеек из-за переадресации блоков и сверх того — логической фрагментации данных. Тем не менее решить такую проблему все-таки можно.
Что приводит нас к последнему пункту. Заметная часть емкости накопителя (в некоторых моделях — до 10%) отводится под резервный неадресуемый пул. В теории ячейки в этом пуле должны очищаться; на практике из-за многочисленных особенностей реализации и ошибок в прошивках это работает далеко не всегда и данные могут физически оставаться на месте даже после завершения очистки.
Таким образом, ситуация с удалением данных с SSD выглядит следующим образом.

1. Ты можешь мгновенно удалить данные со встроенного SSD-накопителя, просто отформатировав раздел (используй NTFS в качестве новой файловой системы). Trim пометит блоки как неиспользуемые, а контроллер постепенно удалит информацию из этих ячеек.
2. Если все прошло правильно, то никакими недеструктивными способами добраться до информации будет невозможно. Более того, если злоумышленник подключит диск к другому компьютеру или специализированному стенду, контроллер SSD продолжит методично затирать ячейки.
3. Если же из SSD извлекут микросхемы, то оставшиеся в ячейках данные удастся считать. Более того, даже если процесс очистки, казалось бы, завершен, в неадресуемом резервном пуле могут остаться ячейки, в которых содержатся «удаленные» данные.

Как полностью и надежно уничтожить содержимое SSD-накопителя? К сожалению, это не один, а два разных вопроса. Полностью очистить содержимое SSD можно при помощи уже знакомой команды ATA Secure Erase, которую можно выдать через hdparm. А вот «надежно» — увы, остается лишь надеяться на правильную реализацию Secure Erase разработчиками контроллера. Практика показывает, что в некоторых случаях Secure Erase не производит полной очистки ячеек из резервного пула (из-за простейших ошибок в прошивке). Таким образом, гарантию даст исключительно использование криптоконтейнера: если удаляется криптографический ключ, расшифровать остатки содержимого будет практически невозможно. Но и здесь есть свои но: о депонированных ключах мы уже говорили. Организации, работающие с секретной информацией, и вовсе не признают иных способов очистки SSD, кроме физического уничтожения носителя.

​

Заключение​

DBAN работает с IDE и SATA интерфейсами жестких дисков. Не смотря на спартанский вид и минимум возможностей с своей основной задачей DBAN справляется на отлично! Для очистки дисков Dariks Boot and Nuke использует метод рекомендованный Министерством Обороны США (DoD).
Безвозвратно удалить информацию непросто, а сделать это быстро — еще сложнее. И если магнитный жесткий диск при наличии свободного времени можно очистить целиком и полностью, то в случае с SSD дела обстоят куда более запутанно. Надеемся, что эта статья поможет тебе найти оптимальную стратегию уничтожения информации.