- GrapheneOS ผสานการเข้ารหัสดิสก์ การจำกัดการเดารหัสแบบ brute force การบรรเทาการโจมตีต่อระบบปฏิบัติการ และการป้องกันการเข้าถึงทางกายภาพ โดยอาศัย ฟีเจอร์ความปลอดภัยของ Android 17 และฮาร์ดแวร์ Pixel รุ่นล่าสุด
- secure element รุ่นใหม่จำกัดการป้อน PIN·รหัสผ่านไว้ที่ สูงสุด 20 ครั้ง และหน่วงเวลา 4 ชั่วโมงหลังพลาด 10 ครั้ง จนถึง 41 วันหลังพลาด 15 ครั้ง พร้อมป้องกันการเปลี่ยนเฟิร์มแวร์โดยไม่มีการยืนยันตัวตนของเจ้าของ จึงปิดทางเลี่ยงแม้จากคนภายใน
- รองรับรหัสผ่านยาวสูงสุด 128 ตัวอักษรและตัวเลือก ลายนิ้วมือ+PIN ชั้นที่สอง ทำให้ใช้วลีรหัสผ่านหลักเป็นคำ Diceware แบบสุ่ม 6~8 คำได้ พร้อมคงความสะดวกในการปลดล็อกประจำวัน
- ขณะอุปกรณ์ถูกล็อก การเชื่อมต่อ USB ใหม่จะถูกบล็อกทั้งฝั่งซอฟต์แวร์และฮาร์ดแวร์ และมี การรีบูตอัตโนมัติ 10 นาที~72 ชั่วโมง พร้อมล้างหน่วยความจำเพื่อให้อุปกรณ์กลับสู่สถานะ Before First Unlock
- PIN·รหัสผ่านภายใต้การบังคับขู่เข็ญ จะลบอุปกรณ์ไม่ว่าป้อนจากหน้าต่างยืนยันตัวตนของโปรไฟล์ใด แต่การปกป้องข้อมูลโดยรวมไม่ได้พึ่งฟีเจอร์นี้อย่างเดียว หากอิงกับระบบเข้ารหัส ความปลอดภัยฮาร์ดแวร์ และการบรรเทาการโจมตีโดยรวม
การเข้ารหัสและการจำกัดความพยายามยืนยันตัวตน
- การถอดรหัสดิสก์โดยตรงไม่ใช่เส้นทางที่ใช้ได้จริงแม้สำหรับผู้โจมตีที่เชี่ยวชาญที่สุด โดยผู้โจมตีต้องอาศัย ช่องโหว่ของระบบปฏิบัติการในสถานะ After First Unlock หรือเดา PIN·รหัสผ่านแบบ brute force
- การจำกัดความพยายามของ secure element ใน Android 16 QPR2 จะเพิ่มเวลาหน่วงเป็นขั้นตามจำนวนครั้งที่ล้มเหลว
- หากพลาด 10 ครั้งจะหน่วง 4 ชั่วโมง และหากพลาด 15 ครั้งจะหน่วงถึง 41 วัน โดยอนุญาตความพยายามรวมเพียง 20 ครั้ง
- จะปฏิเสธค่าที่ต่างกัน 5 ค่าล่าสุดที่ล้มเหลวตั้งแต่เนิ่น ๆ เพื่อไม่ให้เสียจำนวนครั้งจากการป้อนผิดซ้ำ
- GrapheneOS รองรับเฉพาะอุปกรณ์ที่ใช้การจำกัดความพยายามของ secure element รุ่นล่าสุดเท่านั้น
- การอัปเดตเฟิร์มแวร์ secure element บนอุปกรณ์ที่รองรับต้องมีทั้งคีย์ลายเซ็นที่ถูกต้อง หมายเลขเวอร์ชันที่สูงกว่า และ การยืนยันตัวตนของผู้ใช้ Owner
- แม้รัฐบาลจะบีบให้สร้างเฟิร์มแวร์ที่ลบการจำกัดความพยายาม ก็ไม่สามารถติดตั้งเพื่อเลี่ยงข้อจำกัดนี้ได้
- Pixel ใช้ secure element ที่มีตัวจับเวลาในตัวและ การป้องกันการโจมตีจากคนภายใน มาตั้งแต่ Pixel 2 ที่ออกปลายปี 2017 และหลังจากนั้นก็ปรับปรุงการผสานกับระบบปฏิบัติการต่อเนื่อง
