Destruir ou apagar arquivos: o que Gutmann, DoD e NIST significam hoje

O que permanece depois da exclusão comum

No NTFS, excluir um arquivo normalmente remove suas referências do diretório e do sistema de arquivos e libera os clusters para reutilização; isso não é o mesmo que sobrescrever o arquivo. Os dados podem continuar legíveis até serem reutilizados, mas a recuperação não é garantida. Também pode haver cópias em backups, snapshots, caches de aplicativos e outros locais. Em armazenamento compatível, o Windows pode enviar notificações TRIM/UNMAP para clusters liberados; são avisos ao dispositivo, não uma promessa de apagamento seguro temporizado ou verificado.

• Microsoft Learn: notificações de exclusão do Windows (TRIM/UNMAP)

DoD, Gutmann e NIST: o que esses nomes significam hoje

Um triturador tenta sobrescrever os dados de um arquivo antes de liberar o espaço, mas pode não remover cópias em snapshots, backups, logs ou áreas realocadas. DoD 5220.22-M é um rótulo histórico ainda usado por muitas ferramentas: segundo o NIST, o Departamento de Defesa dos EUA retirou as especificações de sobrescrita do manual NISPOM em 2006. Portanto, um perfil do programa não comprova uma certificação governamental vigente. A sequência de 35 passadas de Gutmann foi publicada em 1996 para diferentes esquemas históricos de codificação; no epílogo, o próprio autor explica que a sequência completa não faz sentido para uma unidade moderna que usa um único esquema. O NIST SP 800-88 Rev. 2 (2025) esclarece que o método Clear não exige múltiplas sobrescritas — normalmente, uma passada na área endereçável pelo usuário pode bastar. Ainda assim, o método precisa ser adequado à mídia: uma gravação comum não alcança com confiabilidade todas as células flash de um SSD com áreas de reserva e nivelamento de desgaste.

• DoD 5220.22-M — rótulo histórico; confira o que a ferramenta realmente faz, sem tratar a predefinição como certificação atual
• Gutmann, 35 passadas — sequência de 1996 para esquemas históricos; o próprio autor diz que o ciclo completo é desnecessário em discos modernos
• NIST SP 800-88 Rev. 2 — estrutura para sanitização de mídias: Clear costuma usar uma passada; maior garantia pode exigir Purge ou Destroy
• Destruição de arquivos em HDD — pode sobrescrever dados lógicos selecionados, mas deixar cópias e não sanitiza o dispositivo inteiro
• SSD e memória flash — nivelamento de desgaste e células de reserva impedem alcançar com confiabilidade todas as cópias físicas; TRIM sozinho não verifica a sanitização
• cipher /w:<pasta> — o Windows sobrescreve o espaço não utilizado disponível em todo o volume, não apenas um arquivo; não sanitiza o dispositivo inteiro

• NIST SP 800-88 Rev. 2: diretrizes para sanitização de mídias
• Peter Gutmann: artigo e epílogo sobre o método de 35 passadas

Escolha o método conforme o arquivo, a unidade e o risco

Para um arquivo sensível em um HDD em uso, uma ferramenta confiável de sobrescrita pode dificultar a recuperação no local lógico do arquivo, mas não remove todas as cópias em outros lugares. Antes de o computador sair do seu controle, sanitize o dispositivo de armazenamento inteiro com um método adequado à mídia e ao risco; use um procedimento compatível indicado pelo fabricante ou pelo sistema operacional e verifique o resultado. Em SSDs, não confie apenas na destruição de arquivos nem no TRIM: procure um procedimento compatível de sanitização do dispositivo, apagamento seguro ou redefinição. O apagamento criptográfico só é válido sob requisitos rigorosos — por exemplo, os dados precisam estar criptografados desde o início e o gerenciamento das chaves deve ser confiável. Faça backup do que precisa, saia das contas e confirme que o dispositivo está pronto para ser transferido.

• NIST SP 800-88 Rev. 2: sanitização adequada à mídia e ao nível de garantia
• Microsoft Learn: cipher /w sobrescreve espaço não utilizado do volume

Perguntas e respostas

Continue lendo