Les utilisateurs peuvent croire qu'après avoir supprimé un fichier de leur disque dur, le document n'existe plus. Cependant, les professionnels de l'informatique savent que les données elles-mêmes peuvent subsister.
Pourtant, même les professionnels de l'informatique expérimentés ne comprennent pas toujours les différences entre les différents types d'effacement de fichiers sur disque dur, les normes d'écrasement des données ou les situations dans lesquelles ces méthodes peuvent échouer à supprimer les données d'un disque dur. Selon la sensibilité des informations, un professionnel de l'informatique peut devoir recourir à des niveaux de suppression plus sophistiqués, voire détruire le disque dur lui-même.
Nous expliquons brièvement comment les disques durs et les clés USB stockent les données, mais pour les professionnels de la sécurité chargés de l'investigation numérique et des obligations de conformité, cette discussion est tout sauf théorique.
Suppression élémentaire des données
Si un disque dur (ou une clé USB) doit continuer à être utilisé, la suppression d'un fichier via le système d'exploitation fonctionne parfaitement. Cependant, il faut rappeler aux utilisateurs de vider la corbeille sur leur bureau ; sinon, le fichier a simplement été déplacé dans la corbeille.
Une fois la corbeille vidée, le système d'exploitation supprime les informations du fichier dans le répertoire de stockage. La portion du stockage précédemment enregistrée comme occupée par le fichier est marquée comme disponible pour une réécriture.
Il est important de noter que les données du fichier elles-mêmes restent présentes sur le disque dur jusqu'à ce que celui-ci les écrase avec de nouvelles données. Avec le temps, toutefois, tout fichier supprimé devrait finir par être écrasé par de nouvelles données tant que le périphérique de stockage reste utilisé.
À lire également : Les 9 meilleures solutions de prévention des pertes de données (DLP)
Les disques durs et leurs méthodes de suppression
Les utilisateurs stockent leurs données localement sur des disques durs (plateaux magnétiques ou mémoire flash), des clés USB (mémoire flash) ou des disques réseau partagés. Les disques réseau peuvent être virtuels ou physiques, hébergés dans le cloud ou sur un serveur local, et consister en un seul disque dur ou en un ensemble redondant de disques indépendants (RAID), les données étant écrites sur plusieurs disques durs.
Bien que cet article porte principalement sur les disques physiques, les mêmes principes s'appliquent aux disques virtuels. Qu'un disque virtuel fasse partie d'un disque dur physique plus vaste, englobe plusieurs disques durs physiques ou existe uniquement dans la mémoire de l'ordinateur, ses données finiront probablement, à un moment donné, par être écrites dans une mémoire flash ou sur un plateau physique pour y être stockées.
Pour comprendre le fonctionnement des méthodes de suppression plus approfondies sur n'importe quel disque, nous devons comprendre les aspects techniques du stockage des données sur disque dur. Plus précisément, il faut avoir une compréhension de base de la manière dont les fichiers sont écrits sur un support de stockage, des différents types de technologies de disque dur et des situations dans lesquelles les données du disque dur peuvent devenir inaccessibles au système d'exploitation.
Principes de base de l'écriture des fichiers
Lorsqu'un système d'exploitation doit écrire un fichier sur un disque, il examine celui-ci afin de trouver un espace vide. Cet espace se compose d'un ou de plusieurs secteurs du disque.
La taille des secteurs des disques durs a varié au fil du temps, mais les disques actuels utilisent des secteurs de 512 octets à 4096 octets. Si le fichier n'occupe pas tout l'espace du secteur, une partie de celui-ci reste vide. Si le fichier augmente ensuite de taille, il occupera des secteurs supplémentaires.
Le système d'exploitation tient ensuite à jour un répertoire des fichiers et de leurs emplacements associés sur le disque. Comme les secteurs n'ont pas besoin d'être contigus, les fichiers peuvent, après un certain temps d'utilisation du disque dur, être écrits à de nombreux emplacements et devenir moins efficaces. Toutefois, certaines applications de nettoyage des disques durs peuvent réorganiser ou réécrire les fichiers du disque afin de maximiser le nombre de secteurs contigus.
La simple suppression d'un fichier le retire du répertoire des fichiers du système d'exploitation. Toutefois, elle ne remplace pas les données écrites dans les différents secteurs du fichier sur le disque dur.
