OS X: Vaciado manual de la papelera seguro o rápido

De estos temas ya hemos hablado por aquí, pero queríamos hacer un pequeño artículo para daros algún tip que os pueda venir bien a la hora de borrar los archivos en vuestro sistema Mac OS X de forma segura o de forma rápida independientemente de la configuración que tengáis en el sistema, pudiendo aplicar el vaciado manual de la papelera. Esto puede cambiar en cada ocasión, ya que para borrar un documento te puede interesar utilizar el borrado seguro, pero para borrar un archivo de gran tamaño sin valor confidencial alguno - como una película -, lo que te puede interesar es utilizar el borrado rápido.

Configuración por defecto en Mac OS X: Borrado rápido

Como ya hemos visto, cuando se instala un equipo Mac OS X, este viene con el borrado rápido de ficheros, es decir, se mueve el documento a la carpeta que utiliza la papelera de reciclaje. Esto puede dar situaciones curiosas, como la del luser que vive en la papelera de reciclaje del root. Si se vacía la papelera con el borrado por defecto, entonces se borran las entradas de los ficheros de la estructura de directorios de la papelera y listo. 

Figura 1: Por defecto, en las preferencias de Finder el vaciado no es seguro

En este entorno, si se desea hacer el borrado de un archivo de forma segura, se puede hacer utilizando la consola de comandos, y tirando de la orden srm (Secure rm), que hará un borrado seguro del fichero en cuestión. Más lento, pero más seguro.

Figura 2: Borrado seguro de un fichero con el comando srm

Si ya tienes todos los archivos en la papelera, puedes proceder a hacer el vaciado manual de la papelera accediendo al menú de la papelera con la tecla Cmd pulsada, y en el menú contextual saldrá la opción de vaciado de forma segura.

Configuración de borrado seguro de papelera en OS X

Por otro lado, si has seleccionado la opción de que siempre se haga un borrado seguro de la papelera, y has metido archivos de gran tamaño, el proceso de vaciar la papelera puede ser lento y tedioso, haciendo que no se recupere el espacio que tú necesitas libre de forma rápida. Además, al ser el borrado seguro por defecto, tanto si eliges la opción de vaciado de papelera segura como si no, siempre se hará un borrado seguro, por lo que el tiempo consumido será alto.

Figura 3: El vaciado de la papelera puede tardar mucho con archivos grandes

Para solucionarlo, al igual que en el caso anterior podías utilizar un comando de borrado seguro, aquí podrías hacer un vaciado manual de la papelera de forma rápida con un comando de borrado inseguro. Esto es tan sencillo como ir a la carpeta .Trhashes del volumen donde hayas borrado los documentos y eliminar el contenido de la misma con el comando rm desde el interfaz de comandos.

Figura 4: borrado rápido manual de la papelera de reciclaje

Los ficheros quedan borrados de forma rápida enseguida pero podrán ser recuperados con  alguna herramienta de recuperación de ficheros para Mac OS X por lo que solo debe usarse con archivos no importantes.

Con cualquiera de estas dos combinaciones podrás elegir alternativamente el tener un borrado seguro por defecto y uno rápido por comandos o tener un borrado rápido por defecto y un borrado seguro por comandos. Además, recuerda que puedes elegir la opción de borrado seguro cuando vayas a formatear un volumen usando diskutil, y que si tienes los archivos dentro de un contenedor TrueCrypt, un borrado rápido debería ser suficiente.

Privacidad en Apple Safari: La Caché y las Cookies

Una de las opciones que dimos cuando hablamos de El Historial de Navegación en Apple Safari, es hacer uso de la opción de Borrar el Historial. La pregunta es... ¿se puede saber qué sitios han sido navegados si se ha hecho uso de ella? Pues sí, analizando la caché del navegador.

En Apple Safari, si se ha seleccionado la opción de Navegación Privada, todos los archivos descargados en la caché del navegador serán eliminados al cerrar la sesión. Sin embargo, si no se ha seleccionado esta opción y se decide hacer uso del borrado manual del Historial de Navegación, o si el navegador ha tenido un problema que le ha hecho cerrarse de manera inesperada - o si el navegador aún está abierto - es posible recuperar el Historial de Navegación desde la Caché y las Cookies.

