---

Geschrieben von Vimes am 29.01.2007 um 23:19:

  Kurztipp: Sicheres Löschen von Dateien

Guten Abend.

Immer wieder mal liest man von Computerbesitzern, die ihre Daten gerne sicher löschen möchten, so, daß man sie nicht einfach wieder herstellen kann.
Unter Linux genügt hier ein einfaches rm -f DATEINAME nicht, es bleibt die Möglichkeit, daß sich jemand mit spezieller Software über die Festplatte hermacht und die Dateien retten kann - solange sie nicht überschrieben wurden.

Dafür braucht man keinen "Datenshredder", Linux liefert alles mit.

Nehmen wir an, die zu zerstörende Datei heißt

testfile.doc

Dann genügt es, diesen Befehl hier auszuführen:

vimes@discworld:~/test$dd if=/dev/urandom of=/home/vimes/test/testfile.doc

Man muß allerdings irgendwann mit STRG+C abbrechen, sonst schreibt dd solange, bis die Platte voll ist. Das ist natürlich lästig; es wäre schöner, wenn man dd die Größe der Datei gleich mitgeben könnte, so daß nur exakt die Datei überschrieben wird.

Dazu brauchen wir zuerst die Größe der Datei; und das nicht in Kilobyte, sondern in "Blöcken", denn dd wird die Größe in Blöcken übergeben:

vimes@discworld:~/test$ ls -l --block-size=512
total 56
-rw------- 1 vimes vimes 50 2006-12-16 18:14 testfile.doc
vimes@discworld:~/test$

Die Option --block-size=512 teilt ls mit, daß die Größe der Datei in 512er-Blöcken angezeigt werden soll. Die obige Datei besteht aus 50 Blöcken zu 512 Byte, d.h. 25 Kilobyte.

Jetzt kann man dd das übergeben:

vimes@discworld:~/test$ dd if=/dev/urandom of=/home/vimes/test/testfile.doc count=50
50+0 records in
50+0 records out
25600 bytes (26 kB) copied, 0.00975105 seconds, 2.6 MB/s
vimes@discworld:~/test$

Die Datei "testfile.doc" wurde jetzt komplett mit Zufallszahlen überschrieben; /dev/urandom ist ein Device zum Erzeugen von Zufallszahlen. Wer mag, kann auch /dev/random nehmen, das ist aber weniger performant. Bei kleinen Dateien macht es keinen Unterschied, irgendwann wird es aber unbequem.
Der ganze Vorgang läßt sich je nach Paranoia beliebig oft wiederholen; am Schluß wird die Datei einfach gelöscht:

vimes@discworld:~/test$ rm testfile.doc

Fertig.

Wer ganz auf Nummer sicher gehen will, sollte regelmäßig den freien Platz der jeweiligen Partition mit dd auslasten, z.B. durch dd if=/dev/urandom of=/home/vimes/test.iso und das ganze so lange laufen lassen, bis dd keinen Platz mehr findet und abbricht. Damit werden alle freien Bereiche überschrieben.

MfG
Vimes

---

Geschrieben von Haui am 29.01.2007 um 23:50:

 

Hmm, ist das nicht ein bisschen umständlich? Was spricht z.B. gegen shred oder wipe?

---

Geschrieben von MobyDuck am 29.01.2007 um 23:52:

 

Ubuntis greifen zu shred.

Mal ne ganz blonde Frage dazu:
Heutzutage setzen ja wohl die meisten Journaling-Dateisysteme ein (ext3, ReiserFS). Da bringt es das Überschreiben doch auch nicht wirklich?

edit
Mal wieder nicht schnell genug...

---

Geschrieben von Haui am 29.01.2007 um 23:53:

 

Zitat:

Original von MobyDuck Ubuntis greifen zu shred.

Ich würde das aber nicht auf Ubuntis begrenzen - shred gehört zu den coreutils - sollte also eigentlich bei jeder Distri dabei sein.

