[논문 리뷰] Secure Deletion on Log-structured File Systems

Joel Reardon, Claudio Marforio외 2명|arXiv (Cornell University)|2011. 06. 05.

Advanced Data Storage Technologies참고 문헌 14인용 수 12

한 줄 요약

이 논문은 앤드로이드 스마트폰에서 사용되는 로그 구조 파일 시스템인 YAFFS에 대한 안전한 삭제를 위한 세 가지 메커니즘—정리, 팽창, 영수기 덮어쓰기—을 제안한다. 표준 삭제, 덮어쓰기, 암호화 방법이 플래시 메모리의 한 번 쓰기 성격으로 인해 데이터를 신뢰성 있게 지우지 못함을 보여주며, 제안된 솔루션들이 과도한 마모나 배터리 소모 없이 즉각적 또는 보장된 안전한 삭제를 보장함을 입증한다.

ABSTRACT

We address the problem of secure data deletion on log-structured file systems. We focus on the YAFFS file system, widely used on Android smartphones. We show that these systems provide no temporal guarantees on data deletion and that deleted data still persists for nearly 44 hours with average phone use and indefinitely if the phone is not used after the deletion. Furthermore, we show that file overwriting and encryption, methods commonly used for secure deletion on block-structured file systems, do not ensure data deletion in log-structured file systems. We propose three mechanisms for secure deletion on log-structured file systems. Purging is a user-level mechanism that guarantees secure deletion at the cost of negligible device wear. Ballooning is a user-level mechanism that runs continuously and gives probabilistic improvements to secure deletion. Zero overwriting is a kernel-level mechanism that guarantees immediate secure deletion without device wear. We implement these mechanisms on Nexus One smartphones and show that they succeed in secure deletion and neither prohibitively reduce the longevity of the flash memory nor noticeably reduce the device's battery lifetime. These techniques provide mobile phone users more confidence that data they delete from their phones are indeed deleted.

연구 동기 및 목표

• 로그 구조 파일 시스템인 YAFFS와 같은 환경에서 안전한 데이터 삭제에 대한 시간적 보장을 제공하지 못하는 문제를 해결한다.
• 표준 방법인 파일 덮어쓰기와 암호화가 플래시 메모리의 한 번 쓰기 의미 체계로 인해 데이터 삭제를 보장하지 못함을 규명한다.
• 플래시 메모리 수명과 배터리 수명을 해치지 않으면서도 신뢰할 수 있는 안전한 삭제를 제공하는 사용자 수준 및 커널 수준의 메커니즘을 설계한다.
• 일반적인 스마트폰 사용 조건에서 삭제된 데이터가 평균적으로 최대 44시간 동안 지속될 수 있음을 입증하여, 안전한 삭제 솔루션의 긴급성을 강조한다.
• 공장 초기화에 의존하지 않고도 사용자가 개별 파일을 안전하게 삭제할 수 있도록 하여 데이터 무결성과 프라이버시를 유지한다.

제안 방법

• 사용자 수준에서 정리 기능을 구현하여 이전에 삭제된 것으로 표시된 모든 데이터를 단일 작업으로 활성적으로 덮어쓰는 방식이다.
• 사용자 수준의 지속적 프로세스인 팽창을 설계하여 가용 공간을 모두 채워 쓰레기 수거를 가속화하고 데이터 지속 시간을 단축시킨다.
• 커널 수준의 수정인 영수기 덮어쓰기를 도입하여 삭제 블록을 unlink할 때 즉시 0으로 덮어쓰는 방식으로 즉각적인 안전한 삭제를 보장한다.
• Nexus One 스마트폰을 대상으로 메커니즘을 평가하여 플래시 마모와 배터리 소모에 미치는 영향을 측정한다.
• YAFFS의 플래시 번역 레이어(FTL) 동작 및 쓰레기 수거 패턴을 활용하여 블록 재활용 시점을 제어하거나 악용하는 메커니즘을 설계한다.
• 특히 동적 파artition 리사이징과 LEB 수준 제어를 통해 JFFS 및 UBI와 같은 다른 로그 구조 파일 시스템으로의 일반화 가능성을 평가한다.

실험 결과

연구 질문

• RQ1 왜 기존의 안전한 삭제 기법인 덮어쓰기와 암호화가 YAFFS와 같은 로그 구조 파일 시스템에서 실패하는가?
• RQ2 일반적인 사용 조건에서 YAFFS의 플래시 기반 스토리지에 삭제된 데이터는 얼마나 오랫동안 지속되는가?
• RQ3 정리와 팽창과 같은 사용자 수준의 메커니즘이 상당한 마모나 성능 저하 없이 안전한 삭제를 달성할 수 있는가?
• RQ4 영수기 덮어쓰기를 통해 커널 수준에서 즉각적인 안전한 삭제를 구현하기 위해 필요한 커널 수준의 변경 사항은 무엇이며, 그에 따른 상충 관계는 무엇인가?
• RQ5 팽창과 영수기 덮어쓰기와 같은 메커니즘은 UBI를 포함한 다른 로그 구조 파일 시스템으로 얼마나 일반화될 수 있는가?

주요 결과

• YAFFS에서 삭제된 데이터는 평균적인 스마트폰 사용 조건에서 최대 44시간 동안 지속되며, 삭제 후 기기 사용이 없으면 무한정 지속될 수 있다.
• 플래시 메모리의 한 번 쓰기 의미 체계로 인해 로그 구조 파일 시스템에서 파일 덮어쓰기와 암호화는 안전한 삭제를 보장하지 못한다. 새로운 버전은 새로운 블록에 쓰여지므로 원본 데이터는 그대로 유지된다.
• 정리는 30초 이내에 안전한 삭제를 보장하며, 플래시 메모리에 미미한 마모만 유발한다.
• 팽창은 쓰레기 수거를 가속화하여 데이터가 안전하게 지워지는 데 기대되는 시간을 줄이며, 삭제 속도와 마모 사이의 조절 가능한 트레이드오프를 제공한다.
• 영수기 덮어쓰기는 추가 마모 없이 커널 수준에서 즉각적인 안전한 삭제를 보장하지만, 커널 수정이 필요하며 모든 플래시 메모리 유형과 호환되지 않는다.
• 제안된 메커니즘은 배터리 수명이나 플래시 메모리 수명에 상당한 영향을 주지 않아, 모바일 기기에서 실질적인 구현에 적합하다.