FORMATIRAN DISK NI NUJNO PRAZEN DISK

Na mizi za pripravo rabljene opreme sta magnetni HDD in SSD. Na obeh je nov datotečni sistem, prejšnji dokumenti pa niso več vidni. Za naslednjega uporabnika sta videti enako pripravljena, vendar se pod površjem dogajata različni stvari. Na HDD-ju prepis praviloma doseže naslovljene magnetne sektorje, če jih naprava ni nadomestila zaradi okvare. Na SSD-ju pa krmilnik zapis lahko usmeri v nove pomnilniške celice.

Pri prodaji, vračilu ali ponovni uporabi ni odločilno le, ali orodje za obnovitev datotek še kaj najde. Pomembno je, kaj je izbrani postopek spremenil, katere lokacije je dosegel in pred kako zahtevnimi postopki obnove mora podatke zaščititi. Prav na tem razlikovanju temelji NIST SP 800-88 Rev. 2 iz septembra 2025, ki sanitizacijo opredeli glede na zahtevnost morebitnega dostopa do preostalih podatkov, ne glede na videz praznega diska. [1]

Ko izgine zapis o datoteki

Običajno brisanje datoteke najprej poseže v metapodatke datotečnega sistema. Ta prostor označi kot razpoložljiv, lahko spremeni kazalce na podatkovne bloke in odstrani vnos iz imenika. Vsebina lahko ostane na starih lokacijah do prepisa ali posega krmilnika. Nekateri sistemi že pri brisanju sprožijo dodatne ukaze, šifriranje pa spremeni možnosti obnove.

Hitro formatiranje je podobno omejena operacija, le da ponovno vzpostavi strukture celotnega datotečnega sistema. Microsoft pri ukazu format /Q navaja odstranitev datotečne tabele in korenskega imenika; ta možnost ne izvaja pregleda sektorjev po posameznih območjih. Prejšnje datoteke lahko postanejo nedostopne, čeprav njihovi podatkovni bloki niso bili prepisani. [2]

Pomemben je tudi obseg posega. Formatiranje particije obravnava določen nosilec, ne nujno celotnega fizičnega diska. Druge particije ali prostor zunaj izbranega nosilca lahko ostanejo nedotaknjeni. Tudi ponovna namestitev operacijskega sistema ni sama po sebi sanitizacija. O tem, kaj je bilo odstranjeno, odloča dejansko zaporedje opravljenih operacij, ne oznaka »nova namestitev«.

Kaj polno formatiranje v resnici prepiše

Pri sodobnih različicah sistema Windows je treba ločiti hitro in polno formatiranje. Parameter /P:0 ukaza format z ničlami prepiše vsak sektor izbranega nosilca; dodatno število pri /P določa število nadaljnjih prepisov z naključnimi vrednostmi. Tudi PowerShellov Format-Volume -Full po Microsoftovi dokumentaciji piše po sektorjih formatiranega prostora. Zato ni pravilno trditi, da Windows pri polnem formatiranju samo obnovi podatkovno tabelo. [2, 3]

Na delujočem magnetnem disku HDD lahko prepis uporabniku naslovljivega prostora bistveno oteži obnovitev. Večkratno zapisovanje vzorcev ni univerzalna zahteva; NIST Rev. 2 svari pred nekritično uporabo zgodovinskih večprehodnih postopkov pri bliskovnem pomnilniku. Za način Clear običajno obravnava logične tehnike nad uporabniku naslovljivim prostorom, pri zahtevnejših tveganjih pa usmerja k Purge ali Destroy. [1, 4]

Prepis ne doseže nujno sektorjev, ki jih je disk zaradi okvare umaknil iz uporabe. Izid je odvisen tudi od vrste naprave, obsega posega in zahtevane ravni zaščite.

Naslov bloka ni naslov pomnilniške celice

Pri SSD-ju operacijski sistem zapisuje na logične naslove blokov, označene z LBA. Plast za preslikavanje bliskovnega pomnilnika, imenovana flash translation layer (FTL), te naslove povezuje s fizičnimi stranmi in bloki čipov NAND. Preslikava se spreminja, ko krmilnik razporeja obrabo, združuje zapise in pripravlja bloke za brisanje.

