14 лет назад 29 марта 2005 в 1:19 86

Существует мнение, что вопрос надежного удаления конфиденциальной информации интересует исключительно крупные компании, которые таким образом пытаются предотвратить утечку коммерческих секретов. Тем не менее у самого обыкновенного пользователя не меньше причин заботиться о сохранении в тайне некоторых своих действий, особенно на рабочем ПК.

Представьте себе, что ваш работодатель решил посмотреть, чем вы занимаетесь в рабочее время. И выяснил, что история посещений вашего браузера состоит исключительно из ссылок на сайты кадровых агентств. А в папке “Мои документы” находятся ваши резюме. Вряд ли после получения такой информации он прибавит вам жалование (хотя кто знает – может быть, именно тогда он его и прибавит).

Предположим, вам нечего скрывать от семьи, а в вашей организации не торопятся закручивать гайки. Но как предотвратить утечку паролей или другой приватной информации, когда на время вашего отпуска за ваш ПК садится другой сотрудник, компьютер попадает в ремонтный отдел, за одним ПК работают несколько пользователей? Наконец, как быть, если вы самый обыкновенный параноик?

ГДЕ МОГУТ ХРАНИТЬСЯ СЕКРЕТЫ
Вообще говоря, информация, представляющая интерес для посторонних глаз, может храниться где угодно, и вычистить ее вручную, не прибегая к специализированным утилитам, очень сложно. Вот самые простые примеры.

– Любой браузер содержит все ссылки, вводимые пользователем. Причем каждый браузер хранит историю в своем месте – если вы используете, например, Mozilla Firefox, то найдете ее в каталоге Documents and Setting\<пользователь>\Application Data\Mozilla\Firefox\Profiles\<имя профиля>.
– У каждого браузера существует кэш, в котором хранятся однажды загруженные страницы.
– Файлы Cookies часто содержат пароли доступа к веб-сайтам.
– В каталоге Documents and Setting\<пользователь>\Local Settings\Temp можно обнаружить упоминания об установленных вами программах, содержимое когда-то распакованных архивов и прочие интересные вещи.
– Swap-файл или файл подкачки – это место, в которое из оперативной памяти записывается временно неиспользуемая информация. Анализ этого файла (pagefile.sys), проведенный специалистом, тоже может многое рассказать.
– Особый интерес для квалифицированного злоумышленника представляет компьютер, который погрузили в hibernate, то есть такое состояние, когда на жесткий диск в файл hiberfil.sys записывается все содержимое оперативной памяти.
– В папках, где когда-то были графические документы, могут остаться файлы Thumbs.db – кэш формируемых проводником эскизов, а в Documents and Settings\<пользователь>\Recent – ярлыки открывавшихся ранее файлов.
– В системном реестре хранится огромное количество приватных данных – следы вашей работы оставляет в нем не только Windows, но и прикладные программы: проигрыватели, например, сохраняют список последних воспроизведенных файлов, а текстовые редакторы – открытых документов. При желании и наличии программы вроде PassView даже начинающий пользователь сможет вытащить из реестра пароли самого разного вида – от паролей Dial-Up-соединений до паролей интернет-пейджеров.
– Пиринговые клиенты, FTP-клиенты, интернет-пейджеры и “звонилки” складывают на диск не только свои временные файлы и всевозможные “хистори”, но и файлы своей конфигурации, часто содержащие пароли доступа.
– Пароль доступа к удаленному рабочему столу службы Remote Desktop Connection хранится на диске в обычных файлах с расширением RDP.
– Наконец, непосредственно на жестком диске могут остаться следы удаленных конфиденциальных документов, поскольку при очистке Корзины файлы не затираются физически, а лишь помечаются как удаленные, и программы вроде EasyRecovery легко их восстанавливают.

Решением проблемы могло бы стать полное шифрование жесткого диска и ограничение доступа к компьютеру. Но на рабочем ПК это может оказаться неприемлемым, а при необходимости однократной “подчистки следов”, например, перед отъездом в командировку, – просто бессмысленным, поскольку существуют более удобные средства – программы для оперативного или регулярного уничтожения приватной информации.

Основные алгоритмы уничтожения информации
Самая плохая идея – простое уничтожение файлов средствами системы Windows (помещение в Корзину и последующая ее очистка). Как мы уже говорили, изменения при этом будут внесены только в таблицу расположения файлов, а сами данные останутся лежать там, где лежали, и восстановить их не составит особого труда.