Figura 1: Opciones de Caché en Apple Safari. Se accede con el botón Detalles

Los objetos de la caché pueden ser consultados desde las Preferencias de Apple Safari, desde donde es posible acceder a la lista de todos los elementos cacheados en un momento determinado. Desde allí, es posible vaciar la caché manualmente, lo que borrará todos los objetos almacenados hasta ese momento.

Figura 2: Datos de caché guardados y opción de Eliminar

Sin embargo, si la caché no ha sido eliminada, ésta permanece en el fichero /Users/usuario/Lybary/Caches/com.apple.Safari/cache.db, con toda la información relativa a los archivos descargados.

Figura 3: El fichero de almacenamiento de caché

Esto permite que, con la ayuda de alguna aplicación que analice la caché, como el caso de Safari Cache Explorer, sea posible obtener fechas y URLs de navegación como si fuera el Historial de Navegación completo.

Figura 4: Recuperando el historial de navegación con Safari Caché Explorer

Es por eso que desde Seguridad Apple os recomendamos que activéis siempre que sea posible la Navegación Privada, que además evita otro tipo de ataques que iremos contando más adelante. Si no, cuando borres el Historial de Navegación, acuérdate también de Borrar la Caché.

========================================================================
- Privacidad en Apple Safari: El Historial de Navegación
- Privacidad en Apple Safari: Las Descargas
- Privacidad en Apple Safari: La Caché y las Cookies
========================================================================

Privacidad en Apple Safari: Las Descargas

En el artículo de ayer sobre el Historial de Navegación en Apple Safari terminábamos preguntándonos si realmente el método de Navegación Privada en Apple Safari permite que nadie sepa que se ha navegado por un sitio. Hoy queremos ver un apartado que permite a un analista forense conocer precisamente eso, que se ha navegado por un determinado sitio en una determinada fecha: Las descargas de ficheros.

El historial de descargas

Tanto si se está trabajando en modo de Navegación Privada como si no, Apple Safari guarda un historial de todas las descargas al que se puede acceder mediante el menú Visualización y la selección de la opción Mostrar Descargas.

Figura 1: Acceso a Mostrar Descargas

Esta opción mostrará un panel lateral en el que se muestra la información de todas las descargas que se han realizado, y que se encuentran almacenadas en el fichero /Users/usuario/Libary/Safari/Downloads.plist.

Figura 2: Fichero /User/usuario/Safari/Downloads.plist 

Este fichero se seguirá generando incluso si se está trabajando en modo de Navegación Privada, y en él, como se puede ver en la imagen siguiente, está disponible la URL de descarga y la fecha y hora en la que se produce.

Figura 3: Fecha y URL de descarga

Borrado de historial de descargas

Para evitar este registro, una vez que se haya terminado la descarga, se puede hacer uso del botón Borrar desde la ventana de descargas, y se conseguirá que el fichero Downloads.plist quede vacío.

Figura 4: Ventana de descargas con botón de Borrar

La pregunta es.... ¿es suficiente para evitar que un analista forense sepa que se ha navegado por un sitio en un determinado momento?.  Pues la respuesta ya os la dimos hace tiempo.

El historial de navegación generado a partir de los ficheros descargados

Como ya os contamos, en Mac OS X, Apple añade un atributo extendido a todos los ficheros que son descargados de Internet en el que se indica qué programa lo descargó y cuál fue la URL de la descarga. Es por eso que un analista forense podría, mirando los resultados de xattr y la fecha de creación del fichero, descubrir parcialmente el historial de navegación.

Figura 5: URL de descarga y fecha de creación del fichero

Como ya os contamos, es posible borrar estos atributos extendidos con un comando xattr sobre todos los ficheros del perfil de usuario: xattr -v -r -d kMDItemWhereFroms *

Tal vez os estéis preguntado ahora si es posible entonces conocer el historial de navegación de un usuario si este no se descarga ningún archivo. Pues lo veremos en un próximo artículo.

