4.   Das DBAN F2-Menü mit einer DBAN-Einführung

Darik's Boot and Nuke: About
============================

Darik's Boot and Nuke ("DBAN") is a self-contained boot floppy that securely
wipes the hard disks of most Computers. DBAN will automatically and completely
delete the contents of any hard disk that it can detect, which makes it an
appropriate utility for bulk or emergency data destruction.

This Software wipes IDE and SCSI hard disk only. It does not recognize USB
devices, IEEE 1394 (Firewire) devices, or any kind of removable media. All
storage devices that this Software detects will be wiped. A 32-bit x86 class
CPU with 8 megabytes of memory is required for proper Operation.

All DBAN components are subject to Copyright. Please see the 'licenses'
folder within the DBAN distribution package for additional information.

Additional documentation will be available at http://dban.sorceforge.net/.

Remove the boot media to abort or press the ENTER key to continue.

boot:  __

5.   Das DBAN F3-Menü mit der Liste der Bootprompt-Befehle

Darik's Boot and Nuke: Quick Commands
=====================================

You may enter these commands at the boot prompt. In each case, all disks in
the Computer will be wiped automatically without confirmation.

 dod     Wipe all disks with the DoD 5220-22.M method.
 ops2    Wipe all disks with the RCMP TSSIT OPS-II method.
 gutmann Wipe all disks with the Gutmann method.
 prng    Wipe all disks with the PRNG Stream method.
 quick   Wipe all disks with the Quick Erase method.

Edit the syslinux.cfg file on the floppy disk to change the default
behavior of DBAN.

Remove the boot media to abort or press the ENTER key to continue.

boot: _

LABEL  dod
KERNEL kernel.bzi
APPEND initrd=initrd.gz root=/dev/ram0 init=/rc nuke="dwipe --autonuke --method dod522022m" silent

6.   Das DBAN F4-Menü mit den Hinweisen zur Fehlerbehebung

Darik's Boot and Nuke: Troubleshooting Commands:
================================================

Try these boot commands if you have problems.

   noflopy  Start without loading the floppy driver
   verbose  Print kernel messages

If DBAN runs with low throughput, then it may not have a good driver for
your hardware, or DMA faults may be causing a fallback to PIO mode. Check
the disk cabling and log file.

If DBAN does not detect any harddrivers in a new computer, than it does
not have an appropriate driver for that Computer. Drivers are added to
DBAN as they published for Linux.

Using DBAN on hardware RAID devices is unsupported.

Remove the boot media to abort or press the ENTER key to continue.

boot: _

Sehr informativ ist aber auch die DBAN-FAQ ("http://dban.sourceforge.net/faq/index.html).

7.   Überblick über die DBAN Löschmethoden

Im rechten Teil der Anzeige bekommt man zum einen gesagt, wie man diese Methode im DBAN-Konfigurations-File syslinux.cfg voreinstellen kann. Zum anderen wird eine Sicherheits-Wertung gegeben.
Darunter wird die Löschmethode genauer bezeichnet.

Mit den Cursor-Tasten bzw. mit "J" oder "K" kann man eine andere Löschmethode auswählen und mit der Leertaste bestätigen. Dann wird dieses Auswahl-Menü wieder beendet.

Im folgenden sind die Angaben zu den einzelnen Lösch-Methoden aufgeführt:

Angaben zur Quick Erase-Löschmethode:

 ______________________ Wipe Methode _______________________________________
| -> Quick Erase        syslinux.cfg: nuke="dwipe -- methode zero"           |
|    RCMP TSSIT OPS-II  Security Level: Very Low (1 passes)                  |
|    DoD Short                                                               |
|    DoD 5220-22.M                                                           |
|    Gutmann Wipe                                                            |
|    PRNG Stream                                                             |
|                                                                            |
| This methode fills the device with zeros. Note that the rounds Option does |
| not apply to this method. This method always runs one round.               |
|                                                                            |
| Use this method to blank disks before internal redeployment, or before     |
| reinstalling Microsoft Windows to remove the data areas that the format    |
| utility preserves.
 ____________________________________________________________________________