À lire également : Les meilleurs outils et logiciels de GRC
Disques magnétiques ou flash
Les disques durs physiques utilisent l'une de deux technologies différentes : les plateaux magnétiques ou la mémoire flash. La différence entre ces deux technologies devient pertinente pour la suppression des données, en raison de leurs différences dans le stockage des données et la gestion du vieillissement des supports.
Disques durs à plateaux magnétiques
Les disques durs magnétiques stockent les données dans des secteurs en aimantant les plateaux à l'intérieur du disque. Certains secteurs du disque sont alloués au micrologiciel qui gère le disque dur et communique avec le système d'exploitation.
Avec le vieillissement du disque, l'aimantation devient moins marquée et les têtes de lecture du disque dur peinent à distinguer les zéros des uns dans le fichier binaire. Lorsque les données binaires passent sous le seuil d'erreur prédéterminé, le disque dur marque le secteur comme défaillant et copie les données dans un nouveau secteur du disque dur.
Le micrologiciel d'un disque magnétique n'informe généralement pas le système d'exploitation de la réaffectation des secteurs défectueux. Le micrologiciel de gestion du disque dur redirige plutôt automatiquement les appels du système d'exploitation concernant les secteurs réaffectés vers le nouveau secteur.
Disques durs à mémoire flash
Les disques flash programment les transistors des puces de mémoire à grille flottante situées dans le disque dur ou la clé USB. La mémoire est écrite dans des cellules, dont la taille et la fonction sont équivalentes à celles des secteurs d'un disque dur magnétique. Une puce distincte ou une partie d'une puce mémoire est allouée au micrologiciel qui gère le disque flash et communique avec le système d'exploitation.
Avec le vieillissement du disque, l'algorithme de gestion du disque flash compte le nombre de lectures et d'écritures effectuées sur chaque cellule mémoire. Une fois qu'un nombre prédéterminé de fonctions de lecture/écriture a été exécuté, la cellule est considérée comme présentant un risque de défaillance, elle est marquée comme défectueuse et ses données sont copiées dans une nouvelle cellule.
Comme pour les disques magnétiques, le micrologiciel n'informe pas le système d'exploitation des cellules défectueuses ni de la copie des données vers les nouvelles cellules. Le logiciel de gestion gère plutôt le processus de manière invisible et redirige les demandes de données vers les nouveaux emplacements.
Données inaccessibles sur le disque
Le système d'exploitation ne sera généralement pas en mesure d'accéder à des portions importantes de chaque disque dur. Le micrologiciel de gestion du disque dur est protégé contre l'accès et l'écrasement, et une partie du disque dur est également réservée par le micrologiciel pour remplacer ultérieurement les secteurs défectueux.
Les secteurs défectueux sont eux aussi généralement indisponibles pour le système d'exploitation. Les outils de récupération des données peuvent utiliser le micrologiciel du disque pour tenter de lire les données des secteurs défaillants, mais cela nécessite des équipements et des logiciels spécialisés.
Consultez notre guide des meilleurs services de suppression et de récupération des rançongiciels, un secteur qui recoupe celui des outils de récupération des données.
Certains secteurs d'un disque dur peuvent également être masqués au système d'exploitation ou attribués à différents systèmes d'exploitation. Par exemple, un ordinateur peut être configuré pour démarrer sous Linux ou Windows, et chaque système d'exploitation peut accéder à différentes portions du disque dur formatées avec différentes technologies de systèmes de fichiers.
Plus rarement, des personnes peuvent créer intentionnellement des secteurs cachés sur le disque pour dissimuler des données. Cela peut parfois avoir des raisons bénignes, mais les forces de l'ordre constatent souvent que cette technique sert à cacher des données liées à des activités illégales.
À lire également : Les meilleurs outils et logiciels d'investigation numérique
Reformater un disque
Lorsqu'on réattribue un ordinateur à un nouvel utilisateur ou qu'on retire un disque dur pour l'installer dans une autre machine, on peut vouloir que toutes les données antérieures soient inaccessibles au nouvel utilisateur. Dans ce cas, on reformate généralement le disque dur à l'aide du système d'exploitation.
Le reformatage du disque supprime tous les répertoires de fichiers du disque dur et rend disponibles pour le stockage de fichiers tous les secteurs visibles par le système d'exploitation. Toutefois, ce niveau d'effacement des données peut ne pas supprimer toutes les données du disque.
Les secteurs cachés ne seront pas reconnus par le système d'exploitation et peuvent échapper au reformatage. Les secteurs défectueux ne seront pas non plus accessibles lors du reformatage.