========================================================================
- Privacidad en Apple Safari: El Historial de Navegación
- Privacidad en Apple Safari: Las Descargas
- Privacidad en Apple Safari: La Caché y las Cookies
========================================================================

Mac OS X: Borrar de forma segura los ficheros sí o sí

Los archivos eliminados del sistema de ficheros en Mac OS X pasan a la papelera, donde quedan almacenados de manera temporal hasta que son eliminados por el usuario de la papelera. Por defecto, el borrado de ficheros de la papelera, que se realiza haciendo botón secundario desde el icono de la papelera en el Dock o desde las opciones de Vaciar Papelera en Finder no es seguro.

Figura 1: Opción de vaciar la papelera por defecto

Lo único que va a realizar el sistema es eliminar la entrada del fichero de la carpeta de la papelera, pero todos los datos permanecerán en el disco duro inalterados y cualquier recuperador de ficheros que se precie podría recuperarlos. Para evitar esto, se puede utilizar la opción de borrado de la papelera de forma segura. Basta con ir a las Preferencias de Finder y marcar la opción de Vaciar papelera de forma segura. Con esta opción, el borrado de la entrada del archivo en la carpeta será seguido de una sobreescritura de los datos del fichero con todo a ceros.

Figura 2: Activar el vaciado seguro de la papelera de reciclaje

Así, a partir de ese momento, la opción de borrado de datos será solo de forma segura.

Figura 3: Vaciar la papelera de forma segura

Sin embargo, para los más paranoicos, y pensando en un método Anti-Forense, en la Utilidad de Discos se puede encontrar una opción para "rematar", es decir, para borrar definitivamente todo lo que se haya podido quedar sin eliminar en el espacio que actualmente no está siendo utilizado. Para ello, dentro de la utilidad de discos se debe seleccionar un volumen y en él la opción de Borrar Espacio Libre y se mostrarán tres opciones.

La primera de ellas es la de sobre-escribir todo el espacio a valores cero, es decir, utilizar el mismo sistema de vaciado de papelera de forma segura, pero con todo lo que no esté en uso actualmente. Solo por seguridad.

La segunda de las opciones es un borrado en tres fases descrito por el Department of Defence de los Estados unidos en el documento DoD 5220.22-M. Este método propone hacer primero una sobreescritura con solo ceros, una segunda fase con solo unos y una tercera con valores aleatorios. 

De este algoritmo hay una modificación, recogida en el documento DoD 5220.22-M (E) que propone hacer la primera y la segunda pasada no con ceros y unos, sino con unos valores al azar y sus complementarios, permitiendo así que sea un poco más difícil poder extraer alguna información de lo que había antes.

Figura 4: Opciones de borrado de espacio libre. Borrado en 7 fases.

Para muchos, este mecanismo es más que suficiente, pero aún se puede seleccionar un borrado de espacio libre de 7 pasadas, siguiente el documento del DoD 5220.22-M(ECE). En cada pasada se van a poner unos valores distintos, tal y como se puede ver en la siguiente captura.

Figura 5: Fases del borrado en 7 pasos

Sin embargo, aunque esta sea la opción más segura que se puede seleccionar desde el interfaz gráfico, si se arranca la herramienta diskutil desde el modo comandos, aún se puede borrar el espacio libre con un algoritmo mucho más paranoico de 35 pasadas, creado por Peter Gutmann, y del que puedes encontrar más información de cada una de las pasadas aquí: Peter Gutmann 35-pass method.

Figura 6: Diskutil desde consola. Opción del algoritm de Gutmann

Además, también es posible seleccionar un algoritmo de una pasada con sobreescritura de valores aleatorios. Algo rápido y funcional. En definitiva, que si quieres borrar algo de forma segura del disco duro de tu Mac OS X, tienes las herramientas necesarias.

Los datos de este iPhone/iPad se autodestruirán en 10,9...

