فایل‌های حذف‌شده کجا می‌روند؟ حقیقتی درباره Delete که نمی‌دانستید

بیایید خیلی ساده شروع کنیم. فرض کنید یک فایل داریم: photo.jpg. سیستم‌عامل باید بداند این فایل کجای دیسک قرار گرفته است. برای این کار، فایل‌سیستم اطلاعاتی درباره هر فایل نگه می‌دارد:

وقتی فایل را حذف می‌کنید، در بسیاری از سیستم‌ها اتفاق اصلی در ابتدا این نیست که تمام صفر و یک‌های فایل از روی حافظه پاک شوند. بلکه سیستم‌عامل اعلام می‌کند: «این فایل دیگر مورد نیاز نیست و فضایی که در اختیار داشت می‌تواند دوباره استفاده شود.»

داده ممکن است هنوز روی رسانه باقی مانده باشد؛ فقط دیگر فایل‌سیستم آن را به‌عنوان یک فایل قابل استفاده نمی‌شناسد. همین تفاوت، پایه اصلی بازیابی بسیاری از فایل‌های حذف‌شده است. NIST نیز در راهنمای خود برای پاک‌سازی رسانه‌ها تأکید می‌کند که «حذف» با فرایندی که دسترسی به داده را عملاً غیرممکن کند یکسان نیست و ممکن است داده‌های باقی‌مانده قابل بازیابی باشند.

فرض کنید فایل ۱۰۰ مگابایتی شما حذف شده است. اگر سیستم‌عامل اعلام کند که آن ۱۰۰ مگابایت آزاد است، ممکن است فایل جدیدی هنوز روی همان بخش نوشته نشده باشد. تا زمانی که داده دیگری روی فضای قبلی نوشته نشده باشد، ابزارهای بازیابی می‌توانند بخش‌هایی از آن را پیدا کنند.

اینجا داستان جالب می‌شود. با یک HDD قدیمی، ماجرا نسبتاً سرراست‌تر است: اطلاعات روی صفحات مغناطیسی ذخیره می‌شوند و سیستم‌عامل می‌تواند یک فایل را از دید فایل‌سیستم حذف کند، در حالی که محتوای آن تا زمانی که بازنویسی نشود ممکن است همچنان روی رسانه باقی بماند.

اما در SSD داستان پیچیده‌تر است. SSD از حافظه Flash استفاده می‌کند و کنترلر آن دائماً در حال مدیریت سلول‌های حافظه با Wear Leveling و Garbage Collection است. پس حتی مفهوم «این فایل در این سلول‌ها قرار دارد» به اندازه HDD ساده نیست.

وقتی فایلی از یک SSD حذف می‌شود، سیستم‌عامل می‌تواند از طریق دستوری به نام TRIM به SSD اعلام کند که بعضی بلوک‌ها دیگر حاوی داده موردنیاز نیستند. در چنین شرایطی SSD می‌تواند در پس‌زمینه آن فضا را برای استفاده مجدد آماده کند.

اینجا قسمت عجیب ماجرا شروع می‌شود. فرض کنید vacation.jpg را از گوشی یا کامپیوترتان حذف می‌کنید. ممکن است اصل فایل را حذف کرده باشید — اما آیا واقعاً تمام نسخه‌های آن حذف شده‌اند؟ شاید نه. نسخه‌هایی از آن ممکن است در جاهای دیگری باقی مانده باشند:

وارد یک پوشه پر از عکس می‌شوید. قبل از باز کردن هر عکس، ویندوز یا یک برنامه دیگر پیش‌نمایش آن را نشان می‌دهد. این پیش‌نمایش ممکن است خودش به‌صورت داده‌ای جداگانه ذخیره شده باشد. پس ممکن است عکس اصلی را حذف کنید اما Thumbnail آن به‌طور خاموش زنده بماند. البته این به معنی نیست که همیشه می‌توان از Thumbnail تصویر کامل را بازسازی کرد — اما نشان می‌دهد یک فایل می‌تواند ردپای بیشتری از خودش نسبت به چیزی که در پوشه می‌بینیم داشته باشد.

تصور کنید فایلی را از کامپیوترتان حذف کرده‌اید — ولی قبل از آن، آن فایل را در مرورگر باز کرده بودید. مرورگرها برای افزایش سرعت ممکن است داده‌هایی را در Cache ذخیره کنند. بنابراین حذف یک فایل از هارد به این معنی نیست که تمام داده‌های مربوط به آن فایل، در تمام نرم‌افزارهای سیستم، هم‌زمان حذف شده‌اند.