Méthodes d'écrasement des données
Lorsqu'une entreprise ou un particulier renouvelle ses ordinateurs portables, ses téléphones ou ses enregistreurs vidéo numériques, les appareils usagés sont généralement encore utiles à d'autres personnes. Même si ces équipements peuvent être vendus ou donnés, leurs anciens propriétaires ne veulent pas que leurs données soient accessibles aux nouveaux utilisateurs.
Le reformatage des disques durs peut suffire, mais pour atteindre un niveau de certitude supérieur, différentes normes d'effacement des disques sont disponibles. Chaque technique écrase les données avec de nouvelles données sur tous les secteurs disponibles du disque dur.
Parmi ces normes, ATA Secure Erase fournit la norme d'effacement des données la plus efficace, car elle utilise un seul passage pour écraser les données du disque dur. Cette méthode d'effacement est généralement considérée comme acceptable pour la plupart des usages, et la probabilité de récupérer les données après un processus Secure Erase est presque nulle.
Gardez à l'esprit que l'écrasement des données sur un disque dur de 1 To peut prendre quatre à six heures pour un seul passage, voire davantage si le disque est ancien ou défaillant. La plupart des utilisateurs ne tireront aucun bénéfice de sécurité supplémentaire de trois à sept passages d'écrasement et se satisferont de Secure Erase.
Quand l'effacement peut échouer
Même l'algorithme d'écrasement des données le plus robuste peut échouer à effacer toutes les données d'un disque dur.
La plupart des logiciels d'effacement des disques durs accèdent au disque par l'intermédiaire d'un système d'exploitation. Ces applications ne peuvent pas reconnaître, consulter, supprimer ni écraser les données contenues dans les secteurs défectueux ou cachés.
Il est possible d'acheter du matériel permettant d'accéder directement aux disques durs, mais certains appareils exécutent simplement une version allégée de Linux ou de Windows et présentent les mêmes limites de suppression qu'un ordinateur. Les acheteurs qui doivent écraser des secteurs défectueux doivent vérifier que l'outil ou le logiciel utilisé accédera aux données au niveau du micrologiciel du disque dur.
Certains disques durs peuvent être inaccessibles en raison de mots de passe définis au niveau du micrologiciel. Dans ce cas, le mot de passe doit être supprimé avant tout accès, suppression ou écrasement des données.
Dans d'autres cas, le micrologiciel de contrôle peut être corrompu ou le disque dur peut subir une défaillance au niveau des secteurs contenant le micrologiciel. Dans ce cas, le micrologiciel de gestion ne sera pas disponible pour permettre l'écrasement du disque.
Certains experts en récupération de données peuvent récupérer ou restaurer le micrologiciel et parvenir à lire les données de disques défaillants. Même si le disque a cessé de fonctionner, les plateaux magnétiques ou les puces mémoire peuvent contenir des données lisibles par des personnes très déterminées et prêtes à investir beaucoup de temps ou d'argent.
Destruction totale
Lorsque les données doivent être détruites avec une certitude absolue, le support de stockage doit être détruit. Pour les disques durs magnétiques, les démagnétiseurs détruisent la fonctionnalité du disque pour tous les secteurs, y compris ceux du micrologiciel.
Les broyeurs peuvent être utilisés aussi bien pour les disques durs magnétiques que pour les disques flash et les découpent en morceaux trop petits pour permettre une récupération pratique des données. Les perceuses peuvent également rendre les disques généralement illisibles, mais des experts en récupération de données pourraient extraire des données de sections intactes d'un plateau ou d'une puce mémoire.
Il est probable que beaucoup de personnes n'auront jamais besoin de la garantie offerte par une destruction totale. Toutefois, certains cas d'usage, comme la sécurité nationale, exigent toujours que les disques durs soient d'abord écrasés, puis physiquement détruits afin de garantir l'inaccessibilité des données.
Quelques éléments de perspective
Il existe une grande différence entre la possibilité d'extraire des données et la probabilité de les extraire d'un disque dur effacé. Pour la plupart des utilisateurs, un effacement sécurisé ou le reformatage d'un disque dur suffira largement à éliminer une probabilité raisonnable de récupération des données.
La suppression spécialisée en plusieurs passages nécessite l'achat de solutions matérielles ou logicielles, et son exécution mobilise du temps et des ressources informatiques. Le niveau de suppression choisi doit être adapté au cas d'usage, à la valeur des données et aux ressources disponibles.
À lire ensuite :