---

Geschrieben von MobyDuck am 30.01.2007 um 00:02:

 

Jo.

Aber wie ist das mit dem Journaling?

---

Geschrieben von Haui am 30.01.2007 um 00:10:

 

Zitat:

Original von MobyDuck Aber wie ist das mit dem Journaling?

Wenn ich das wüsste.

---

Geschrieben von Vimes am 30.01.2007 um 15:05:

 

Zitat:

Original von Haui Was spricht z.B. gegen shred oder wipe?

Nichts. Ich war nur zu faul, auch gleich noch alle Alternativen herauszusuchen und vorzustellen. dd ist so schön vielseitig.

Was das Journaling-System angeht, ist ne gute Frage. AFAIK verhindert das Journaling in erster Linie, daß bei einem Crash Daten, die noch nicht geschrieben, sondern nur im RAM vorgehalten wurden, ins Nirwana verschwinden.

Ansonsten habe ich damit ein rein technisches Problem: wenn man mit Journaling überschriebene Daten beliebig restaurieren könnte, würde der Speicherbedarf dafür irgendwann doch recht... üppig werden. Denn irgendwo müssen die betreffenden Informationen ja gespeichert werden. Und ein Journal, das 90% der Festplatte auffrißt, ist nicht wirklich der Bringer...

---

Geschrieben von MobyDuck am 30.01.2007 um 16:20:

 

Danke dir. Ich hatte da mal was gelesen, um mein Halbwissen zu füttern. Finde ich aber nicht mehr. Ist auch nicht weiter wichtig, da hier nicht praktisch. Im täglichen Gebrauch muss ich nix schreddern. Würde ich ne Platte in fremde Hände geben, dann würde ich einfach von Knoppix aus die Partitionen löschen, nach ner Neuformatierung die gesamte Platte mit Nullen überschreiben (dd if=/dev/zero of=/dev/Platte) und schlafen gehen. Dann hätte der Erwerber zumindest was zu tun.

---

Geschrieben von Vimes am 30.01.2007 um 16:32:

 

Gerne.
Deine Vorgehensweise ist eh die sinnvollste. Mein Kurztipp richtet sich an chronisch paranoide Menschen [1] - und sollte nebenbei bemerkt mit einem regelmäßigen "Füllen" der Platte einhergehen.

Man streitet übrigens darüber, ob es sinnvoller ist, die Platte mit /dev/urandom statt /dev/zero zuzumüllen.
X-fach muß man dagegen mit ziemlicher Sicherheit nicht überschreiben; habe noch von keinem Datenrettungslabor gelesen, das anbieten würde, auch nur 1-fach überschriebene Festplatten zu restaurieren...

MfG
Vimes

[1] Ich gebe auch zu, ich hatte gestern mal 5 Minuten, die ich verbraten wollte - und dd ist schon ein sehr nützliches Tool...

---

Geschrieben von rich20 am 30.01.2007 um 16:37:

 

Habe shred nun probiert. Da wird die Datei zwar unleserlich gemacht, aber weg ist diese nicht. Im Gegenteil, sie nimmt danach an Volumen noch zu.

---

Geschrieben von MobyDuck am 30.01.2007 um 16:54:

 

@ rich
Hab's noch nicht ausprobiert, das Löschen müsste laut "man shred" mit dem Parameter -u funktionieren: shred -u Datei

@Vimes
Ach, um Datenrettungslabore mache ich mir keinen Kopf. Warum sollte jemand jede Menge Kohle ausgeben, um meine Korrespondenz mit dem Finanzamt zu lesen? Und die freundlichen Herren mit den Beulen in den Sakkos kämen eh, wenn man nicht damit rechnet.

---

Geschrieben von Haui am 30.01.2007 um 17:05:

 

Zitat:

Original von rich20 Habe shred nun probiert. Da wird die Datei zwar unleserlich gemacht, aber weg ist diese nicht. Im Gegenteil, sie nimmt danach an Volumen noch zu.

