Werden die Dateien wirklich sicher gelöscht?

Mr. Johny · 11. März 2016, 05:56

Hallo, ich habe mal eine frage an diejenigen die sich mit intensiver Datenwiederherstellung auskennen. Unter "Dateien sicher löschen" versteht man ja das diese Dateien mehrfach überschrieben und darauffolgend gelöscht werden. Dies nun Theoretisch in VB umzusetzen ist nicht schwer, bei mir sieht die Funktion folgend aus:

VB.NET-Quellcode

Public Function SafeEraser(ByVal filepath As String, ByVal repeat As Integer, ByVal delete As Boolean)
Dim r As New Random
Dim sb As New StringBuilder
Dim abc = "abcdefghijklmnopqrstuvwxyz"
Try
For i = 0 To repeat
Dim idx As Integer = r.Next(0, abc.Length)
Dim filesize As New FileInfo(filepath)
Dim fsize = CInt(Int(filesize.Length))
Dim fstream As New StreamWriter(filepath)
sb.Append(abc.Substring(idx, 1))
For o = 0 To CInt(fsize)
fstream.Write(sb.ToString)
Next
sb.Clear()
fstream.Close()
Next
Catch ex As Exception
End Try
Try
If delete = True Then
File.Delete(filepath)
Else
End If
Catch ex As Exception
MsgBox("File could not be deleted: " & ErrorToString(), MsgBoxStyle.Critical)
End Try
End Function

Meine Frage nun: Ist diese Methode wirklich sicher und ist diese Funktion bzw. dieses vorgehen so korrekt? Funktionieren tut es, da ich es mit der Wiederherstellungssoftware Recuva getestet habe, Recuva konnte die Originaldatei nicht wiederherstellen. Recuva ist allerdings eine einfache Anwendung und nicht mit der Profianwendungen die z.b. Behörden oder Geheimdienste zu vergleichen. Hat jemand in diesem Bereich erfahrungen?

MfG Mr. Johny

RodFromGermany · 11. März 2016, 07:01

Mr. Johny schrieb:

so korrekt?

Ich könnte mir vorstellen, dass es sicherer wäre, wenn abwechselnd die Bytes 0 und 255 geschrieben würden.

Mr. Johny · 11. März 2016, 08:03

wie meinst du abwechselnd? Also jeder byte bekommt ja einen Random char

RodFromGermany · 11. März 2016, 08:20

Mr. Johny schrieb:

abwechselnd

Ja.
Eine Runde 0, eine Runde &HFF,
vielleicht noch
eine Runde &H55 und &HAA.

EaranMaleasi · 11. März 2016, 08:24

Ich könnte mir vorstellen, dass dir die Festplatte bzw, der Treiber da nen Strich durch die Rechnung machen könnte. Letztlich ist es ja der Festplatte überlassen, wo etwas geschrieben wird. Ich könnte mir vorstellen, dass du von 0 bis n mal an verschiedenen Orten auf der Platte etwas schreibst, ohne das Original wirklich richtig zu überschreiben. Lediglich der MBR oder die GPT wird halt ständig angepasst. Ist aber nur eine Vermutung.

RodFromGermany · 11. März 2016, 08:27

EaranMaleasi schrieb:

an verschiedenen Orten

Wenn die Datei binary read-writwe geöffnet wird, schreibst Du genau dahin, wohin es gehört.

Mr. Johny · 11. März 2016, 09:01

Ja EaranMaleasi daran denke ich auch, da Windows ja das nichtsnütz Dateisystem NTFS nutzt da die Daten willkürlich auf die Platte geschrieben werden (kleines Beispiel im Bild). Allerdings frage ich mich ob bei Datenänderungen das Dateisystem nun wieder willkürlich die Daten auf die Platte schreibt oder ob sie die Blöcke wieder nutzt die für diese Datei definiert wurden, also diese Blöcke beibehält. Wenn NTFS die Blöcke beibehält dann werden die Daten sicher gelöscht, falls nicht denn könnte man diese Wiederherstellen. Das frage ich mich also wie dass das Dateisystem regelt.

petaod · 11. März 2016, 09:30

Eine einzelne Datei lässt sich nicht sicher löschen.
Nur die Blöcke, die die Datei momentan verwendet.
Die Fragmente dieser Datei, die auf der Platte von früheren Versionen hinterlassen wurden, triffst du nicht.
Und selbst, wenn du manuell nichts mit dieser Datei gemacht hast, sind im Hintergrund so viele technische Prozesse am Laufen, die Dateien an andere Plätze verschieben, dass du immer irgendwelche Datenreste finden wirst.

