Es ist erschreckend, Wie Viel Persönliche Daten die Leute Verlassen sich auf Gebrauchte Laptops und Handys, Forscher Findet

Hack-a-Tag untersucht Thermit-basierte anti-Forensik techniquesScreenshot: Jason Rollette (YouTube)

In einer staubigen Kunststoff-Behälter unter meinem Bett liegt mindestens vier laptops, sechs Handys, und ein halbes Dutzend Festplatten. Ich habe keine Ahnung, was auf jedem von Ihnen. Die meisten dieser Geräte verdrängen die cloud-storage-ära, und so wahrscheinlich enthalten einsamen Kopien von Fotos, Texten und E-Mails, unter anderem von vertraulichen Dateien (porno?) ich wäre wahrscheinlich entsetzt, wenn Sie erfahren hatten, fiel in die Hände von fremden.

Im Nachhinein, sollte ich genommen habe ein Vorschlaghammer auf meinen Haufen Elektronik Müll vor langer Zeit, oder vielleicht warf ihn in ein burn-barrel, bevor einweichen die verkohlten überreste in ein Bad aus Salzsäure. Overkill? Vielleicht auch nicht.

Eine aktuelle experiment von Josh Frantz, senior security consultant bei Rapid7, deutet darauf hin, dass die Benutzer unter wenigen, wenn keine Schritte, um Ihre privaten Daten schützen vor der Freigabe an, Ihre gebrauchten Geräte zurück in die wildnis. Für rund sechs Monate, sammelte er verwendet, desktop, Festplatten, Mobiltelefone und mehr, Pfandleihhaus in der Nähe seines Hauses in Wisconsin. Es stellte sich heraus, dass Sie enthalten eine fülle von privaten Daten gehören, Ihre ehemaligen Besitzer, darunter eine Tonne von persönlich identifizierbaren Informationen (PII)—das Brot und butter von Identitätsdiebstahl.

Frantz sammelte einen respektablen Vorrat renoviert, gespendet, und verwendete hardware: 41-desktops und-laptops, 27 Stücke von Wechselmedien (Speicherkarten und flash-Laufwerke), 11 Festplatten und sechs Handys. Die Gesamtkosten des Experiments war viel weniger, als man sich das vorstellt. “Ich besuchte insgesamt 31 Unternehmen gekauft und was ich bekommen konnte, meine Hände auf eine Gesamtsumme von rund $600,” sagte er.

Frantz verwendet ein Python-basierte optische Zeichenerkennung (OCR) – tool zu Scannen, Sozialversicherungsnummer, Geburtsdatum, Kreditkarteninformationen und andere sensible Daten. Und das Ergebnis war, wie zu erwarten, nicht gut.

Der Haufen Müll herausstellte, enthalten 41 Soziale Sicherheit zahlen, 50 Geburtsdaten, 611 E-Mail-Konten, 19 Kreditkarte zahlen, zwei Pass-zahlen, und sechs Fahrer-Lizenz zahlen. Darüber hinaus werden mehr als 200.000 Bilder enthalten waren, die auf den Geräten und über 3.400 Dokumente. Auch er extrahiert fast 150.000 E-Mails.

Screenshot: Josh Frantz / Rapid7

Nur zwei der Geräte wurden gelöscht, richtig, er sagte: ein laptop von Dell und eine Hitachi Festplatte. Und nur drei waren verschlüsselt.

Der Silberstreif am Horizont ist hier, dass trotz, wie preiswert war das experiment durchführen, ist es immer noch mehr Kosten zu sammeln alle, dass PII, als würden Sie machen, verkaufen Sie es auf alle dunklen Netto-Markt (wenn Frantz nicht versuchen zu beurteilen, ob Dokumente oder Fotos, die könnte halten Sie einen beliebigen Wert als Erpressung material).

“Egal, wie berechnen wir den Wert der gesammelten Daten, wir würden nie wiedergewinnen unsere anfängliche Investition von rund $600,” sagte er. “Das wirft einen faszinierenden Punkt: Datenverlust/ – Extraktion ist so verbreitet, dass es nach unten getrieben, die Kosten der Daten selbst. Ich sah mehrere dumps von Social-Security-Nummern auf das Darknet auch für weniger als $1 je.”