Imagen 1: Solicitud del código de desbloqueo

Una de las características que incorpora el iOS instalado en dispositivos iPhone e iPad  es la posibilidad de activar una medida de seguridad que consiste en proteger el acceso al dispositivo mediante un código de acceso de 4 dígitos, tal y como se ve en la siguiente captura de pantalla de la derecha.

Adicionalmente a ésta, existe otra característica que dota de una mayor seguridad a este sistema de protección, la cual, al ser activada borrará todos los datos de los dispositivos iPhone e iPad al detectar 10 intentos fallidos introduciendo dicho código de acceso.

Por supuesto, al solo existir 10.000 posibilidades de números, alguien podría dedicar tiempo a probar todas las características y en un tiempo, más o menos razonable, obtener acceso al contenido del terminal.

¿Y si alguien prueba 10.000 veces?

Apple ha incorporado una opción para borrar todos los datos almacenados en el terminal cuando se detecte un intento de vulneración del código de acceso.

Imagen 2: Configuración de borrado de datos
tras 10 intentos fallidos

Con esta característica, ideada para evitar los ataques de fuerza bruta o del bruto que intenta conseguir acceso, también se evita que alguien acceda al equipo para realizar un análisis forense en dispositivos iPhone y acceda a información no deseada.

La ruta de configuración de esta característica se sitúa en ‘Ajustes / General / Bloqueo con código / Borrar datos’.

Hay que tener cuidado con este aporte porque puede ser tratado como un arma de doble filo ya que, si un compañero trata de averiguar tu código durante 10 intentos para realizarte un ataque David Hasselhoff puedes perder los datos. 

Que esto ocurra esto, es decir, que alguien te borre los datos haciendo intentos manualmente cuando te hayas descuidado, es difícil, ya que a partir del 6º intento el dispositivo de bloquea 1 minuto, en el 7º intento 5 minutos, y en el 8º 15 minutos. No obstante, por si acaso, ten planificado un sistema de backup de datos de tu iPhone o iPad y no lo dejes "por ahí".

Borrado seguro de archivos en Mac OS X

Seguramente sabréis, o alguna vez habréis oído hablar, que cuando se elimina un fichero de nuestro sistema, éste puede ser recuperado incluso una vez borrado de la papelera de reciclaje. ¿Cómo es esto posible?.

Pues es debido a que cuando se realiza el borrado de un archivo, en realidad no se borra el contenido del mismo, sino que sólo se elimina el puntero que apunta al contenido del archivo. Por lo tanto, una vez borrado el puntero, el contenido de éste permanecerá aún en disco hasta que ese espacio de memoria sea sobrescrito por otro fichero.

Vaciado seguro de la papelera de reciclaje

Los sistemas operativos Mac OS X traen incorporada la característica de borrado seguro, que consiste en sobreescribir varias veces el fichero a suprimir antes de proceder a su eliminación. Sin embargo, esta característica no se encuentra activada por defecto. Para habilitarla es necesario acceder a ‘Preferences / Advances’ del ‘Finder’, y marcar la opción de ‘Empty Trash securely’.

De este modo, cuando se realice un vaciado de la papelera de reciclaje, estos ficheros serán borrados de manera segura, o dicho con otras palabras, serán irrecuperables mediante el uso de software de ‘Data Carving’. Por supuesto se notará un menor rendimiento, y mayor tiempo de eliminación, durante el vaciado de la papelera, ya que cada archivo será sobrescrito varias veces antes de ser suprimido definitivamente.

Eliminado seguro desde el interfaz de comandos

Para los usuarios que prefieren el uso del terminal para la eliminación de archivos, también existe la posibilidad de borrado de ficheros de manera segura sin necesidad de enviarlo previamente a la papelera de reciclaje. El comando que permite realizar este borrado seguro es ‘srm’.

Sin duda se trata de un comando muy útil que nunca hay que olvidar cuando se desee borrar determinado tipo de información que no se quierea que pueda ser recuperada nunca.

Durante los próximos días escribiremos un artículo sobre cómo realizar un proceso de ‘Data Carving’ y recuperar ficheros que han sido borrados de manera no segura.