Angaben zur RCMP TSSIT OPS-II-Löschmethode:

 ______________________ Wipe Methode _______________________________________
|    Quick Erase        syslinux.cfg: nuke="dwipe -- methode ops2"           |
| -> RCMP TSSIT OPS-II  Security Level: Low (8 passes)                       |
|    DoD Short                                                               |
|    DoD 5220-22.M                                                           |
|    Gutmann Wipe                                                            |
|    PRNG Stream                                                             |
|                                                                            |
| The Royal Canadian Mounted Police Technical Security Standard for          |
| Information Technology, Appendix OPS-II: Media Sanitization.               |
|                                                                            |
| This implementation, with regards to paragraph 2 section A of the standard,|
| uses a pattern that is one random byte and that is changed each round.     |
 ____________________________________________________________________________

Angaben zur voreingestellten DoD Short-Löschmethode:

 _________________________Wipe Methode _____________________________________
|   Quick Erase       syslinux.cfg: nuke="dwipe --method dodshort"          |
|   RCMP TSSIT OPS-II Security Level: Medium (3 passes)                     |
|-> DoD 5220-short                                                          |
|   DoD 5220-22.M                                                           |
|   Gutmann Wipe                                                            |
|   PRNG Stream                                                             |
|                                                                           |
| The American Department of Defense 5520-22.M short wipe.                  |
| The methode is composed of passes 1,2,7 from the standard wipe.           |
|                                                                           |
 ___________________________________________________________________________
 

Angaben zur DoD 5222-22.M-Löschmethode (s. [6]):

 _________________________Wipe Methode _____________________________________
|   Quick Erase       syslinux.cfg: nuke="dwipe --method dod522022m"        |
|   RCMP TSSIT OPS-II Security Level: Medium (7 passes)                     |
|   DoD Short                                                               |
|-> DoD 5220-22.M                                                           |
|   Gutmann Wipe                                                            |
|   PRNG Stream                                                             |
|                                                                           |
| The American Department of Defense 5520-22.M standard wipe.               |
| This implementation uses the same algorithm as the Heidi Eraser product.  |
|                                                                           |
 ___________________________________________________________________________

Angaben zur Gutmann-Löschmethode (s. [5]):

 ______________________ Wipe Methode _______________________________________
|    Quick Erase        syslinux.cfg: nuke="dwipe -- methode gutmann"        |
|    RCMP TSSIT OPS-II  Security Level: High   (35  passes)                  |
|    DoD Short                                                               |
|    DoD 5220-22.M                                                           |
| -> Gutmann Wipe                                                            |
|    PRNG Stream                                                             |
|                                                                            |
| This is the methode described by Peter Gutmann in the paper entitled       |
| "Secure Deletion of data from Magnetic and Solid-State Memory".            |
 ____________________________________________________________________________

 ______________________ Wipe Methode __________________________________________
|    Quick Erase        syslinux.cfg: nuke="dwipe -- methode random"           |
|    RCMP TSSIT OPS-II  Security Level: Depends  on Rounds                     |
|    DoD Short                                                               |
|    DoD 5220-22.M                                                             |
|    Gutmann Wipe                                                              |
| -> PRNG Stream                                                               |
|                                                                              |
| This methode fills the device with a stream from PRNG. It is probably the    |
| best method to use on modern hard disk drives because enconding schemes vary.|
|                                                                              |
| This method has a medium security level with 4 rounds, and a high security   |
| level with 8 rounds.                                                         |
 ______________________________________________________________________________

