Raid 5 esegue lo striping dei dati sui dischi, ma i blocchi utilizzati per lo striping sono in genere piuttosto grandi. Per lo meno saranno interi settori ma normalmente saranno molto più grandi di quello. Ad esempio, il valore predefinito di madm è di blocchi da mezzo megabyte. Anche un settore è abbastanza grande da poter trovare pezzi di testo recongisable e con le dimensioni tipiche dei blocchi è molto probabile che interi file riconoscibili saranno presenti sulle singole unità dell'array.

Nell'interesse di verificarlo effettivamente, ho puntato una copia di Foremost su un disco che in precedenza faceva parte di un array RAID-6 (reso disponibile grazie a Seagate). L'array aveva una dimensione di blocco di 512 KB, quindi qualsiasi file di 512 KB o inferiore è teoricamente presente intatto. I dati sull'array provengono da quasi 25 anni di utilizzo del computer, comprese le immagini del disco di ogni computer che possiedo.

La quantità di dati che ho recuperato è stata, francamente, spaventosa. Documenti Word contenenti compiti a casa delle scuole superiori. File di dati di giochi che avevo disinstallato decenni fa. File DLL di centinaia di versioni differenti di WINE. Immagini allegate a post Usenet non letti. Diecimila pagine web memorizzate nella cache. L'aggiunta di una regola di estrazione personalizzata ha rilevato tre chiavi private SSL e una chiave SSH.

Un'altra cosa da notare è che non è sempre necessario estrarre l'intero file per ottenere informazioni compromettenti. Ad esempio, i primi 512k di un PDF possono darti il ​​sommario, i primi 512k di un BMP possono darti una didascalia (BMP memorizza i dati dell'immagine capovolta) e i primi 512k di un JPEG possono darti un miniatura. I file MPEG e MP3 sono progettati per essere trasmessi in streaming, quindi anche un pezzo a metà di uno può fornire dati utili a qualcuno.

Quanto sono codificati i dati su un disco RAID 5? Non abbastanza criptato.

Sembra che le persone confondano la dimensione del settore del disco (in genere da 512B a 4KB) con la dimensione dello stripe RAID 5 (in genere da 16KB a 128KB, a volte più grande). La dimensione dello stripe RAID è la dimensione scrivibile logica per l'array, quindi ogni parte dello stripe su ciascuna unità conterrà una quantità di dati tale. Se un intero file rientra nella dimensione dello stripe, probabilmente sarà tutto visibile come un blocco contiguo sull'unità di rimozione.

Un singolo membro di un array RAID 5 sarà composto da blocchi semplici e blocchi di parità, ad esempio 75% semplici e 25% di parità per un array a 4 membri. I blocchi semplici possono essere letti in piena vista; non vi è alcun rimescolamento di questi blocchi e non è necessario fare riferimento ad altri membri per dargli un senso. Questi blocchi hanno in genere una dimensione compresa tra 16 KB e 512 KB, sebbene con RAID-5 questa sia di solito 128 KB o inferiore per ridurre al minimo l'amplificazione di scrittura. C'è molto spazio per leggere i dati sensibili che appaiono in tali blocchi semplici.

Ogni blocco di parità contiene dati generati da tre blocchi semplici su altre unità, in modo tale che se uno qualsiasi di questi tre altri le unità (in un array di quattro membri) vengono perse le informazioni possono essere recuperate applicando un algoritmo al blocco di parità e ai blocchi dalle altre due unità rimanenti. I dati in un blocco di parità non hanno senso e non potrebbero essere recuperati da soli, a meno che non si possa indovinare il contenuto di due degli altri tre blocchi con cui si combina, il che in alcuni casi potrebbe essere facile se due dei tre blocchi fossero vuoti (zero) o contengono dati prevedibili. Pertanto, sebbene non sia crittograficamente sicuro, le informazioni in un blocco di parità sono generalmente inutili senza due degli altri tre blocchi da cui vengono generate.

RAID 4 aveva un design simile a RAID 5 tranne che tutta la parità i blocchi sono stati memorizzati su un'unità, quindi se avessi solo quell'unità, non avresti dati facilmente recuperabili. RAID 5 lo ha modificato per distribuire i blocchi di parità in modo uniforme tra i membri, il che significa che qualsiasi unità da sola conterrà molti blocchi semplici da cui è possibile recuperare i dati.

O il fatto che facesse parte di un array RAID5 è sufficiente perché i dati siano stati codificati oltre il riconoscimento?

La regola pratica sarebbe quella di proteggere sempre la cancellazione magnetica supporto prima di darlo via in tali circostanze (riciclaggio, donazione, ecc.). Non fare supposizioni sui dati sottostanti, se sono stati crittografati, se era RAID0 o RAID 5, ecc.

Anche se la saggezza contemporanea è che qualcosa è sicuro, l'esperienza ci ha mostrato che tali convinzioni possono essere invalidati in futuro (ad esempio, guarda il numero di anni in cui i problemi di sicurezza di Spectre / Meltdown sono esistiti senza essere rilevati, fino a quando i ricercatori non hanno scoperto come ciò potrebbe abusare del comportamento dei processori).

Nei data center in cui lavoro prendiamo molto sul serio la sicurezza dei dati. Se l'unità faceva parte di un array non crittografato, sì, sono ancora disponibili dati sufficienti che possono essere recuperati dall'unità. Consiglio sinceramente di pulire l'unità se è ancora funzionante o se non funziona, consiglio di smagnetizzare l'unità con una sorta di dispositivo magnetico controllato.