Os dados em um SSD do MacBook Pro podem ser recuperados após a formatação usando o Utilitário de Disco

7

Meu MacBook Pro está indo para um novo proprietário e quero ter certeza de que os dados são adequadamente apagados no SSD interno (flash PCIe). Existem duas perguntas / respostas do Stack Exchange que parecem apresentar fatos conflitantes sobre se o uso ou não do Utilitário de Disco para apagar uma partição o tornará suficientemente difícil para impedir a recuperação de dados:

Sugere que uma simples "Apagar" no Utilitário de Disco fará o trabalho:

Como obter a função "Apagar com segurança" do Utilitário de Disco no El Capitan & Sierra

Sugere que um SSD que foi apagado pode ser razoavelmente recuperado:

https://security.stackexchange.com/questions/12503/can-wiped-ssd-data-be-recovered

Portanto, com base nessas informações conflitantes, como posso estar razoavelmente seguro de que os dados no SSD apagado desapareceram e não são recuperáveis? É verdade que quando você formata uma unidade em um MacBook Pro (final de 2016), a TRIMfunção irá apagar todos os restos dos arquivos ou eles ainda estão na unidade, prontos para alguém com um programa de recuperação para acessá-los?

Estou tentado a experimentar, diskutil secureErasemas não quero apagar acidentalmente o disco / partição errada, nem colocar desgaste desnecessário no SSD.

Swisher Sweet
fonte

Respostas:

5

Desde que eu era o autor da resposta ligada, eu vou ter que explicar o que está acontecendo ....

Primeiramente, é importante observar que o estudo FAST referenciado pela comunidade de Segurança da Informação do SE, Apagando de forma confiável os dados de unidades de estado sólido baseadas em Flash, é de 2011 e agora tem 6 anos de idade 1 .

A conferência em que este artigo foi apresentado foi em fevereiro de 2011. Lembre-se de que as especificações do SATA 3.1 que abordavam os problemas do TRIM não foram divulgadas até julho de 2011

Dentro da especificação TRIM, incluída no SATA 3.1,

Uma desvantagem do comando ATA TRIM original é que ele foi definido como um comando não-comu- velável e, portanto, não poderia ser facilmente misturado com uma carga de trabalho normal de operações de leitura e gravação enfileiradas. O SATA 3.1 introduziu um comando TRIM na fila para remediar isso. [62]

Existem diferentes tipos de TRIM definidos pelo SATA Palavras 69 e 169 retornados de um comando ATA IDENTIFY DEVICE:

  • TRIM não determinístico: cada comando de leitura para o endereço de bloco lógico (LBA) após um TRIM pode retornar dados diferentes.
  • TRIM determinista (DRAT): Todos os comandos de leitura para o LBA após um TRIM devem retornar os mesmos dados, ou tornar-se determinados.
  • Leitura Determinista Zero após TRIM (RZAT): Todos os comandos de leitura para o LBA após um TRIM devem retornar zero.

Tudo isso se resume a qual tipo de comando TRIM seu hardware é capaz de executar. Da pesquisa que fiz até agora, os SSDs modernos usam DRAT ou RZAT dependendo da "qualidade" do drive (a qualidade mais alta geralmente significa que o RZAT é implementado).

Nos drives que implementam o DRAT, o espaço excluído é marcado como "não usado" e os dados "podem" ser recuperados, até um ponto. Com unidades que usam RZAT, uma vez que o comando TRIM é executado, a unidade retornará "zeros", independentemente de qualquer dado que esteja naquele espaço. 2

O MBP de 2016 usa a NAND SDRQKBDC4 064G 64 GB 3 da SanDisk que é fabricada especificamente para a Apple. Infelizmente, não encontrei especificações detalhadas sobre o suporte ao TRIM para essas unidades específicas (o white paper que elas mencionam é 404). Embora eu não consiga obter informações técnicas detalhadas sobre essa unidade, eu aposto que ela usa o comando RZAT TRIM e não o DRAT.

Resumindo, se o SSD tiver apenas capacidade DRAT, existe a possibilidade de recuperar dados, mas geralmente é uma situação em que você conseguiu interromper o processo de exclusão e iniciar imediatamente a recuperação de dados. Se implementar o RZAT, você pode ter certeza de que a recuperação só receberá zeros de volta a menos que eles o levem (junto com uma ordem judicial) de volta ao fabricante para obter uma recuperação de baixo nível. 2

TL; DR

Com Macs novos e modernos e macOS, se você limpar sua unidade e reinstalar o macOS em cima dela, é altamente improvável que alguém consiga recuperar seus arquivos.

Se você está preocupado que o usuário levará a unidade a um laboratório forense para recuperar dados (isso é um problema totalmente diferente), você deve substituir a unidade. Qualquer coisa menos que isso e você ficará bem.


1 Conferência USENIX sobre Tecnologias de Arquivo e Armazenamento, 2011.

2 Recuperando Evidências de Unidades SSD em 2014: Entendendo TRIM, Coleta de Lixo e Exclusões . 23 de setembro de 2014

3 MacBook Pro 13 "Touch Bar Teardown Ifixit.com, ~ dezembro de 2016.

Allan
fonte
Como posso descobrir qual “tipo” de TRIM está habilitado para o meu mac? As informações do sistema apenas listam TRIM como suportado.
NoMoreErrors
Isso estaria nas especificações da unidade. O comando TRIM para apagar é o mesmo - como faz "sob o capô" é inteiramente do fabricante.
Allan
2

A última resposta que você cita tem toda a informação. É complicado apagar um SSD. Então, depende das suas necessidades de segurança.

Como o primeiro artigo diz, a exclusão de arquivos ao usar o TRIM faz um trabalho decente de destruir dados, mas há uma chance de que alguns dados possam ser recuperados.

Para mais segurança, você pode criptografar seu disco com o Filevault ou apagá-lo. O resultado deve ser praticamente o mesmo (desgaste e segurança). Mas como a última resposta diz que não há garantia de 100% de que alguns bits são recuperáveis.

Especialmente no segundo caso, seria muito difícil para um invasor reconstruir os dados, e uma ferramenta comercial de undelete provavelmente não seria suficiente para isso.

n1000
fonte