Die wichtige Sache zu erinnern ist, dass, wenn eine Datei gelöscht wird, ist es eigentlich nicht gegangen. Während es möglicherweise nicht mehr sichtbar im Datei-Explorer, es gibt Sie noch. Das Betriebssystem ist einfach markiert den Raum einnimmt, dass es als verfügbar überschrieben werden durch eine andere Datei auf der ganzen Linie. Der Grund dafür ist Recht einfach: Echte Datenlöschung ist eigentlich ziemlich zeitaufwendig. Fünfzig Gigabyte Speicherplatz könnte eine Stunde oder länger dauern, um richtig zu desinfizieren.

Es gibt eine Menge von Werkzeugen zur Verfügung, um Benutzern zu helfen, richtig zu desinfizieren, eine Festplatte, wie BitRaser und BitBleach. Richtig eingesetzt, diese wird in der Regel überschreiben die Daten gründlich genug, dass die meisten kommerziellen forensische Daten-recovery-tools sind ziemlich nutzlos. (Autoritäreren Methoden kann hier gelesen werden.) Frantz empfiehlt die Verwendung von DBAN, auch bekannt als Darik ‘ s Boot and Nuke.

Aber am Ende, wenn Sie Gerät war Gastgeber für einige sehr sensible Daten, wieso chance? Abreißen das Teil und kaufen Sie sich einige Stück des Verstandes. Frantz bietet einige Vorschläge, wie gehen über diese, in keiner bestimmten Reihenfolge, gehören Thermit, das ist immer lustig (und dumm-gefährlich) zu verwenden:

• Hammer
• Verbrennung (Vorsicht, giftige Nebenprodukte)
• Industrielle Zerkleinerung
• Bohrer/Bohrmaschine
• Säure
• Elektrolyse
• Mikrowellen
• Thermit

Alle diese Methoden erfordern den Einsatz von geeigneten Sicherheits-Ausrüstung und einige erfordern training. Auch wenn Sie einfach nur bashing, die Scheiße aus einer alten Festplatte mit einem hammer, don Handschuhe und Sicherheit Brillen und hüten Sie sich vor fliegenden Scherben der Schaltung. Bleiben Sie nie eine Festplatte in die Mikrowelle oder versuchen es zu Schmelzen Sie es in Ihrem Ofen. Wenn Sie nicht über einen großen Bereich frei von brennbaren Materialien, Sie sollte nicht brennen, alles, immer. Es kann sogar illegal sein für Sie, dies zu tun. Das innere Ihres Hauses ist nicht ein geeigneter Ort, um zu versuchen und zu zerstören Ihrem computer.

(Nur zum Spaß, es ist eine große video hier von den Leuten bei Hack-a-Tag Experimentieren mit “Thermit-basierte anti-forensischen Techniken.”)

Wenn Sie nicht haben Zugang zu jedem der Werkzeuge erforderlich, den Raum oder die notwendige Erfahrung, gibt es wahrscheinlich eine Vernichtung der Daten Unternehmen in Ihrem Bereich tätig ist, in übereinstimmung mit verschiedenen Datenschutz-Gesetze wie HIPAA.

“Wenn Sie sich sorgen um Ihre Daten landen in der falschen person in die Hände, zerstören die Daten”, sagt Frantz. “Wenn Sie möchten, eine gute Tat zu tun und Spenden Sie Ihre Technik, damit andere davon profitieren können, stellen Sie sicher, dass es zumindest abgewischt, um einen akzeptablen standard.” Selbst wenn eine Firma behauptet, Sie werde Ihre Daten löschen für Sie, fügt er hinzu, “es gibt keine gute Möglichkeit zu wissen, ob das tatsächlich wahr ist, es sei denn, Sie führen die wischen sich.”

Jetzt wenn Sie mich entschuldigen, ich muss einen big-ass-hammer und etwas Aceton.

Teilen Sie Diese Geschichte