8.   Hinweise auf andere Platten-Löschprogramme

8.1   Löschen mit dem Eraser-Programm

Man kann damit aber nicht die Windows-Partition löschen, also üblicherweise die C-Partition, weil Windows das Formatieren seiner eigenen Partition nicht erlaubt. Dazu benötigt man eine CD, von der man ein Windows bootet. Im FZJ stellt das ZAM für die Viren-Entfernung eine ZAM-Notfall-CD bereit (s. \\PCSRV\public\JuNetSecCD\Notfall-CD\DATUM-zam-notfallcd.iso ), die mit Hilfe der BartPE monatlich erstellt wird. Die Zeitschrift c't hat im Heft 8, 2005 ebenfalls eine solche Notfall-CD bereitgestellt. Wenn Sie von einer solchen Notfall-CD booten, ist Ihre Windows-System-Partition (C:) nicht aktiv. Dadurch können Sie diese von der Notfall-CD formatieren. Die ZAM-Notfall-CD verwendet den A43-Explorer. Damit können Sie die Partition anklicken und über dessen Rechte-Maus-Kontext-Menü das Formatieren starten. Unter X:\ERASER\CMD\   finden Sie auf der ZAM-Notfall-CD die Kommando-Version des Eraser-Programms (z.Z. in der älteren Version 5.7) und BAT-Files, deren Namen besagen, in welcher Partition die unbenutzten Sektoren überschrieben werden sollen. Anschaulich wird das in Kap. 10 der Eraser-Benutzeranleitung gezeigt (URL s. [4]).

8.2   Das VS-Clean-Plattenlöschprogramm des BSI

• Das kann aber immer nur ganze Festplatten löschen, aber nicht gezielt nur einzelne Partitionen.
• Die Angabe der zu löschenden Platte ist undurchsichtig.
  Mein PC hat zwei Platten. Beim Löschen muß man dann angeben, ob man die 1. oder die 2. Platte löschen will. Da ich aber nicht weiß, wie das Programm meine Platten zählt, habe ich vorsorglich vorher die Platte, die ich nicht gelöscht haben wollte, entfernt (Stecker gezogen).
• Das Löschen verwendet direkt den BIOS-13h Interrupt.
• Es löscht in 7 Durchläufen mit folgenden Löschmustern:
  • x'FF' (alles Einsen)
  • x'00' (alles Nullen inklusiv der logischen Sektor-Nummern)
  • x'FF' (alles Einsen inklusiv der invertierten Sektor-Nummern)
  • x'00'
  • x'FF'
  • x'00'
  • x'AA' also 1010 1010
• Da die Löschung direkt per BIOS-Ausrufe durchgeführt wird, ist es wichtig, daß dieses auch bei größeren Platten immer die ganze Platte ansprechen kann ("sieht"). Ansonsten würde ja alles hinter der Grenze, die ein veraltetes BIOS erkennt, nicht gelöscht. Diese Problematik wird in der VS-Clean-Bedienungsanleitung sehr ausführlich besprochen.
• Mit Hilfe des VS-Clean-Programms soll man sich Sektoren anzeigen lassen können.

8.3   Das CBL-Schredder-Programm

• Es enthält die wichtigsten Lösch-Methoden.
• Ausführliche Dokumentationen werden mitgeliefert.

• Es muß installiert werden.
• Damit kann man immer nur Platte als ganzes löschen, aber nicht nur eine einzelne Partitionen.
• Es verwendet das aktuelle Windows. Daraus folgt:
  • Man kann damit dessen Windows-System-Platte (C:) natürlich nicht löschen. Dazu soll es aber laut Dokumentation eine DOS-Version geben.
  • Wenn noch ein älteres BIOS verwendet wird, das von großen Platten nur den ersten Teil sieht, dann kann man mit diesem CBL-Schredder-Programm den zweiten Teil solch großer Platten nicht löschen.

9.  Entsorgung sensitiver Platten im Forschungszentrum Jülich

Festplatten mit sensitiven Daten kann man mechanisch zerstören, z.B. mit dem Bohrer. Bei defekten Festplatte ist das oft die einzige Methode.

