Por que um telefone não pode prometer apagamento
O armazenamento flash não sobrescreve no lugar da forma que o modelo mental sugere. O controlador remapeia as escritas entre as células para distribuir o desgaste, então o local físico que contém uma cópia antiga pode não ser o local que uma operação de exclusão toca.
Uma aplicação fica várias camadas acima desse comportamento. Ela pode pedir ao sistema operacional para remover um arquivo; não pode verificar o que aconteceu com cada célula física que já conteve os dados. Qualquer aplicativo que afirme o contrário está descrevendo algo que não pode observar.
Três coisas diferentes chamadas exclusão
A precisão ajuda aqui, porque a mesma palavra cobre operações com garantias muito diferentes.
- A exclusão lógica remove a referência. Os dados podem permanecer recuperáveis até que o espaço seja reutilizado.
- O apagamento criptográfico destrói a chave. O texto cifrado pode persistir mas não deve mais ser utilizável.
- A destruição física remove o próprio meio de armazenamento, e é a única que encerra a questão.
O que o apagamento criptográfico genuinamente alcança
Destruir o material de chave é um design defensável, e é o que um cofre bem construído pode de fato entregar. Sem a chave, o texto cifrado restante não é normalmente utilizável, e a operação é rápida e verificável de uma forma que a sobrescrita não é.
Ele também é honesto sobre seu próprio escopo. Afeta as cópias cujas chaves o aplicativo controla — não os arquivos exportados, não os backups anteriores e não qualquer coisa já compartilhada.
Trabalhe o inventário antes de excluir qualquer coisa
- Faça o inventário dos dados ativos, das exportações, dos backups, dos caches e das cópias detidas por destinatários.
- Estabeleça se um dado apagamento remove arquivos, chaves ou ambos.
- Revogue as contas e remova as cópias externas como ações separadas.
- Use o próprio procedimento de apagamento da plataforma antes de descartar um dispositivo.
- Trate os snapshots do sistema e os backups na nuvem como locais independentes que exigem sua própria exclusão.
Afirmações que não devem ser feitas
- Prometer que cada célula de armazenamento físico foi sobrescrita.
- Esquecer os backups exportados ao descrever um apagamento como completo.
- Chamar a invalidação de chaves de exclusão remota dos dados subjacentes.
- Insinuar que uma restauração de fábrica garante a irrecuperabilidade de nível forense.
A conclusão prática
Para um telefone que você está vendendo ou devolvendo, o próprio procedimento de apagamento da plataforma combinado com a criptografia em repouso é o padrão realista, e é razoável para o risco comum.
Para conteúdo cuja exposição seria seriamente prejudicial, a resposta honesta é que a exclusão não é o controle no qual você deveria confiar. Não criar a cópia, ou destruir o meio, são os únicos resultados que alguém pode de fato prometer.
Maya começa com um teste não sensível: «Faz o inventário dos dados ativos, das exportações, dos backups, dos caches e das cópias dos destinatários». Em seguida, Maya segue a segunda verificação: «Entende se um apagamento exclui arquivos, chaves ou ambos». Este cenário fictício ilustra o processo de decisão; não é um relato de testes de produto.
- Prometer que cada célula física é sobrescrita
- Esquecer os backups exportados
- Chamar a invalidação de chaves de exclusão remota
O que o apagamento de pânico do NullVault faz?
No Android, ele remove a chave do Keystore necessária para o acesso futuro ao cofre local; ele não apaga os backups exportados, os snapshots do sistema ou as células físicas previamente escritas.
O apagamento criptográfico é o mesmo que a exclusão em todos os lugares?
Não. As cópias fora do limite da chave afetada permanecem.