[論文レビュー] Secure Deletion on Log-structured File Systems

Joel Reardon, Claudio Marforio+2 more|arXiv (Cornell University)|Jun 5, 2011

Advanced Data Storage Technologies参考文献 14被引用数 12

ひとこと要約

この論文は、Androidスマートフォンで使用されるYAFFSのようなログ構造ファイルシステムにおける安全な削除のための3つのメカニズム—クリーニング、バルーンイング、ゼロオーバーライト—を提案する。標準的な削除、オーバーライト、暗号化では、フラッシュメモリの1回書き込み可能という性質のため、データが確実に消去されないことが示されており、本手法では過度な摩耗やバッテリー消費を伴わずに即時または保証された安全な削除を実現している。

ABSTRACT

We address the problem of secure data deletion on log-structured file systems. We focus on the YAFFS file system, widely used on Android smartphones. We show that these systems provide no temporal guarantees on data deletion and that deleted data still persists for nearly 44 hours with average phone use and indefinitely if the phone is not used after the deletion. Furthermore, we show that file overwriting and encryption, methods commonly used for secure deletion on block-structured file systems, do not ensure data deletion in log-structured file systems. We propose three mechanisms for secure deletion on log-structured file systems. Purging is a user-level mechanism that guarantees secure deletion at the cost of negligible device wear. Ballooning is a user-level mechanism that runs continuously and gives probabilistic improvements to secure deletion. Zero overwriting is a kernel-level mechanism that guarantees immediate secure deletion without device wear. We implement these mechanisms on Nexus One smartphones and show that they succeed in secure deletion and neither prohibitively reduce the longevity of the flash memory nor noticeably reduce the device's battery lifetime. These techniques provide mobile phone users more confidence that data they delete from their phones are indeed deleted.

研究の動機と目的

• ログ構造ファイルシステム（例：YAFFS）における安全なデータ削除の時間的保証の欠如に対処すること。
• 標準的手法（ファイルのオーバーライトと暗号化）が、フラッシュメモリの1回書き込み可能という性質のため、データ削除を保証できないことを特定すること。
• フラッシュメモリの耐久性やバッテリー消費を損なわずに、信頼性の高い安全な削除を実現する、ユーザー層およびカーネル層のメカニズムを設計すること。
• 通常のスマートフォン使用状況下で、削除されたデータが平均して最大44時間も残存することを実証し、安全な削除ソリューションの緊急性を強調すること。
• ファクトリーリセットに頼らずに個々のファイルを安全に削除可能にすることで、データ整合性とプライバシーを維持すること。

提案手法

• クリーニングを、一度の操作で以前に削除予定とされたすべてのデータを明示的にオーバーライトするユーザー層メカニズムとして実装する。
• バルーンイングを、利用可能な領域を埋める継続的なユーザー層プロセスとして設計し、ガーベージコレクションを加速させ、データの残存時間を短縮する。
• ゼロオーバーライトを、アンリンク時に削除ブロックにゼロを書き込むことで即時的安全な削除を保証するカーネル層の変更として導入する。
• Nexus Oneスマートフォンを用いて、フラッシュメモリの摩耗およびバッテリー消費への影響を測定する。
• YAFFSにおけるフラッシュ変換レイヤー（FTL）の挙動とガーベージコレクションのパターンを活用し、ブロックの再利用タイミングを制御または利用するメカニズムを設計する。
• 動的パーティションリサイズおよびLEBレベル制御を通じて、JFFS や UBI などの他のログ構造ファイルシステムへの一般化可能性を評価する。

実験結果

リサーチクエスチョン

• RQ1 なぜ従来の安全な削除技術（例：オーバーライトや暗号化）は、YAFFSのようなログ構造ファイルシステムでは失敗するのか？
• RQ2 YAFFSにおける通常の使用状況下で、削除されたデータはフラッシュストレージ上どの程度の期間、残存するのか？
• RQ3 ユーザー層メカニズム（例：クリーニングとバルーンイング）は、顕著な摩耗やパフォーマンス劣化を伴わず、安全な削除を達成できるか？
• RQ4 即時的安全な削除を実現するゼロオーバーライトのためのカーネル層の変更にはどのようなものが必要で、そのトレードオフは何か？
• RQ5 バルーンイングやゼロオーバーライトのようなメカニズムは、UBIを含む他のログ構造ファイルシステムへどの程度一般化可能か？

主な発見

• YAFFSにおける削除データは、平均的なスマートフォン使用状況下で最大44時間も残存し、デバイスが使用されていなければ無期限に残存する可能性がある。
• ファイルのオーバーライトや暗号化では、ログ構造ファイルシステムでは新しいバージョンが新しいブロックに書き込まれるため、元のデータがそのままであり、安全な削除を保証できない。
• クリーニングは30秒以内に安全な削除を保証し、フラッシュメモリへの摩耗は無視できるほど小さい。
• バルーンイングはガーベージコレクションを加速させることで、データが安全に消去されるまでの期待時間を短縮し、削除速度と摩耗の間で調整可能なトレードオフを提供する。
• ゼロオーバーライトは、追加の摩耗を伴わずカーネル層で即時的安全な削除を保証するが、カーネルの変更が必要であり、すべてのフラッシュメモリタイプと互換性があるわけではない。
• 提案されたメカニズムはバッテリー消費やフラッシュメモリの耐久性に顕著な影響を与えず、実世界のモバイルデバイスへの実装に実用的である。