Hygiène des données

[!toc] Table of contents

• Deleting data securely

• How Files are “deleted” - Anna & Arthur’s shared apartment
• Special characteristics
• Deleting encrypted data

Qu’il s’agisse de surveillance réseau, d’analyse forensique numérique ou de perquisitions : la surveillance porte toujours sur des données qui pourraient potentiellement être utilisées contre toi. C’est pourquoi il est important de se demander régulièrement quelles données sont vraiment nécessaires :

• Avons-nous besoin de prendre des notes pour cette réunion ?
• Si tout le monde était à la réunion, les notes ne sont peut-être pas nécessaires pour certaines choses.
• Ai-je besoin d’emporter mon téléphone mobile avec moi ?
• Ai-je besoin d’écrire à mes ami·es à propos du truc cool que je viens de faire ?
• Se vanter en a fait tomber plus d’un·e !

S’il n’y a pas de données, personne ne peut y accéder. Cependant, la destruction de documents jugés non-nécessaires peut être profondément regretté quelques années plus tard. Malgré tout, selon les données stockées, garder simplement des documents sous le lit ou sur une clé USB non chiffrée peut être trop risqué. Alors, comment stocker des données de manière sûre ? Dans tous les cas, rarement sur papier !

[!warning] Warning {static}

If you have created “incriminating material” - Get rid of it ASAP!

Cependant, la plupart des gens savent probablement que la suppression simple d’un fichier ne signifie pas que les données sont définitivement perdues. Même pas quand Windows t’avertit que vider la corbeille les fera disparaître pour toujours.

Supprimer des données de manière sûre

[!tip] TL;DR {static}

La manière la plus sûre de supprimer des données, c’est lorsque le disque est chiffré.

Dans ce cas, un outil forensique a toujours besoin du mot de passe de chiffrement avant de pouvoir lire quoi que ce soit, même si tu as supprimé les fichiers « normalement ».

Pour illustrer ce qui se passe quand des fichiers sont supprimés « normalement », voici une métaphore :

[!technical] SSDs vs HDDs

Le scénario suivant ne s’applique qu’aux

types courants de stockage, comme les disques durs HDD classiques ! Il y a des éléments supplémentaires à prendre en compte pour les stockages flash comme les cartes SD, les clés USB ou les SSD. Plus de détails à ce sujet ci-dessous, dans « Particularités ».

Comment les fichiers sont « supprimés » - la colocation d’Anna et Arthur

Anna et Arthur vivent en colocation. Leurs noms et adresses sont listés dans le carnet d’adresses (contrairement à un annuaire téléphonique, tout est ici trié par adresse). L’appartement est le support de stockage (disque dur, clé USB, carte SD, etc.) et Anna et Arthur sont les données sur ce support de stockage. Le bon vieux annuaire papier (ces énormes livres où l’on pouvait trouver le numéro fixe et l’adresse de tout le monde) est ce qu’on appelle le système de gestion des adresses du support de stockage.

Si tu veux trouver Arthur, tu saisis l’adresse d’Arthur. L’ordinateur va alors à l’adresse, récupère Arthur dans son appartement et l’affiche à l’écran. C’est le fonctionnement normal lorsque des données sont stockées en mémoire et utilisées.

Malheureusement, pendant la dernière action, le masque d’Arthur a glissé sous son nez, il a été identifié, et maintenant il doit partir vite : les données doivent être supprimées.

Si tu cliques maintenant sur « supprimer », ce fichier sera déplacé vers la corbeille. Rien n’est vraiment supprimé lorsqu’il est déplacé vers la corbeille ; vois ça simplement comme un dossier « fichiers à supprimer ».

Tu vides donc aussi la corbeille. Que s’est-il passé maintenant ? Arthur a-t-il disparu ?

Non, tu as seulement supprimé le nom d’Arthur du carnet d’adresses. Arthur lui-même est toujours assis sur son canapé en attendant que quelque chose se passe : les données sont toujours physiquement sur le support de stockage. Elles ne sont simplement plus indexées dans le répertoire d’adresses de la mémoire.

Si les flics regardent dans le carnet d’adresses, ils ne trouveront plus le nom d’Arthur. Mais s’ils cherchent simplement rue par rue, porte par porte, ils finiront par tomber sur la colocation d’Anna et Arthur, où Arthur est toujours assis.

La solution ? Écraser les données : Anna et Arthur ont besoin de nouveaux locataires aléatoires.

[!tip] Overwrite data! {static}

En résumé : les données ne sont vraiment supprimées que lorsque les adresses en mémoire où elles étaient stockées ont été écrasées par d’autres données aléatoires.

