L’effacement sécurisé de fichiers n’est pas toujours sécurisé

Par Ludovic Blin, secuobs.com
Le 29/11/2006

---

Résumé : Certaines caractéristiques des systèmes de fichiers, mais aussi de certains supports de stockage rendent difficile et souvent trompeur l’effacement sécurisé de données. - Lire l'article



Un effacement simple d’un fichier n’est bien souvent pas synonyme d’efficacité. En effet, même si ce dernier a été réellement supprimé (et non pas simplement déplacé dans la corbeille du système d’exploitation), les données qu’il contient sont souvent récupérables en utilisant des moyens matériels adaptés. Tout d’abord dans la plupart des systèmes d’exploitation, l’effacement d’un fichier signifie la désallocation des blocs de stockage qui lui étaient alloués par le système de fichiers. Donc, tant que d’autres données n’ont pas été écrites par-dessus, les informations du fichier sont toujours présentes.

Mais, même si des données sont écrites, l’utilisation de dispositifs matériels de type microscope à effet tunnel (qui nécessite le démontage des plateaux du disque dans une salle blanche) permettent de récupérer les données précédentes. En effet, le stockage sur support magnétique est analogique (même si l’information est numérique), et donc les anciennes données produisent des variations visibles des données actuelles. Des logiciels dits d’effacement sécurisés ont donc été mis au point pour rendre cela impossible, en réécrivant plusieurs dizaines de fois, à l’endroit où se situent ces données.

Cependant l’évolution des technologies de stockage peut dans certains cas rendre inefficace ces outils, et donner une fausse impression de sécurité. Lors d’une présentation effectuée au cours de la conférence Hack.lu 2006 qui se tenait au Luxembourg au mois d’octobre, Wietse Venema, qui est, entre autres, l’auteur du serveur de messagerie Postfix, a détaillé le fonctionnement des systèmes de fichiers journalisés et leur danger vis-à-vis des applications d’effacement sécurisé.

Tout d’abord, l’effacement sécurisé doit réécrire de nombreuses fois sur les données. Hors, si l’écriture est délayée par le système de fichier, à l’aide d’un système de cache, il se peut que ces multiples passes soient en réalité effectuées au niveau du cache et non pas du système de fichiers, ce qui rend l’effacement sécurisé inefficace. Par ailleurs une mauvaise programmation de ces logiciels sous Unix peut les rendre totalement inefficace car ils ne réécrivent pas au bon endroit. Aussi, les systèmes de fichiers (notamment journalisés) sont susceptibles d’écrire les mêmes données à plusieurs endroits. Certains sont également susceptibles de déplacer des blocs pour réduire la fragmentation.

Ajoutons enfin que les mémoires flash de type clés usb ou carte mémoires sont en général dotées d’une sorte de système de fichier hardware destiné à augmenter la durée de vie du produit. En effet, étant donné que les mémoires de ce type ont un nombre limité de cycles d’écriture, elles répartissent automatiquement les données pour que la mémoire s’use d’une manière uniforme, maximisant sa fiabilité. Dans ce cas, l’effacement sécurisé n’a que très peu d’intérêt puisqu’il y a toutes les chances que le programme ne réécrive pas au bon endroit (le bloc de destination étant géré de manière hardware).

Comme le rappelle Wietse Venema, ces problèmes n’affectent pas les systèmes de fichiers qui chiffrent chaque fichier avec sa propre clé.

lien