Pourquoi un téléphone ne peut pas promettre l'effacement
Le stockage flash ne réécrit pas sur place comme le modèle mental le suggère. Le contrôleur remappe les écritures à travers les cellules pour répartir l'usure, de sorte que l'emplacement physique contenant une ancienne copie peut ne pas être l'emplacement qu'une opération de suppression touche.
Une application se situe plusieurs couches au-dessus de ce comportement. Elle peut demander au système d'exploitation de retirer un fichier ; elle ne peut pas vérifier ce qui est arrivé à chaque cellule physique ayant jamais contenu les données. Toute app affirmant le contraire décrit quelque chose qu'elle ne peut pas observer.
Trois choses différentes appelées suppression
La précision aide ici, car le même mot couvre des opérations aux garanties très différentes.
- La suppression logique retire la référence. Les données peuvent rester récupérables jusqu'à ce que l'espace soit réutilisé.
- L'effacement cryptographique détruit la clé. Le texte chiffré peut persister mais ne devrait plus être utilisable.
- La destruction physique retire le support de stockage lui-même, et c'est la seule qui met fin à la question.
Ce que l'effacement cryptographique accomplit véritablement
Détruire le matériel de clé est une conception défendable, et c'est ce qu'un coffre bien construit peut réellement offrir. Sans la clé, le texte chiffré restant n'est pas ordinairement utilisable, et l'opération est rapide et vérifiable d'une façon dont la réécriture ne l'est pas.
Elle est aussi honnête sur sa propre portée. Elle affecte les copies dont l'app contrôle les clés — pas les fichiers exportés, pas les sauvegardes antérieures, ni rien de déjà partagé.
Travaillez l'inventaire avant de supprimer quoi que ce soit
- Inventoriez les données actives, les exportations, les sauvegardes, les caches et les copies détenues par des destinataires.
- Établissez si un effacement donné retire des fichiers, des clés ou les deux.
- Révoquez les comptes et retirez les copies externes comme des actions distinctes.
- Utilisez la propre procédure d'effacement de la plateforme avant de vous débarrasser d'un appareil.
- Traitez les instantanés système et les sauvegardes cloud comme des emplacements indépendants exigeant leur propre suppression.
Affirmations à ne pas faire
- Promettre que chaque cellule de stockage physique a été réécrite.
- Oublier les sauvegardes exportées en décrivant un effacement comme complet.
- Appeler l'invalidation des clés une suppression à distance des données sous-jacentes.
- Sous-entendre qu'une réinitialisation d'usine garantit une irrécupérabilité de niveau médico-légal.
La conclusion pratique
Pour un téléphone que vous vendez ou rendez, la propre procédure d'effacement de la plateforme combinée au chiffrement au repos est la norme réaliste, et elle est raisonnable pour un risque ordinaire.
Pour un contenu dont l'exposition serait gravement nuisible, la réponse honnête est que la suppression n'est pas le contrôle sur lequel vous devriez vous fier. Ne pas créer la copie, ou détruire le support, sont les seuls résultats que quiconque peut réellement promettre.
Maya commence par un test non sensible : « Inventorie les données actives, les exportations, les sauvegardes, les caches et les copies de destinataires ». Ensuite, Maya suit la deuxième vérification : « Comprends si un effacement supprime des fichiers, des clés ou les deux ». Ce scénario fictif illustre le processus de décision ; ce n'est pas un compte rendu de tests de produit.
- Promettre que chaque cellule physique est réécrite
- Oublier les sauvegardes exportées
- Appeler l'invalidation des clés une suppression à distance
Que fait l'effacement de panique de NullVault ?
Sur Android, il retire la clé du Keystore requise pour l'accès local futur au coffre ; il n'efface pas les sauvegardes exportées, les instantanés système ni les cellules physiques déjà écrites.
L'effacement cryptographique est-il la même chose que la suppression partout ?
Non. Les copies hors de la limite de la clé affectée restent.