این موضوع برای برنامه‌نویس‌ها حتی جالب‌تر است. فرض کنید یک برنامه این رکورد را در دیتابیس ذخیره کرده:

حالا رکورد را حذف می‌کنیم: DELETE FROM users WHERE id = 42;. از دید منطقی، رکورد دیگر وجود ندارد. اما سیستم ذخیره‌سازی دیتابیس ممکن است علاوه بر داده اصلی، این موارد را هم داشته باشد:

فرض کنید فایل را حذف می‌کنید — کاملاً هم از روی SSD حذف شده است. اما سیستم شما هر شب Backup می‌گیرد. فایل در نسخه پشتیبان دیشب هست. حذف از دستگاه با حذف از تمام نسخه‌های ذخیره‌شده یکسان نیست. به همین دلیل سرویس‌های ابری و سیستم‌های سازمانی معمولاً سیاست‌های نگهداری، Versioning و Backup جداگانه دارند.

وقتی فایلی را در یک سرویس ابری ذخیره می‌کنید، فایل فقط در لپ‌تاپ شما نیست. ممکن است در حافظه اصلی، در Replicaها، در نسخه‌ها و در Backupها وجود داشته باشد. پس وقتی روی Delete می‌زنید، یک سؤال جدید مطرح می‌شود: از کجا حذف شد؟

این مسئله یکی از دلایل مهم پیچیده بودن حذف دائمی اطلاعات در سیستم‌های توزیع‌شده است.

یکی از باورهای رایج: «دیسک را Format کردم، پس همه اطلاعات نابود شد.» اما کلمه Format به‌تنهایی کافی نیست. نوع Format، نوع رسانه و روش انجام عملیات مهم است. در بسیاری از سناریوها، Format صرفاً ساختار فایل‌سیستم را دوباره ایجاد می‌کند و لزوماً به این معنی نیست که تمام اطلاعات فیزیکی رسانه بلافاصله نابود شده‌اند. به همین دلیل NIST بین مفاهیم مختلف Clear، Purge و Destroy تفاوت قائل می‌شود و پاک‌سازی امن را موضوعی جدا از یک Format عادی می‌داند.

یک اشتباه قدیمی این است که تصور کنیم اگر چندین بار کل SSD را با صفر پر کنیم، حتماً امن‌ترین روش است. اما SSD به دلیل Wear Leveling، Overprovisioning، Garbage Collection و Flash Translation Layer مثل یک HDD ساده رفتار نمی‌کند. NIST در راهنمای SP 800-88 Rev. 2 نیز صراحتاً اشاره می‌کند که روش‌های بازنویسی سنتی برای SSDهای دارای Overprovisioning لزوماً روش مناسبی برای پاک‌سازی کامل نیستند و باید از روش‌های مناسب‌تر Sanitization استفاده شود.

برای داده‌های حساس، هدف فقط این نیست که فایل در Explorer دیده نشود. هدف این است که دسترسی به داده برای سطح تهدید موردنظر عملاً غیرممکن شود. NIST در راهنمای فعلی خود برای Media Sanitization، از سه مفهوم اصلی صحبت می‌کند:

البته اینکه کدام روش مناسب است، به نوع رسانه و میزان حساسیت اطلاعات بستگی دارد.

اینجا به یکی از جذاب‌ترین ایده‌ها می‌رسیم. فرض کنید همه اطلاعات شما از ابتدا رمزنگاری شده‌اند. حتی اگر بیت‌های رمزنگاری‌شده هنوز روی رسانه وجود داشته باشند، بدون کلید مناسب قابل استفاده نیستند. حالا اگر کلید رمزنگاری را به‌صورت امن از بین ببریم، داده از نظر رمزنگاری غیرقابل دسترس می‌شود. به این روش Cryptographic Erase یا حذف رمزنگاری‌شده گفته می‌شود و NIST SP 800-88 Rev. 2 نیز آن را به‌عنوان یکی از روش‌های مهم Sanitization پوشش می‌دهد.

در برخی سیستم‌های مدرن، رمزنگاری به‌صورت گسترده در خود دستگاه پیاده‌سازی شده است. برای نمونه، اپل توضیح می‌دهد که در معماری Data Protection، حذف کلیدهای مناسب می‌تواند فایل‌ها را از نظر رمزنگاری غیرقابل دسترس کند.

گوشی هوشمند فقط یک حافظه Flash ساده نیست. دستگاه‌های مدرن ترکیبی از حافظه Flash، فایل‌سیستم، رمزنگاری، سخت‌افزار امن و بکاپ ابری هستند. بنابراین وقتی گوشی را Factory Reset می‌کنید، ماجرا می‌تواند بسیار متفاوت از Delete کردن یک فایل در کامپیوتر قدیمی باشد. در دستگاه‌هایی که از رمزنگاری مناسب استفاده می‌کنند، حذف کلیدهای رمزنگاری می‌تواند بخش مهمی از فرایند امن‌سازی اطلاعات باشد.

نه — و این بخش خیلی مهم است. گاهی فایل قابل بازیابی است. گاهی فقط بخشی از آن. گاهی فقط نام یا Metadata آن باقی مانده. گاهی SSD با TRIM و عملیات داخلی خود، بازیابی را بسیار دشوار کرده است. و گاهی به دلیل بازنویسی، خرابی، رمزنگاری یا پاک‌سازی صحیح، داده دیگر عملاً قابل بازیابی نیست.