Wenn es sich tatsächlich um kritische Daten handelt, hilft nur, die Platte komplett mehrfach überschreiben.
Oder du verwendest Verschlüsselungsverfahren (Bitlocker, Veracrypt...).
Dann sind die Daten zumindest vor fremden Benutzern sicher, auch die nicht gelöschten.

Rainman · 11. März 2016, 12:00

Da in #1 das Medium nicht genannt wurde, gehe mal vom schlimmstmöglichen Fall aus: einer SSD.
Jede Schreibaktion geht auf frische Seiten/Blöcke und die Zeiger in der MFT (bei NTFS) werden umgebogen.
Die vorher genutzten Blöcke stehen dann so lange mit ihren Daten herum, bis sie mal irgendwann mit neuen Daten gefüllt werden.
Mit ein wenig Fleiß könnte man die scheinbar gelöschten Daten also wieder herstellen. Auch mehrfaches Überschreiben hilft da nicht.

EaranMaleasi · 11. März 2016, 12:09

Hier mal ein guter artikel dazu, mitsamt Lösung

stackoverflow.com/questions/88…al-location-on-hard-drive

Mr. Johny · 11. März 2016, 15:16

Also wenn ich das richtig verstehe dann werden die Daten tatsächlich überschrieben sofern die überschriebenen Bytes exakt den Bytes der Datei entsprechen? Wie es dort an dem Codebeispiel gezeigt wird:

C#-Quellcode

using(var fs = new System.IO.FileStream(@"m:\delme.zip",
FileMode.Open,
FileAccess.Write,
FileShare.None))
{
var zeros = new byte[fs.Length];
fs.Write(zeros, 0, zeros.Length);
}

//EDIT

Ich habe mir jetzt mal eine PDF durchgelesen vom Arbeitskreis „Technische und organisatorische Datenschutzfragen“, dort wird vom US-Verteidigungsministerium bezüglich dem löschen einzelner Dateien, folgendes Empfohlen:

Die Empfehlungen des US-Verteidigungsministeriums finden sich in den Standards DoD 5220.22-M bzw. 5220.22-M ECE [6]. In der ersten Variante werden die Daten zunächst mit einem festen Wert, dann dessen Komplement und im Anschluss mit Zufallszahlen überschrieben.

Seite 14
https://www.tlfdi.de/imperia/md/content/datenschutz/orientierungshilfe/akt_loeschen.pdf

Und mein Code sieht denn dementsprechend so aus:

VB.NET-Quellcode

Friend Shared Function SafeErase(ByVal file_path As String)
For index_ As Integer = 0 To 2
Dim FStream As New FileStream(file_path, FileMode.Open)
Dim size As Long = FStream.Length
Dim ByteArray(size - 1) As Byte
Dim rnd As New Random
Select Case index_
Case 0
For index As Integer = 0 To size - 1
ByteArray(index) = 0
Next
Case 1
For index As Integer = 0 To size - 1
ByteArray(index) = 1
Next
Case 2
Dim bytA As Byte = 0
Dim bytB As Byte = 1
For index As Integer = 0 To size - 1
Select Case rnd.Next(0, 2)
Case 0
ByteArray(index) = bytA
Case 1
ByteArray(index) = bytB
End Select
Next
End Select
FStream.Write(ByteArray, 0, size)
FStream.Flush()
FStream.Close()
Next
File.Delete(file_path)
End Function

petaod · 12. März 2016, 07:43

Nette Übung, aber wie gesagt, nur bedingt nützlich.
Weil du lediglich den letzten Standort der Datei zerstörst und deren vorherige Lebensgeschichte vernachlässigst.

Aber wenn es dir das Gefühl von Sicherheit gibt, soll's mir recht sein.

Falls du paranoid bist oder wirklich wichtige Daten auf der Platte hast, hilft nur ein Tool wie SDelete mit der -x-Option, das permanent ausgeführt wird.
Wenn du dir die Beschreibung dazu genau durchliest, wirst du auch verstehen, warum.

Theoretisch könnte auch das Windows-Onboard-Kommandozeilenprogram CIPHER ausreichen.

Eddy · 12. März 2016, 08:02

Selbst wenn keine Fragmente durch deine Methode sonst wo auf der Platte mehr weahren, bedenke aber auch, das durch Mechanische abnutzung der Platte, das Ding das schreibt/liest nicht mehr 100% in der Spur ist, so das solche Forensiker nach Jahren noch Fragmente von Dateien finden koennen, Teilweise sogar auch ganze Dateien wieder herstellen koennen. Sicherer waehre wie Petoad schon erwaehnte, VeraCrypt zu nutzen. So wird ja ein verschluesselter "Container" erstellt, so koennen hoechstwarscheinlich keine unverschluesselten Fragmente von den dateien auf der Platte gefunden werden.