10.  Externe Links

[2]   DBAN Produkt-Übersicht (Product Feature Checklist)
        (http://dban.sourceforge.net/features.html)
       DBAN FAQ (http://dban.sourceforge.net/faq/index.html)

[3]   Eraser Homepage ( http://www.heidi.ie/eraser/)
        Eraser-Download ( http://www.heidi.ie/eraser/download.php)

[4]   Nutzung des Eraser-Löschprogramms Vers. 57
        (http://WWW.FZ-Juelich.DE/zam/sicherheit/download/freeware.1/eraser/zam-doc/eraser57-zam.htm)

[5]  Peter Gutmann: Secure Deletion of Data from Magnetic and Solid-State Memory
        (http://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html)

Dort empfiehlt er folgende 27 festen Lösch-Muster:

 Pass	Lösch-Muster (binary,       hex)
   1	01010101 01010101 01010101, 0x55
   2	10101010 10101010 10101010, 0xAA
   3	10010010 01001001 00100100, 0x92 0x49 0x24
   4	01001001 00100100 10010010, 0x49 0x24 0x92
   5	00100100 10010010 01001001, 0x24 0x92 0x49
   6	00000000 00000000 00000000, 0x00
   7	00010001 00010001 00010001, 0x11
   8	00100010 00100010 00100010, 0x22
   9	00110011 00110011 00110011, 0x33
  10	01000100 01000100 01000100, 0x44
  11	01010101 01010101 01010101, 0x55
  12	01100110 01100110 01100110, 0x66
  13	01110111 01110111 01110111, 0x77
  14	10001000 10001000 10001000, 0x88
  15	10011001 10011001 10011001, 0x99
  16	10101010 10101010 10101010, 0xAA
  17	10111011 10111011 10111011, 0xBB
  18	11001100 11001100 11001100, 0xCC
  19	11011101 11011101 11011101, 0xDD
  20	11101110 11101110 11101110, 0xEE
  21	11111111 11111111 11111111, 0xFF
  22	10010010 01001001 00100100, 0x92 0x49 0x24
  23	01001001 00100100 10010010, 0x49 0x24 0x92
  24	00100100 10010010 01001001, 0x24 0x92 0x49
  25	01101101 10110110 11011011, 0x6D 0xB6 0xDB
  26	10110110 11011011 01101101, 0xB6 0xDB 0x6D
  27	11011011 01101101 10110110, 0xDB 0x6D 0xB6

Zusätzlich sollte man mit zufällig erzeugten Muster die zu löschenden Dateien überschreiben. Das Eraser-Programm beginnt z.B. mit 4 Lösch-Durchläufen mit Löschmustern, die mit dem ISAAC Pseudo-Zufallsgenerator erzeugt sind. Dann folgen die 27 Lösch-Durchläufe mit den oben angegebenen festen Mustern. Abschließend wird noch einmal der zu löschende Bereich 4 mal mit Zufalls-Mustern überschrieben, sodaß die Gutmann-Löschmethode insgesamt 35 mal die Daten überschreibt.
Diese Lösch-Methode ist aber ungeeignet, wenn die Dateien vor dem Schreiben auf die Platte komprimiert werden.

[6]   Die US DoD 5220-22.M-Lösch-Methoden:

Sie basiert auf dem im Jan. 1995 vom US-Verteidigungs-Ministerium (United States Department of Defense: US DoD) herausgegebenen “National Industrial Security Program Operating Manual”, NISPOM (chapter 8, section 3, 8-306. Maintenance).
Bei 7 Lösch-Durchläufen werden folgende Lösch-Muster verwendet:

  Pass	Matrix	Lösch-Muster
   1	 E [1]	Zufälliges Zeichen X
   2	 E [2]	Dessen bit-weise invertierte Darstellung
   3	 E [3]	Zufälliges Löschmuster
   4	 C     Zufälliges Zeichen Y
   5	 E [1]	Zufälliges Zeichen Z
   6	 E [2]	Dessen bit-weise invertierte Darstellung
   7	 E [3]	Zufälliges Löschmuster
                 mit X, Y, Z = [0,255]
                 Zufalls-Muster mit ISAAC
                 Pseudo-Zufallsgenerator erzeugt

Bei 3 Lösch-Durchläufen werden folgende Lösch-Muster verwendet:

  Pass	Matrix	Lösch-Muster (bin und hex)
   1	  E [1]	00000000,             0x00
   2	  E [2]	11111111,             0xFF
   3	  E [3]	Zufälliges Löschmuster, erzeugt mit ISAAC
                 Pseudo-Zufallsgenerator

Diese Lösch-Methode ist ebenfalls für komprimierende Datei-Systeme ungeeignet.