Zum löschen musst du shred mit der Option -u aufrufen.

Zitat:

Original von Vimes X-fach muß man dagegen mit ziemlicher Sicherheit nicht überschreiben; habe noch von keinem Datenrettungslabor gelesen, das anbieten würde, auch nur 1-fach überschriebene Festplatten zu restaurieren...

Ich glaube daran scheiden sich die Geister. *g*
Einerseits denke ich, dass einmaliges Überschreiben durchaus genügen dürfte, aber andereseits erscheint mir die Theorie, dass man durch Messen des "Restmagnetismus" auf einen vorigen Zustand schließen kann auch durchaus plausibel. Unterstützt wird dies z.B. durch die DOD-Spezifikation zum sicheren Löschen von Festplatten. Zudem werden Datenträger von Organisationen wie Geheimdiensten etc. wohl nach wie vor durch physikalische Maßnamen (-> Einschmelzen) vernichtet.

---

Geschrieben von rich20 am 30.01.2007 um 17:28:

 

Danke @Moby & Haui,

da habe ich wieder mal den Befehl --help nicht gefunden.

Naja, es war nur ein Test, brauchen tu ich so etwas nicht wirklich.

---

Geschrieben von Vimes am 30.01.2007 um 21:38:

 

Zitat:

Original von Haui Ich glaube daran scheiden sich die Geister. *g*

Ja. Die Diskussion flammt im Usenet regelmäßig wieder auf. Es wird auch gerne ein Whitepaper zitiert, nach dem das Auslesen von Restmagnetismus neben den Spuren möglich ist, das Whitepaper hat aber ein paar Jährchen auf dem Buckel und seitdem haben sich die Festplatten stark weiterenwickelt - engere Spuren und genauere Elektronik.

Wenn man auf Nummer Sicher gehen will, nimmt man Thermit. Ist ja recht einfach herzustellen (allerdings ist die Handhabung wohl nicht so ganz einfach *eg*)

Ich habe übrigens gerade mal nachgeschlagen, unter ext3 geht das überschreiben nur in die Hose, wenn der Modus Journal=Data gewählt wird, was nicht default ist. Nur dann werden auch die Daten selbst mitprotokolliert und man kann auch ein Überschreiben wieder rückgängig machen - wiewohl das naheliegenderweise nicht gegen ein Nullen der gesamten Platte schützt.

Edit: @Haui: Danke für den Tipp mit Shred! Auf das naheliegende komme ich natürlich mal wieder nicht...

MfG
Vimes

---

Geschrieben von MobyDuck am 30.01.2007 um 22:26:

 

@ Vimes
Ich denke mal, dass sich diese Usenet-Diskussion (ist ja auch schon etwas älter) inzwischen erledigt hat. 250 GB bekommt man für 80 oder 90 Euro. Wenn ich mir Gedanken um die Möglichkeiten von Ontrack & Co. machen müsste, dann würde die besagte Platte am Mittwoch morgen zwischen Kartoffelsalat und Tampons im Müll landen. Um 9 kommt die Müllabfuhr, mittags wäre die Platte Fernwärme.

Zitat:

Auf das naheliegende komme ich natürlich mal wieder nicht.

Das ist das Los der examinierten Linuxologen.

---

Geschrieben von MobyDuck am 11.03.2007 um 10:08:

 

Gebe mal die Ingrid:

Ein recht interessanter Beitrag zu dem Internet-Märchen, man könne auch auf modernen Platten überschriebene Daten wiederherstellen (Gutmanns Ansatz bedient eine urban legend):
http://www.nber.org/sys-admin/overwritten-data-guttman.html

Ausriss:

Zitat:

Of course it has been several years since Gutmann published. Perhaps microscopes have gotten better? Yes, but data densities have gotten higher too. A hour on the web this month looking at STM sites failed to come up with a single laboratory claiming it had an ability to read overwritten data.