Cependant, ce processus n’est standard dans aucun système d’exploitation courant (PC ou téléphone mobile), car ceux-ci ne suppriment que les entrées d’adresse des fichiers. Cela nécessite donc des actions supplémentaires.

Particularités

• Adressage : Avec la mémoire flash comme les cartes SD, les clés USB ou les SSD, le système d’exploitation ne sait pas exactement sur quels bits les données sont réellement stockées. Il n’y a pas de lien clair entre les bits physiques et les adresses de secteurs adressables de l’extérieur. Ces bits ne peuvent donc pas simplement être écrasés, car on ne sait pas clairement lesquels doivent l’être.
• Overprovisioning : en plus, ces types de mémoire bloquent certains espaces d’adresses contre l’accès en écriture externe, appelés « blocs réservés ». Cet overprovisioning a trois fonctions principales : correction d’erreurs, optimisation de la vitesse d’écriture et préservation de la durée de vie du support de stockage.

[!technical] Technical Details - Overprovisioning

• Correction d’erreurs : si certaines cellules de stockage deviennent défectueuses (par ex. à cause de l’usure), le contrôleur peut se rabattre sur cette réserve pour éviter que les données soient stockées de manière « corrompue ».
• Vitesse d’écriture : comme les blocs de réserve sont déjà disponibles « vides », les cellules n’ont pas toujours besoin d’être supprimées avant de pouvoir être réécrites. Le contrôleur peut donc accéder directement à des cellules vides et y écrire immédiatement.
• Durée de vie : en faisant tourner les données sur les cellules mémoire, l’overprovisioning empêche certaines cellules de rester dans le même état pendant très longtemps. Cela rend typiquement ces cellules asymétriques quant à leurs états « on » et « off ». Elles ont donc tendance à basculer dans un sens ou dans l’autre. Cela conduit à des erreurs lors des opérations d’écriture, car un transistor qui est resté « on » pendant des années, par exemple, reçoit maintenant l’ordre de passer à « off » avec une impulsion extrêmement courte. Cependant, cela peut ne pas se produire parce qu’il est resté « on » trop longtemps.

Il ne suffit donc pas d’écraser les cellules mémoire avec des bits aléatoires par des méthodes conventionnelles. Cela laisse intacts les blocs de réserve, à partir desquels d’anciennes données peuvent être reconstruites en cas de doute. La spécification ATA fournit deux commandes pour cela : SECURITY ERASE UNIT et ENHANCED SECURITY ERASE UNIT. La première écrase avec des zéros, la seconde avec des octets aléatoires. Si ces commandes sont appliquées à un SSD, les blocs de réserve seront aussi écrasés. Des outils en ligne de commande existent pour cela sous Linux et Windows, mais ils peuvent être un peu bricolés. La plupart des fabricants de SSD comme Samsung, Kingston, Western Digital et d’autres fournissent leurs propres outils pour cela, qui peuvent être utilisés.

Ces outils ne font au fond rien de plus qu’appliquer ces commandes aux SSD avec leur propre firmware (propriétaire).

Supprimer des données chiffrées

Une méthode plus efficace est le chiffrement. Ce qui suit s’applique aussi bien aux disques rotatifs (HDD) qu’aux SSD :

Lorsque le support de données est chiffré, une clé est générée et stockée dans l’en-tête de la mémoire. On te demande de définir un mot de passe pour le chiffrement. Ce mot de passe est ensuite utilisé pour chiffrer la clé stockée dans l’en-tête, pas les données elles-mêmes.

Chaque opération de lecture ou d’écriture de données est déchiffrée ou chiffrée symétriquement à l’aide de la clé.

En raison des propriétés mathématiques des algorithmes de chiffrement modernes, les états des bits sur le support de données physique ne peuvent pas être distingués de bits aléatoires. Un support de données chiffré a donc exactement la même apparence qu’un support écrit aléatoirement.

Pour supprimer ces données de manière sûre, seule la clé dans l’en-tête du support de données doit être supprimée et écrasée. Cela permet non seulement de gagner beaucoup de temps (cela ne prend que quelques minutes), mais aussi de préserver la durée de vie du support de données. Écraser complètement un HDD de 1 To peut facilement prendre plus de 5 heures.

Des informations plus détaillées peuvent être trouvées ici.

[!info] Summary {static}

• Données sur des supports non chiffrés : les données supprimées laissent des traces qui peuvent être récupérées. Les données doivent donc être écrasées avec des bits aléatoires (de préférence plusieurs fois) lors de leur suppression.
• Données sur des supports de stockage chiffrés : elles ne peuvent être déchiffrées qu’avec la clé présente dans leur en-tête. Cette clé est protégée par un mot de passe. Si seule cette clé est supprimée et écrasée, les données ne peuvent plus être récupérées.