Predstavljajmo si, da datoteka vsebuje občutljiv zapis, shranjen na logičnem naslovu LBA 1500. Ob spremembi datoteke sistem znova piše na isti LBA, krmilnik pa novo vsebino shrani v drugo fizično stran. Stara stran lahko ostane nekaj časa nedotaknjena, čeprav je logični naslov že povezan z novo vsebino. Takšno posredno naslavljanje je običajen del delovanja SSD-ja.

Poleg prostorov, ki jih uporabnik lahko naslovi, imajo številni SSD-ji rezervne celice za izravnavanje obrabe in nadomeščanje okvarjenih blokov. Program za prepisovanje vidi logične naslove, ne vseh njihovih nekdanjih fizičnih lokacij. NIST Rev. 2 prav zaradi rezervnih celic in izravnavanja obrabe opozarja, da z navadnimi ukazi za branje in pisanje ni mogoče neposredno doseči vseh območij, kjer so lahko ostali občutljivi podatki. [1]

To ni zgolj teoretičen pomislek. Raziskovalci so na konferenci FAST 2011 predstavili preizkuse, pri katerih so po sanitizaciji SSD-je razstavili in prebrali surove podatke iz čipov. Ugotovili so, da so bile nekatere vgrajene metode implementirane nepravilno in da običajne tehnike za varno brisanje posameznih datotek niso učinkovito odstranile vseh kopij. Rezultatov iz leta 2011 ni mogoče samodejno prenesti na današnje modele. Poskus je pokazal mejo logičnega branja. [5]

TRIM je sporočilo krmilniku

Ko sistem sprosti prostor na SSD-ju, lahko pošlje ukaz TRIM oziroma ustrezen ukaz za označevanje nepotrebnih blokov. Krmilnik dobi informacijo, da vsebina določenih območij ni več potrebna. Uporabi jo lahko pri čiščenju pomnilnika, vendar zahtevek ne razkriva trenutka fizičnega izbrisa.

Microsoftova dokumentacija za FSCTL_FILE_LEVEL_TRIM dopušča, da poznejše branje obdelanega območja vrne stare podatke, ničle, enice ali njihovo kombinacijo. Iz tega sledi dvoje: TRIM ni zanesljiva tehnika odstranitve občutljivih podatkov, ničelni rezultat poznejšega branja pa še ne potrjuje, da so bile vse nekdanje fizične kopije uničene. Gre za ukaz za upravljanje prostora; za načrtovano sanitizacijo je treba izbrati in preveriti drugo ustrezno tehniko. [6]

Izbris, ki ga izvede sam pogon

NIST uporablja tri metode sanitizacije: Clear, Purge in Destroy. Clear je usmerjen predvsem proti preprostemu, neinvazivnemu pridobivanju podatkov skozi uporabniški vmesnik. Purge mora obnovitev narediti neizvedljivo tudi z najsodobnejšimi laboratorijskimi tehnikami, pri čemer lahko pogon ostane uporaben. Destroy predvideva enako strogo zaščito pred obnovitvijo, vendar medij po postopku ni več primeren za shranjevanje podatkov. Rev. 2 izvedbene podrobnosti po vrstah naprav prepušča standardu IEEE 2883 in drugim odobrenim specifikacijam. [1, 7]

Pri SATA je treba ločiti ATA SECURITY ERASE UNIT in ATA Sanitize Device. Ime Secure Erase samo zase ne pove, ali pogon izvaja prepis ali kriptografski izbris. Seagatov priročnik za določene samodejno šifrirajoče pogone SATA na primer opisuje, da način Normal Erase zamenja šifrirni ključ in nato prepiše podatke, Enhanced Erase pa zamenja ključ brez dodatnega prepisa. Isti priročnik ločeno navaja Sanitize Device – Crypto Scramble. Opis velja za navedene modele, ne za vse pogone ATA. [8]

Pri NVMe sta na voljo različna ukazna mehanizma. Ukaz Format NVM lahko vključuje nastavitve varnega izbrisa, vendar ni sinonim za Sanitize. Namenski NVMe Sanitize ima možnosti, kot so Block Erase, Overwrite in Crypto Erase, če jih krmilnik podpira. Namenjen je obravnavi uporabniških podatkov v podsistemu NVM, tudi območij, ki niso običajen aktivni logični prostor. Podporo je treba preveriti za konkretni model. NVMe je komunikacijski standard, SSD vrsta pomnilniške naprave; ni vsak SSD pogon NVMe. [9]