Кроме того, существует весьма распространенное заблуждение, что запись какой-либо информации поверх стертой полностью исключает возможность ее восстановления. Для того чтобы понять ошибочность этой гипотезы, надо вспомнить, что на диске находятся не виртуальные “нолики-единички”, а намагниченные области. При этом единице соответствует одна степень намагниченности, а нулю – другая. Естественно, на практике нельзя говорить о жестко детерминированных значениях, а только об областях значений, которые могут быть довольно размытыми.

Более того, если точно замерить намагниченность областей диска, то выяснится, что одинаковых значений практически не будет. “Ноль”, записанный поверх “единицы”, будет несколько больше чистого “нуля”. Разумеется, контроллер этого не замечает, поскольку округляет считываемые данные. Но при помощи специальной аппаратуры можно получить точные значения намагниченности всех участков и восстановить по ним исходную информацию. Поэтому для уничтожения данных программным способом (есть и более мощные – аппаратные) разработаны специальные алгоритмы.

Самым распространенным в настоящее время является американский национальный стандарт DoD 5220.22-M (DoD – это аббревиатура Department of Defence). Затирание данных согласно этому стандарту осуществляется в три прохода плюс один цикл верификации. При первом проходе в каждый байт каждого сектора записывается случайный символ. При втором проходе сохраняются инвертированные данные, а при третьем – еще одна последовательность случайных символов.

На первый взгляд, этот алгоритм достаточно надежен, но специалисты утверждают обратное. Более того, в самих США для удаления совершенно секретной информации этот алгоритм не используется.
Германская организация Bundesamt fuer Sicherheit in der Informationstechnik (аналог нашего ФАПСИ) разработала стандарт VSITR. Он надежнее американского за счет того, что вместо трех циклов используется семь. Первые четыре пары циклов составляют проходы, во время которых на диск записываются сначала нули, а потом единицы. А на последнем цикле осуществляется запись значения 0xAA.

Российский ГОСТ Р50739-95 является самым ненадежным, хотя защиту от восстановления данных программными средствами он обеспечивает. При уничтожении информации по этому стандарту в каждый сектор записываются либо нули, либо случайные символы.

Так называемый алгоритм Брюса Шнайера состоит из семи циклов. При первом поверх удаленной информации записываются нули, при втором – единицы. А потом пять кругов пишутся случайные символы. Этот алгоритм надежнее немецкого VSITR.

Однако самым надежным является алгоритм Питера Гутманна. Правда, он является и самым громоздким за счет 35 циклов. Во время первых четырех записываются произвольные биты, еще два цикла – запись кодов 55h, AАh, следующие три – 92h, 49h, 24h, затем шестнадцать циклов осуществляется последовательная запись кодов от 00 до ААр, затем три раза повторяется запись 92h, 49h, 24h, три раза пишется 6Dh, B6h и вновь первые четыре цикла. После всего этого понять, что там было первоначально, практически невозможно.

ИНСТРУМЕНТАРИЙ
Программный инструментарий может различаться в зависимости от уровня подготовленности пользователя, а также задач, которые ему необходимо решить – будь то рядовая чистка журнала браузера или срочное удаление секретных документов. Программа CyberScrub Pro (www.cyberscrub.com) известна, прежде всего, тем, что стала первой, получившей сертификат VIA PadLock Initiative, то есть она оптимизирована для работы с функциями защиты информации, примененными в новейших процессорах VIA. Разумеется, это не означает, что ее нельзя запускать в системах с другими процессорами.

Программа удалит все следы посещения интернета, очистит Корзину так, чтобы максимально затруднить восстановление удаленных файлов, сотрет все лог-файлы, которые хранятся в системе, и избавит пользователя от необходимости вручную вычищать свидетельства пользования клиентом пиринговой сети. В настройках CyberScrub можно указать папки, информация из которых будет удалена. При желании можно очистить целые логические разделы, причем правила уничтожения информации поддаются ручной правке. В работе программа руководствуется американскими стандартами, качества которых более чем достаточно для большинства пользователей. Несмотря на широкие возможности, применять CyberScrub весьма удобно – она рассчитана на обыкновенного владельца системы Windows.

Программа RedBut (liepass.com.ru) несколько иного плана. Помимо удаления файлов, папок и следов интернет-активности RedBut умеет шифровать и даже в экстренном порядке подменять секретные файлы и папки специально заготовленными “пустышками”, а также скрывать от посторонних людей действия, совершаемые в данный момент на компьютере (это называется “защитой от босса”). Правда, в автоматическом режиме программа работает только с браузером Internet Explorer, а пользователям остальных браузеров придется вручную указывать все папки, которые надлежит очистить. Зато RedBut обладает еще одним очень редким качеством – он умеет бесследно удалять сам себя.

