[论文解读] Secure Deletion on Log-structured File Systems

Joel Reardon, Claudio Marforio+2 more|arXiv (Cornell University)|Jun 5, 2011

Advanced Data Storage Technologies参考文献 14被引用 12

一句话总结

本文提出了三种机制——清除（purging）、膨胀（ballooning）和零值覆盖（zero overwriting）——用于在类似 Android 智能手机中使用的日志结构文件系统 YAFFS 上实现安全删除。研究表明，由于闪存的写入一次特性，标准删除、覆盖写入和加密方法无法可靠擦除数据，而本文提出的解决方案可确保立即或保证的安全删除，且不会造成过度磨损或电池耗竭。

ABSTRACT

We address the problem of secure data deletion on log-structured file systems. We focus on the YAFFS file system, widely used on Android smartphones. We show that these systems provide no temporal guarantees on data deletion and that deleted data still persists for nearly 44 hours with average phone use and indefinitely if the phone is not used after the deletion. Furthermore, we show that file overwriting and encryption, methods commonly used for secure deletion on block-structured file systems, do not ensure data deletion in log-structured file systems. We propose three mechanisms for secure deletion on log-structured file systems. Purging is a user-level mechanism that guarantees secure deletion at the cost of negligible device wear. Ballooning is a user-level mechanism that runs continuously and gives probabilistic improvements to secure deletion. Zero overwriting is a kernel-level mechanism that guarantees immediate secure deletion without device wear. We implement these mechanisms on Nexus One smartphones and show that they succeed in secure deletion and neither prohibitively reduce the longevity of the flash memory nor noticeably reduce the device's battery lifetime. These techniques provide mobile phone users more confidence that data they delete from their phones are indeed deleted.

研究动机与目标

• 解决日志结构文件系统（如 YAFFS）中安全数据删除缺乏时间保证的问题。
• 指出标准方法（文件覆盖写入和加密）因闪存的写入一次语义而无法确保数据删除。
• 设计用户级和内核级机制，实现可靠且安全的删除，同时不损害闪存寿命或电池续航。
• 证明在普通手机使用条件下，删除的数据平均可保留长达 44 小时，凸显安全删除方案的紧迫性。
• 使用户能够安全删除单个文件，而无需执行恢复出厂设置，从而保护数据完整性和隐私。

提出的方法

• 在用户级实现清除机制，通过单次操作主动覆盖所有先前标记为删除的数据。
• 设计膨胀机制，作为持续的用户级进程，通过填满可用空间来加速垃圾回收，从而减少数据持久时间。
• 引入零值覆盖机制，作为内核级修改，通过在 unlink 操作时立即将零写入已删除块，实现立即安全删除。
• 在 Nexus One 智能手机上评估这些机制，以测量其对闪存磨损和电池消耗的影响。
• 利用 YAFFS 中的闪存转换层（FTL）行为和垃圾回收模式，设计能利用或控制块回收时机的机制。
• 评估这些机制在其他日志结构文件系统（如 JFFS 和 UBI）中的可扩展性，特别是通过动态分区调整大小和 LEB 级控制。

实验结果

研究问题

• RQ1 为何传统安全删除技术（如覆盖写入和加密）在日志结构文件系统（如 YAFFS）上会失效？
• RQ2 在 YAFFS 中，普通使用条件下，删除的数据在基于闪存的存储中可持久保留多久？
• RQ3 用户级机制（如清除和膨胀）能否在不造成显著磨损或性能下降的情况下实现安全删除？
• RQ4 通过零值覆盖实现立即安全删除所需的内核级修改是什么？其权衡如何？
• RQ5 膨胀和零值覆盖等机制在多大程度上可推广至其他日志结构文件系统（包括 UBI）？

主要发现

• 在普通手机使用条件下，YAFFS 中删除的数据可持久保留长达 44 小时，若设备在删除后未使用，则可能永久留存。
• 在日志结构文件系统中，文件覆盖写入和加密无法确保安全删除，因为新版本会被写入新块，原始数据保持不变。
• 清除机制可在 30 秒内保证安全删除，且对闪存磨损可忽略不计。
• 膨胀机制通过加速垃圾回收，减少了数据被安全擦除的预期时间，提供了删除速度与磨损之间的可调和权衡。
• 零值覆盖在内核级别确保了立即安全删除，且无额外磨损，但需要内核修改，且不适用于所有类型的闪存。
• 所提出的机制对电池寿命和闪存寿命无显著影响，使其在移动设备上实际部署具有可行性。