هر دو تصور اشتباه‌اند. حقیقت جایی بین این دو است و به استک ذخیره‌سازی بستگی دارد.

بیایید یک مثال واقعی بسازیم. تصور کنید یک عکس با نام IMG_2037.jpg دارید. این عکس ممکن است به این شکل در سیستم وجود داشته باشد:

حالا شما اصل عکس را حذف می‌کنید. Original حذف شده — اما Thumbnail، Backup، نسخه ابری و Metadata ممکن است همه هنوز وجود داشته باشند. پس سؤال واقعی دیگر این نیست: «فایل را حذف کردم؟» بلکه باید بپرسیم: «تمام مسیرهایی که این داده می‌توانسته در آن‌ها وجود داشته باشد، چه شدند؟»

یک نکته ظریف هم وجود دارد. گاهی بعد از حذف، آنچه باقی می‌ماند خود فایل کامل نیست — فقط اطلاعاتی درباره آن: نام فایل، زمان‌ها، اندازه، مکان، Thumbnail یا Metadataهای دیگر. «ردپای داده» با «خود داده» یکی نیست. این تفاوت مخصوصاً در بررسی‌های Forensic اهمیت زیادی دارد.

حالا مسئله را از کامپیوتر بیرون ببریم. فرض کنید یک عکس را در اینترنت منتشر کرده‌اید و چند ساعت بعد حذفش می‌کنید. آیا داستان تمام شده؟ نه لزوماً. نسخه‌هایی ممکن است در Cacheها، CDNها، ایندکس موتورهای جستجو، Screenshotها، دانلودهای کاربران دیگر و آرشیوها وجود داشته باشد. حتی اگر سرور اصلی فایل را حذف کرده باشد، ممکن است یک نفر دیگر قبلاً آن را دانلود کرده باشد — و هیچ تکنیکی روی سرور اصلی نمی‌تواند نسخه‌ای را که روی کامپیوتر شخص دیگری ذخیره شده، از بین ببرد.

اینجا مفهوم حذف داده دیگر فقط یک مسئله فنی نیست؛ وارد بحث مالکیت، حریم خصوصی و انتشار اطلاعات می‌شویم.

در دنیای دیجیتال، حذف می‌تواند چند معنی بسیار متفاوت داشته باشد:

این‌ها یکسان نیستند — حتی نزدیک هم نیستند.

برای استفاده روزمره، معمولاً لازم نیست هر بار که یک عکس را حذف می‌کنیم، سراغ روش‌های سنگین Sanitization برویم. اما وقتی صحبت از اطلاعات واقعاً حساس است، قضیه فرق می‌کند. برای مثال هنگام دور انداختن یا واگذاری یک سیستم:

شاید جذاب‌ترین بخش این ماجرا همین باشد. وقتی در کامپیوتر روی Delete می‌زنیم، تصور می‌کنیم یک اتفاق ناگهانی افتاده: فایل، حذف، هیچ‌چیز. اما در واقع ممکن است این اتفاق رخ داده باشد:

یعنی حذف یک داده گاهی بیشتر شبیه محو کردن نقشه راه دسترسی به آن است تا نابودی فوری خود اطلاعات.

پاسخ یک کلمه‌ای ندارد. روی یک HDD ممکن است با بازنویسی صحیح، بازیابی بسیار دشوار شود. روی یک SSD باید رفتار خود رسانه، کنترلر و قابلیت‌های Sanitization را در نظر گرفت. در یک دستگاه رمزنگاری‌شده، حذف کلید می‌تواند داده را از نظر رمزنگاری غیرقابل دسترس کند. و در یک سرویس ابری، ممکن است موضوع Backup، Replication و Retention هم مطرح باشد. برای همین استانداردهای جدید، به‌جای اینکه فقط بگویند «فایل را Delete کن»، درباره Media Sanitization صحبت می‌کنند؛ یعنی فرایندی که دسترسی به داده را با توجه به سطح تلاش مورد انتظار، عملاً غیرممکن کند.

دفعه بعد که یک فایل را حذف کردید، شاید ارزش داشته باشد یک لحظه به این فکر کنید: فایل کجا بود؟ سیستم‌عامل چه چیزی را حذف کرد؟ دیسک چه چیزی را نگه داشت؟ آیا Backup وجود داشت؟ آیا Cloud نسخه‌ای داشت؟ آیا برنامه دیگری Cache ساخته بود؟ و مهم‌تر از همه؛ آیا اصلاً لازم بود داده به‌صورت قابل بازیابی باقی بماند؟

دنیای ذخیره‌سازی فقط درباره نگه داشتن اطلاعات نیست. بخش سخت‌تر ماجرا این است که بدانیم چطور باید اطلاعاتی را که دیگر نمی‌خواهیم، واقعاً از دسترس خارج کنیم.