携帯電話が消去を約束できない理由
フラッシュストレージは、心の中のモデルが示すように、その場で上書きするわけではありません。コントローラは摩耗を分散させるため書き込みをセルにまたいで再割り当てするので、古いコピーを保持する物理的な位置は、削除操作が触れる位置ではないかもしれません。
アプリケーションは、その挙動の数層上にあります。オペレーティングシステムにファイルを取り除くよう頼めますが、そのデータをかつて保持したあらゆる物理セルに何が起きたかは検証できません。そうでないと主張するアプリは、観測できないものを語っています。
削除と呼ばれる、3つの異なるもの
ここでは正確さが役立ちます。同じ言葉が、まったく異なる保証を持つ操作を覆っているからです。
- 論理的な削除は参照を取り除きます。その空間が再利用されるまで、データは復元可能なまま残ることがあります。
- 暗号学的な消去は鍵を破壊します。暗号文は残ることがありますが、もはや使えないはずです。
- 物理的な破壊はストレージの媒体そのものを取り除き、その問いを終わらせる唯一のものです。
暗号学的な消去が本当に達成すること
鍵素材を破壊することは妥当な設計であり、よく作られた保管庫が実際に提供できるものです。鍵がなければ、残った暗号文は通常は使えず、その操作は、上書きにはない形で高速かつ検証可能です。
それは自らの範囲についても誠実です。それが影響するのは、鍵をアプリが制御するコピーであり——書き出したファイル、以前のバックアップ、すでに共有したものではありません。
何かを削除する前に、棚卸しをする
- 有効なデータ、エクスポート、バックアップ、キャッシュ、受信者が保持するコピーを棚卸しします。
- ある消去が、ファイルを取り除くのか、鍵を取り除くのか、その両方かを確かめます。
- アカウントの失効と、外部のコピーの削除を、別々の操作として行います。
- 端末を処分する前に、プラットフォーム自身の消去手順を使います。
- システムのスナップショットとクラウドのバックアップを、それぞれ独自の削除を要する独立した場所として扱います。
行うべきでない主張
- あらゆる物理ストレージのセルが上書きされたと約束すること。
- 消去を完了と説明するとき、書き出したバックアップを忘れること。
- 鍵の無効化を、基盤となるデータのリモート削除と呼ぶこと。
- 初期化がフォレンジックのレベルで復元不能であることを保証するとほのめかすこと。
実際的な結論
売却または返却する端末については、プラットフォーム自身の消去手順と保存時の暗号化の組み合わせが現実的な水準であり、通常のリスクには妥当です。
露出すると深刻な害になるコンテンツについては、誠実な答えは、削除は頼るべき制御ではない、というものです。コピーを作らないこと、または媒体を破壊することだけが、誰かが実際に約束できる結果です。
Maya はまず、機微でないデータでテストします。「有効なデータ、エクスポート、バックアップ、キャッシュ、受信者のコピーを棚卸しする」。次に Maya は2つ目の確認手順に従います。「消去がファイルを削除するのか、鍵を削除するのか、その両方かを理解する」。この架空のシナリオは判断の流れを示すものであり、製品テストの報告ではありません。
- あらゆる物理セルが上書きされたと約束すること
- 書き出したバックアップを忘れること
- 鍵の無効化をリモート削除と呼ぶこと
NullVault のパニックワイプは何をしますか？
Android では、今後のローカルの保管庫アクセスに必要な Keystore の鍵を取り除きます。書き出したバックアップ、システムのスナップショット、すでに書き込まれた物理セルは消去しません。
暗号学的な消去は、あらゆる場所での削除と同じですか？
いいえ。影響を受けた鍵の境界の外にあるコピーは残ります。