Исходя из нашей задачи, нужно отметить, что программа удаляет все данные из буфера обмена и форм автозаполнений, временные файлы приложений и файлы из Корзины, очищает список используемых документов и часто вызываемых программ. Кроме того, чистится кэш браузера (автоматически или с указанием папок вручную) и список вводимых адресов.

Чтобы защитить систему от случайного удаления данных, в программе имеется возможность воспользоваться предохранителем. Он маскируется под какое-либо стандартное системное сообщение с кнопкой “OK”. Текст сообщения можно написать самому. Однако в качестве предохранителя может выступать и комбинация клавиш, что позволяет сделать запуск программы совершенно незаметным.

Разработчики не указывают алгоритм, который используется в RedBut, но пользователю позволяется отрегулировать скорость и качество работы, которые, естественно, обратно пропорциональны друг другу.

В дополнение к RedBut на этом же сайте можно взять небольшую, но очень интересную утилиту LiePass, которая понадобится в критических ситуациях, когда информация должна быть уничтожена, а тот, от кого ее нужно скрыть, уже стоит возле компьютера. В настройках программы указывается одна или несколько папок, которые могут быть удалены при загрузке системы. Для этого используется специальный пароль, который также определяется в настройках. При загрузке пользователю будет предложено ввести пароль на вход, что вряд ли вызовет у кого-то подозрения. Однако при вводе “неправильного” специального пароля вход будет осуществлен, но программа уничтожит все содержимое выбранной папки.

У программы All Cleaner (www.topdownloadsnet.com) немало достоинств. Первое, что сразу бросается в глаза, – встроенный планировщик, который не позволит забыть о необходимости удалить секретные файлы. Одна из опций планировщика заключается в очистке системы каждый раз при ее загрузке.
All Cleaner предлагает потребителю широкий выбор алгоритмов уничтожения, среди которых (внимание, параноики!) имеется даже алгоритм Питера Гутмана. Впрочем, количество циклов затирания файлов можно указать и вручную. Если возможностей, которые предоставляет программа, вам покажется мало, то можно попробовать найти соответствующий плагин – некоторые присутствуют и в стандартной поставке.

К сожалению, поклонникам браузера Opera придется настраивать все вручную – с этим браузером программа незнакома. А вот пользователям Internet Explorer и Netscape Navigator никаких препятствий нет, разве что последним придется указать программе каталог с профилями.

У программы Evidence Eliminator (www.evidence-eliminator.com) есть одна особенность, которая может отпугнуть от нее эстетов: при ее написании использовался Visual Basic. Если же пренебречь вышесказанным, то программа является одной из лучших в своем классе и отлично подходит продвинутым пользователям, хотя с непривычки ее интерфейс может показаться слишком перегруженным. Evidence Eliminator может удалить файлы по любой заданной маске, сотрет все истории чего бы то ни было (точнее, все, что сможет отыскать, но в большинстве случаев она находит все), при этом все записи в реестре, относящиеся к последним открытым файлам тоже будут удалены. Но самое поразительное делает программа при загрузке из “чистого” DOS – она полностью вычищает реестр.

В качестве алгоритма уничтожения файлов программа позволяет использовать три базовых режима – заполнение нулями; заполнение нулями с реверсом; нули плюс реверс плюс случайный набор. С одной стороны, не густо, но большинству пользователей вполне хватит и этого. Отдельно стоит отметить конфигурабельность программы – обратной стороной навороченного интерфейса является возможность настроить все, что настраивается. Только поклонники браузера Opera и в этом случае остались обделенными – стандартных настроек для этого браузера нет, так что придется потрудиться самостоятельно.

Программу Eraser (www.tolvanen.com/erase) нельзя назвать современной – последнее обновление на сайте было два года назад. Однако уникальность этой утилиты заставляет обратить на нее внимание. Дело в том, что распространяется она по лицензии GPL. Несмотря на то что программа работает под управлением системы Windows, ее идеология рассчитана, скорее, на юниксоида – Eraser не позволяет себе даже намека на то, чтобы дать пользователю какой-то совет или предложить ему готовое решение.

Единственное исключение – алгоритм уничтожения данных придется брать из списка. Хотя и тут можно использовать свой собственный – текст-то программы всегда доступен и найти его можно на официальном сайте. Программа позволяет делать две вещи: указать файл или папку, предназначенные к уничтожению и удалить их или поручить это планировщику, которому также надо указать, что именно и каким образом желательно уничтожить. Отсутствие излишеств существенно упрощает задачу пользователю, который не любит разбираться с мудреными интерфейсами. Зато ему нужно будет точно знать, что именно надлежит уничтожить и где это находится.

