مرزهای فیزیکی و رمزنگاری در پاکسازی حافظه‌های فلش

مرز بین داده‌های «حذف‌شده» و داده‌های «غیرقابل‌بازیابی» کاملاً درون لایه ترجمه فلش (FTL) تعیین می‌شود. این کنترلر تعبیه‌شده بین سیستم‌عامل و تراشه‌های فیزیکی حافظه قرار می‌گیرد و به‌عنوان یک لایه انتزاعی اجباری عمل می‌کند. وقتی کاربر سطل زباله را خالی می‌کند، سیستم‌عامل در واقعیت سیلیکون فیزیکی را بازنویسی نمی‌کند؛ بلکه صرفاً به FTL می‌گوید که آن آدرس منطقی دیگر مورد نیاز نیست. از آنجا که FTL برای توزیع یکنواخت فرسودگی در سراسر درایو دائماً داده‌ها را در پس‌زمینه جابه‌جا می‌کند، وضعیت‌های ولتاژ واقعی که داده‌ها را نگه می‌دارند کاملاً دست‌نخورده باقی می‌مانند تا زمانی که خود کنترلر مستقلاً تصمیم به پاک کردن آن‌ها بگیرد.[2]

این لایه انتزاعی، تکنیک‌های سنتی پاک کردن هارد درایوهای مغناطیسی را عملاً منسوخ می‌کند. روی یک دیسک چرخان، نرم‌افزار می‌تواند به‌طور سیستماتیک روی هر سکتور فیزیکی صفر بنویسد. اما روی یک درایو حالت جامد (SSD)، FTL فعالانه این دستورات بازنویسی را رهگیری کرده و آن‌ها را به بلوک‌های تازه هدایت می‌کند؛ در نتیجه داده‌های اصلی در سکتورهای پنهان و رزروشده دست‌نخورده باقی می‌مانند. برای پاکسازی واقعی حافظه فلش، دستور باید از دیدگاه منطقی سیستم‌عامل عبور کرده و مستقیماً به فرم‌ور درایو دستور دهد تا یک پاکسازی در سطح سخت‌افزار اجرا کند.[2][3]

ابتدایی‌ترین مکانیزم برای این کار، دستور TRIM است. TRIM که در اصل برای حفظ عملکرد SSD معرفی شده، یک دستور سیستم‌عامل است که به FTL اطلاع می‌دهد کدام بلوک‌های داده دیگر استفاده نمی‌شوند. با این حال، TRIM صرفاً یک بهینه‌سازی عملکرد است، نه یک پروتکل امنیتی. اگرچه این دستور بلوک‌ها را برای فرآیند جمع‌آوری زباله در آینده نشانه‌گذاری می‌کند، اما زمان‌بندی بازنشانی واقعی ولتاژ — یعنی بازگرداندن سلول‌های NAND از حالت برنامه‌ریزی‌شده به حالت خالی — کاملاً به صلاحدید فرم‌ور واگذار می‌شود.[2]

برای تضمین نابودی داده‌ها بدون از بین بردن سخت‌افزار، صنعت به قابلیت Secure Erase (پاکسازی امن) متکی است. به جای تلاش برای بازنویسی داده‌ها از بیرون، Secure Erase یک دستور استاندارد است که مستقیماً به کنترلر SSD ارسال می‌شود و به آن دستور می‌دهد تا یک جهش ولتاژ را به‌طور همزمان به تمام بلوک‌های حافظه اعمال کند. در درایوهای مدرن با قابلیت رمزگذاری خودکار، این فرآیند تقریباً آنی است. درایو خیلی ساده کلید رمزنگاری ۱۲۸ یا ۲۵۶ بیتی AES را که در یک بخش امن ذخیره شده است، حذف می‌کند. بدون آن کلید، ترابایت‌ها داده باقی‌مانده روی تراشه‌های فلش فوراً از نظر ریاضی غیرقابل‌تشخیص از نویزهای تصادفی می‌شوند.[3][4]

موسسه ملی استاندارد و فناوری (NIST) این پاکسازی رمزنگاری‌شده را تحت استاندارد «تطهیر» (Purge) خود طبقه‌بندی می‌کند. بر اساس نشریه ویژه 800-88 NIST، پاکسازی به‌عنوان «فرآیندی برای غیرممکن ساختن دسترسی به داده‌های هدف روی رسانه برای یک سطح مشخص از تلاش» تعریف می‌شود. یک پاکسازی رمزنگاری‌شده که به‌درستی اجرا شده باشد، داده‌ها را حتی در برابر حملات آزمایشگاهی در سطح دولت‌ها غیرقابل‌بازیابی می‌کند و درایو را برای فروش مجدد ایمن می‌سازد. اما نکته ظریفی که در بروشورهای بازاریابی به‌ندرت به آن اشاره می‌شود این است که این امنیت کاملاً به این فرض بستگی دارد که سازنده، رمزگذاری و دستور پاکسازی را بدون هیچ نقصی در فرم‌ور پیاده‌سازی کرده باشد.[1][2][4]

وقتی نمی‌توان به فرم‌ور اعتماد کرد، یا هنگام برخورد با اطلاعات به‌شدت طبقه‌بندی‌شده، تنها مکانیزم باقی‌مانده نابودی فیزیکی است. NIST این روش را به‌عنوان «نابودی» (Destroy)، یعنی بالاترین سطح پاکسازی، طبقه‌بندی می‌کند. با این حال، از بین بردن یک SSD به دقت بسیار بیشتری نسبت به نابودی یک دیسک مغناطیسی نیاز دارد. از آنجا که دای‌های حافظه فلش میکروسکوپی هستند، صرفاً سوراخ کردن درایو با دریل یا خم کردن قاب آن، اغلب ده‌ها تراشه حافظه را کاملاً سالم و برای یک آزمایشگاه تخصصی پزشکی قانونی قابل‌خواندن باقی می‌گذارد.[1][5][6]

برای دستیابی به عدم‌بازیابی فیزیکی واقعی، تراشه‌های حافظه فلش باید پودر شوند. استانداردهای سازمانی برای نابودی داده‌ها الزامی می‌کنند که یک SSD باید به قطعاتی کوچک‌تر از ۲ میلی‌متر خرد شود. همان‌طور که در دستورالعمل‌های نابودی صنعت ذکر شده، این اندازه خاص از ذرات برای تضمین شکسته شدن خود دای سیلیکونی ضروری است تا گیت‌های ترانزیستور میکروسکوپی که بارهای الکتریکی را نگه می‌دارند، به‌طور فیزیکی قطع شوند. هر قطعه بزرگ‌تری این خطر را به همراه دارد که یک تراشه NAND کامل و قابل‌خواندن در میان لاشه‌ها سالم بماند.[5][6]

انتخاب بین این مکانیزم‌ها، چرخه حیات سخت‌افزار را دیکته می‌کند. پاکسازی رمزنگاری‌شده درایو فیزیکی را حفظ می‌کند و به سازمان‌ها اجازه می‌دهد ضمن رعایت الزامات قانونی، هزینه‌های خود را از طریق بازار ثانویه جبران کنند. خرد کردن فیزیکی خطر فرم‌ور را کاملاً از بین می‌برد، اما تضمین می‌کند که سخت‌افزار به زباله الکترونیکی تبدیل شود. در نهایت، این تصمیم به این بستگی دارد که آیا مدل تهدید شما ریاضیات رمزنگاری را هدف قرار می‌دهد یا خود سیلیکون فیزیکی را.[1][6]