Obdelava NVMe Sanitize lahko teče v ozadju. Odgovor na ukaz lahko pomeni le, da je krmilnik zahtevo sprejel in postopek začel; dokončanje je treba preveriti posebej, med drugim prek zapisa Sanitize Status Log. NVM Express dokumentira tudi preverjanje zmožnosti krmilnika. Zabeležiti je treba dejanje in končni status, ne le izhod ukaza. [9]

Ko izbris pomeni odstranitev ključa

Samodejno šifrirajoč pogon lahko uporabniško vsebino ves čas hrani v šifrirani obliki. Pri kriptografskem izbrisu (cryptographic erase, CE) se ustrezni šifrirni ključi odstranijo oziroma zamenjajo tako, da predhodnih šifriranih podatkov ni več mogoče dešifrirati. Fizične pomnilniške celice lahko še vedno vsebujejo šifrirano besedilo. Prednost je hitrost; učinek je odvisen od šifriranja in upravljanja ključev. [1]

NIST Rev. 2 določa pomemben pogoj: na mediju pred vzpostavitvijo ustreznega šifriranja ne smejo biti ostali občutljivi podatki v nešifrirani obliki, razen če so bili medtem ustrezno sanitizirani. Pomembni so tudi kakovost šifriranja in morebitne kopije ključev. Če dešifrirni ključ ali ustrezen nadrejeni ključ ostane dostopen drugje, sam izbris lokalne reference nanj ni zadosten dokaz CE. NIST pri ključih posebej obravnava njihovo zeroizacijo in tudi možnost zunanjega upravljanja. [1, 4]

Brisanje gesla ali obnovitvenega ključa ni nujno kriptografski izbris. Geslo lahko zgolj odklepa drug ključ. Pri oceni CE je treba slediti dejanski hierarhiji ključev, vključno z varnostnimi kopijami in morebitnimi načini obnove. Pri podatkih, katerih zaupnost mora ostati zagotovljena desetletja, je treba upoštevati tudi prihodnje slabosti algoritmov ali implementacij; NIST zato CE ne obravnava kot brezpogojno rešitev za vse vrste občutljivih informacij. [1]

Kaj je mogoče preveriti in česa ne

Pri prepisovanju lahko preverimo branje trenutno dostopnih naslovov. Pri notranji sanitizaciji pregledamo zmožnosti pogona, sproženi ukaz, dokončanje, napake in stanje naprave. V nobenem od teh primerov skeniranje logičnih naslovov ne predstavlja neposrednega pregleda vseh fizičnih celic. Pomembna je zato tudi zanesljivost proizvajalčeve izvedbe ukaza. [1, 9]

NIST Rev. 2 za ta del uporablja dve ločeni dejavnosti. Verification (preverjanje) je tehnični pregled izida sanitizacijske tehnike: ali se je zaključila in ali so se pojavile napake ali nepravilnosti. Validation (validacija) je odločitev, ali je rezultat glede na občutljivost podatkov in ugotovljena tveganja sprejemljiv. Če rezultat ni sprejemljiv, se izbere druga tehnika ali strožja metoda. Obsežno vzorčenje vsebine po Clear ali Purge ni samodejno zahtevano, razen če to določa politika. [1, 4]

Potrdilo o sanitizaciji naj zato vsebuje vsaj proizvajalca, model in serijsko številko medija, izvor naprave, uporabljeno metodo in tehniko, orodje z različico, način preverjanja ter podatke o osebah, ki so izvedle preverjanje in validacijo. NIST v dodatku C objavlja vzorčni obrazec. Potrdilo izkazuje evidentiran postopek in odločitev, ne meritev vsake celice. Pomembna je sledljivost medija od prevzema do njegove končne destinacije. [1]

Če je naprava pokvarjena, blokirana, ima neznan način šifriranja ali ji ni mogoče zaupanja vredno poslati ustreznega ukaza, predvidena tehnika morda sploh ni izvedljiva. Tedaj lahko ostane fizično uničenje, vendar tudi to zahteva izbran postopek, primeren za konkretni medij. Razmagnetenje ni metoda za pomnilnik NAND in po NIST Rev. 2 samo po sebi ni metoda Destroy; tudi poškodovanje ohišja ali nekaj lukenj v disku ne dokazuje nedosegljivosti vseh podatkov. Posebej pri gostih sodobnih medijih NIST opozarja na omejitve drobljenja in mletja. [1, 4]