Одной из самых простых в использовании и вместе с тем крайне эффективной с точки зрения достижения цели, является программа Acronis Privacy Expert Suite 7.0 (www.acronis.ru). Это хороший выбор для отечественного пользователя стандартного уровня подготовки. Программа дает возможность удалить резервные копии файлов реестра Windows, которые могут содержать секретные данные, временные файлы из стандартных папок Windows, пользовательские папки или документы на любых подключенных к компьютеру дисках; очистить Корзину, уничтожить файл подкачки, а также список недавно открывавшихся или сохранявшихся файлов.

Acronis Privacy Expert Suite 7.0 сможет окончательно и бесповоротно ликвидировать все свидетельства поиска файлов на дисках компьютера или компьютеров в сети; вычистить кэш браузеров Internet Explorer и Netscape / Mozilla (Opera не поддерживается), а также список посещенных в интернете страниц; удалить файлы cookie и загружаемые компоненты; уничтожить сообщения электронной почты в программах Microsoft Outlook и Outlook Express, очистить список контактов и адресную книгу.

Если пользователь хранит секретные документы на отдельном разделе диска или вообще на отдельном диске, то программа может стереть все, что там находится, без возможности восстановления. А если он не уверен в том, что все ранее удаленные файлы были действительно надежно затерты, то можно гарантированно очистить все свободное пространство на диске. При этом пользователь может сам выбрать алгоритм, по которому будет производиться уничтожение информации.

Выбор достаточно велик: американские DoD 5220.22-M, NAVSO P-5239-26 (RLL) и NAVSO P-5239-26 (MFM), немецкий VSITR и российский ГОСТ P50739-95. Знакома программа и с технологиями методами Питера Гутманна и Брюса Шнайера. Если же для пользователя критичным является время уничтожения информации, то можно выбрать так называемый быстрый метод, однако важно помнить, что он является самым ненадежным.

Программа Acronis Privacy Expert Suite 7.0 может работать в двух режимах: комплексная очистка и очистка отдельных системных компонентов. При комплексной очистке программа сама вычистит систему от всего, что посчитает подлежащим удалению. Неудобство же этого режима заключается в том, что вместе с секретным, можно запросто удалить что-то нужное.

Поэтому на практике лучше всего использовать ручной режим, где настройке подлежит практически все. Причем кроме выбора предназначенных для удаления компонентов пользователь может еще более конкретизировать задачу, что может быть полезным в ряде случаев. Например, при очистке списка посещенных узлов интернета пользователь может удалить не все, а оставить те, которые можно показать остальным. При этом решается еще одна проблема – маскируется сам факт очистки системы.

Если же операция по удалению секретных файлов при помощи программы Acronis Privacy Expert Suite 7.0 будет производиться регулярно, то не стоит это делать вручную постоянно – лучше немного потрудиться и доверить выполнение задачи планировщику. Интересно, что в настройках планировщика есть возможность запрограммировать выполнение любого задания перед выключением машины. Это очень удобно, поскольку не тратится рабочее время, – какая разница как долго будет выгружаться система.

Крайняя мера
Бывают случаи, когда надо гарантированно уничтожить всю информацию, находящуюся на жестком диске, – например, при перепродаже ноутбука. Для этой цели можно использовать программы отечественных разработчиков – Paragon Disk Wiper (www.paragon.ru) и Acronis Drive Cleanser 6.0 (www.acronis.ru). Для успешной работы этих утилит их не нужно устанавливать на жесткий диск, поэтому уничтожить можно данные даже на том носителе, операционная система которого была разрушена. Хотя программы работают и из системы Windows.

Обе программы позволяют очистить целый диск, отдельные разделы диска, а также свободное пространство любого раздела, стирая при этом ранее удаленные файлы. В случае очистки всего диска будет удалена даже информация из MBR, поэтому программы можно использовать для надежного удаления MBR-вирусов, с которыми не смогли справиться антивирусные программы.

Для того чтобы пользоваться этими программами, не нужно никакой специальной подготовки благодаря продуманному наглядному интерфейсу. А вот качество работы удовлетворит даже самого придирчивого пользователя – профессиональная версия программы Disk Wiper использует целых 99 проходов.

Существует весьма распространенное заблуждение, что запись какой-либо информации поверх стертой полностью исключает возможность ее восстановления.