Mr. Johny · 12. März 2016, 08:20

Du versteht warscheinlich nicht was ich meine, wir sind uns alle darin einig das das NTFS Dateisystem Daten willkürlich in Blöcke auf die Festplatte speichert. Die Frage die sich nun stellt ist allerdings: Wenn die Datei bereits existiert, diese Datei aber abgeändert wird. Werden die Blöcke denn wieder willkürlich auf der Festplatte geschrieben? Oder bleiben die Blöcke gleich wenn die Datei zwar abgeändert wird aber von der Bytegröße sich kein stück ändert, denn wenn sich die Größe der Datei überhaupt nicht ändert macht es ja keinen Sinn die Datei wieder erneut willkürlich auf der Festplatte zu verteilen sondern die alten Blöcke wieder zu nutzen. Das ist also die wesentliche frage, ob beim überschreiben der Datei, wenn sich von der größe NICHTS ändert, ob die Daten denn neu auf der Festplatte verteilt werden oder nicht.

Eddy · 12. März 2016, 08:53

Mr. Johny schrieb:

ob die Daten denn neu auf der Festplatte verteilt werden oder nicht.

Um das herauszu finden, kannst du so genannte "Festplatten-Editoren" nutzen. Nimm eine kleine HDD und probiers mal aus. Das Tool hier scheint einiges zu koennen, siehe Punkt 12.
disk-editor.org/

Gibt aber auch weitere Alternativen dazu.
chip.de/downloads/Disk-Investigator_32779386.html

petaod · 12. März 2016, 09:33

Mr. Johny schrieb:

Wenn die Datei bereits existiert, diese Datei aber abgeändert wird

speichern die meisten Programme (z.B. Office) zunächst die neue Version als neue Datei auf der Platte und löschen dann die Vorversion.
Löschen im Sinne von Pointer zerstören.

Nur ganz wenige Programme bearbeiten die Datei direkt an Ort und Stelle.

Mr. Johny · 12. März 2016, 09:41

Wie ich es vermutet habe, sofern die Software mir wirklich die richtigen Daten gibt. Also folgendes habe ich festgestellt in der Software Disk Editor.
Dateisystem: NTFS
Größe: 4GB

Dort habe ich zwei Dateien erstellt, einem Testfile.txt und direkt danach Testfile2.txt, und wie bereits gesagt das NTFS die Positionen willkürlich vergibt, so was die Offsetposition von Testfile.txt von 1073779712 bis 1073780064. Testfile2.txt war allerdings nicht direkt danach sondern an einer anderen Position unzwar 1073780736 bis 1073781088. Nun habe ich die funktion des Überschreibens bei Testfile.txt durchgeführt und die Datei auf den Byte genau belassen beim überschreiben, und trotzdem waren die Daten noch exakt auf der selben Position und haben sich nicht nochmal neu verteilt. Allerdings wurde auch nicht die Position verändert wenn die Datei größer wurde.

Bild 1 ist die Testfile.txt datei vor dem überschreiben und Bild 2 ist es nach dem Überschreiben.

Bei der Datei Testfile2.txt stand drin :

Die ist ein Text mit vielen Wörtern. Willkommen in meiner Welt!

Darauffolgend habe ich den Satz ,,Willkommen in meiner Welt!" gelöscht und abgespeichert, trotzdem war der Satz auf dem USB Stick zu finden.

Fazit: Dateien blieben auf ihrer Position, selbst wenn sie vergrößert werden. Auch wenn Dateien auf den Byte genau überschrieben werden blieb die Datei an ihrer Position. Wenn jedoch Bytes von dieser Datei entfern wurden(Wie bei dme Beispiel Testfile2.txt) bleiben die alten Bytes bestehen, also werden nicht wirklich gelöscht.

Werden die Dateien wirklich sicher gelöscht?

Werden die Dateien wirklich sicher gelöscht?

VB.NET-Quellcode

Mr. Johny schrieb:

Mr. Johny schrieb:

EaranMaleasi schrieb:

C#-Quellcode

VB.NET-Quellcode

Mr. Johny schrieb:

Mr. Johny schrieb:

Benutzer online 1

Ähnliche Themen

6 Benutzer haben hier geschrieben