Kaj mora ostati po odstranitvi podatkov

Pred notranjo predajo, vračilom najete naprave ali prodajo je smiselno najprej ugotoviti, kateri fizični in logični mediji v napravi sploh obstajajo. Poleg glavnega diska so lahko pomembni pomnilniške kartice, ključki USB, vgrajeni eMMC in drugi nosilci, ki ne podpirajo istih ukazov. Pred odstranitvijo je treba preveriti še obveznosti hrambe dokumentacije. [1]

Za vsak medij nato določi zahtevano zaščito, preveri združljivost izbrane tehnike z dejanskim modelom in zabeleži njen izid. Pri ponovno uporabnem HDD bo odločitev lahko drugačna kot pri SSD-ju z rezervnimi bloki; pri odpovedanem pogonu pa drugačna kot pri popolnoma delujočem. Ob izhodu iz organizacije sta potrebni še sledljiva predaja in evidenca končne destinacije. Takšno ravnanje ne daje neposrednega vpogleda v vsako celico, omogoča pa utemeljitev izbrane tehnike in ocene preostalega tveganja.

EVIDENCE PROFILE

Dokazni profil članka

Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.

OSREDNJI DOKAZLogično brisanje ali formatiranje samo po sebi ne potrdi sanitizacije: dostopnost nekdanjih podatkov je odvisna od tipa medija, notranjega krmilnika in uporabljene sanitizacijske metode.

RAZISKAVE1

DOKUMENTACIJA7

PREDOBJAVE0

UREDNIŠKI PREIZKUSNE

PREVERJENO2026-10-17

Viri

1. 01STANDARDNIST
   Chandramouli, R., Hibbard, E. A. NIST SP 800-88 Rev. 2: Guidelines for Media Sanitization. NIST, september 2025; predvsem poglavja 3, 4.5 in 4.6 ter dodatek C.Odpri vir ↗
2. 02PRIMARY DOCUMENTATIONMicrosoft
   Microsoft Learn. format. Dokumentacija ukaza Windows, zlasti možnosti /Q in /P.Odpri vir ↗
3. 03PRIMARY DOCUMENTATIONMicrosoft
   Microsoft Learn. Format-Volume. Dokumentacija ukazne lupine PowerShell, parameter -Full.Odpri vir ↗
4. 04PRIMARY DOCUMENTATIONNIST
   NIST. Frequently Asked Questions for NIST SP 800-88r2. 16. julij 2026; predvsem vprašanja 1–11.Odpri vir ↗
5. 05RESEARCHUSENIX
   Wei, M., Grupp, L. M., Spada, F. E., Swanson, S. Reliably Erasing Data from Flash-Based Solid State Drives. USENIX FAST ’11, februar 2011.Odpri vir ↗
6. 06PRIMARY DOCUMENTATIONMicrosoft
   Microsoft Learn. FSCTL_FILE_LEVEL_TRIM. Dokumentacija Win32, zlasti možne vrednosti ob poznejšem branju.Odpri vir ↗
7. 07STANDARDIEEE Standards Association
   IEEE Standards Association. IEEE 2883-2022: IEEE Standard for Sanitizing Storage. Uradni bibliografski zapis standarda.Odpri vir ↗
8. 08PRIMARY DOCUMENTATIONSeagate
   Seagate. Seagate AI IoT SATA Product Manual, Rev. A. Razdelka 4.10.1 in 4.10.2 o ATA SECURITY ERASE UNIT in Sanitize Device – Crypto Scramble.Odpri vir ↗
9. 09STANDARDNVM Express
   NVM Express. NVM Express Base Specification, Revision 2.4, potrjena 31. julija 2026, objavljena 4. avgusta 2026; in Open Source NVMe SSD Management Utility – NVMe-CLI.

   Dodatni primarni vir: https://nvmexpress.org/open-source-nvme-management-utility-nvme-command-line-interface-nvme-cli/

   Odpri vir ↗