Werkzeuge zur sicheren Beseitigung von Dateien missachten alternative Datenströme (ADS) bei NTFS-Dateisystemen, wodurch Inhalte von Dateien mit ADS auch nach Löschung mit einem dieser Werkzeuge vorgefunden werden können.

Betroffene Systeme

• Accessdata SecureClean v3 build-2.0
• East-Tec Eraser 2000
• Jetico BCWipe vor Version 2.37
• NAI PGP 6.x
• NAI PGP 7.x
• Tolcanen Eraser 5.3
• sowie möglicherweise weitere Werkzeuge zum sicheren Löschen von Dateien

Einfallstor
Werkzeuge zur sicheren Löschung von Dateien (file wiping tools)

Auswirkung
Werkzeuge zur sicheren Löschung von Dateien überschreiben die Inhalte von alternativen Datenströmen nicht. Somit können deren Inhalte auch nach einer Löschung mit einem dieser Werkzeuge vorgefunden werden.

Typ der Verwundbarkeit
design flaw (Missachtung von ADS)

Gefahrenpotential
niedrig bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Die normale Löschfunktion von Windows löscht nur den Verzeichniseintrag des Dateinamens, aber nicht den Inhalt einer Datei. Werkzeuge zur sicheren Beseitigung von Dateien überschreiben den Inhalt von zu löschenden bzw. gelöschten Dateien mit pseudozufälligen Zeichen. Dieser Vorgang kann bei einigen Werkzeugen wiederholt durchgeführt werden, wodurch eine Rekonstruktion der ursprünglichen Inhalte erschwert wird.

Einige dieser Werkzeuge zum sicheren Löschen von Dateien (file wiping tools) beachten alternative Datenströme (ADS) bei NTFS-Dateisystemen nicht. Dateien eines NTFS- Dateisystems bestehen aus mehreren Datenströmen. Ein Datenstrom enthält die Sicherheitsdaten und ein weiterer die eigentlichen Daten. Eine Eigenart von NTFS besteht darin, dass Anstelle des eigentlichen Datenstroms auch eine Verknüpfungsinformation zu einer anderen Datei vorhanden sein kann. Jede Datei kann beliebig viele alternative Datenströme enthalten. Die alternativen Datenströme sind versteckt und können nur mit speziellen Werkzeugen, z.B. lads angezeigt werden. Zahlreiche Werkzeuge zur sicheren Löschung von Dateien beachten beim Überschreiben der Inhalte von Dateien alternative Datenströme nicht, wodurch deren Informationen auch nach einer Löschung vorgefunden werden können.

Workaround
Einige Werkzeuge zur sicheren Löschung von Dateien bieten die Funktionalität, freien Plattenplatz sicher zu löschen (wipe free disk space). Bei dieser Option werden bei gelöschten Dateien auch die alternativen Datenströme (ADS) überschrieben.

Gegenmaßnahmen
Update auf die aktuelle Version der Werkzeuge zur sicheren Löschung. Es haben jedoch noch nicht alle Hersteller reagiert.

• Jetico BCWipe Version 2.37
  http://www.jetico.com/index.htm#/bcwipe.htm
• Tolvanen Eraser - Sourcecode-Patch liegt vor
  http://www.tolvanen.com/eraser/known_problems.txt

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/