- GrapheneOS เพิ่มเพดานความยาวรหัสผ่านจาก 16 เป็น 128 ตัวอักษร เพื่อให้ใช้วลีรหัสผ่าน Diceware ที่มีเอนโทรปีสูงโดยไม่ต้องพึ่งการจำกัดความพยายามของ secure element
- ตัวเลือก ลายนิ้วมือ+PIN ชั้นที่สอง รองรับทั้งรหัสผ่านหลักที่แข็งแรงและการปลดล็อกประจำวันที่สะดวก
- ในสถานะ Before First Unlock สามารถใช้รหัสผ่านหลักที่ประกอบด้วยคำ Diceware แบบสุ่ม 6~8 คำ และหลังจากนั้นจึงใช้ลายนิ้วมือร่วมกับ PIN สั้นได้
- แม้รู้จำลายนิ้วมือที่ถูกต้องแล้ว ก็ยังต้องป้อน PIN ชั้นที่สองเพื่อปลดล็อกหน้าจอและ hardware keystore
- จำนวนครั้งที่อนุญาตสำหรับลายนิ้วมือลดจาก 20 ครั้งเหลือ 5 ครั้ง และ PIN ชั้นที่สองที่ผิดก็นับรวมเป็นความล้มเหลวด้วย
การป้องกันระบบปฏิบัติการและการเข้าถึงทางกายภาพ
- GrapheneOS ทำให้การโจมตีระบบปฏิบัติการยากขึ้นด้วยความสามารถบนฮาร์ดแวร์ เช่น memory allocator แบบเสริมความแข็งแกร่งและ Memory Tagging Extension (MTE) โดยดูรายละเอียดได้ที่ ฟีเจอร์บรรเทาการโจมตี
- เพื่อป้องกันการโจมตีจากผู้ที่เข้าถึงอุปกรณ์ทางกายภาพ ขณะอุปกรณ์ถูกล็อก การเชื่อมต่อ USB ใหม่จะถูกบล็อกโดยค่าเริ่มต้นทั้งในระดับ ซอฟต์แวร์และฮาร์ดแวร์ และเมื่อการเชื่อมต่อ USB ที่ใช้งานอยู่หายไป ฟังก์ชันข้อมูลก็จะถูกปิดทันที
- ตัวจับเวลารีบูตอัตโนมัติของอุปกรณ์ที่ถูกล็อกซึ่งเริ่มใช้ในเดือนมิถุนายน 2021 สามารถตั้งได้เป็น 10 นาที~72 ชั่วโมง
- ค่าเริ่มต้นเดิมคือ 72 ชั่วโมง แต่ภายหลังลดลงเหลือ 18 ชั่วโมง
- ระบบจะปิดระบบปฏิบัติการแล้วบูตใหม่พร้อมล้างหน่วยความจำ เพื่อให้อุปกรณ์กลับสู่สถานะ Before First Unlock
- ในเดือนเมษายน 2024 มีการเพิ่มการล้างหน่วยความจำให้ครอบคลุมการบูตเข้าสู่โหมด fastboot ของเฟิร์มแวร์ Pixel ด้วย
- Apple และ Google ก็เพิ่มการรีบูตอัตโนมัติของอุปกรณ์ที่ถูกล็อกใน iOS 18.1 และ Android 16 เช่นกัน โดยบน Android สามารถเปิดใช้ผ่าน Advanced Protection Mode ได้
- Android ใช้คีย์เข้ารหัสแยกกันสำหรับผู้ใช้รองและแต่ละ Private Space
- บน GrapheneOS สามารถจบเซสชันผู้ใช้รองและใช้ท็อกเกิลแต่ละรายการเพื่อทำให้พื้นที่นั้นกลับสู่สถานะ Before First Unlock ได้โดยไม่ต้องรีบูต
- หากต้องการทำให้ข้อมูลของผู้ใช้หลักกลับสู่สภาวะพักนิ่งที่ถูกเข้ารหัสอีกครั้ง ล้างข้อมูลคงค้างใน RAM ให้หมด และปิดกั้นแม้แต่การอัปเดต secure element ก็ควรรีบูตทั้งเครื่องมากกว่า
การลบข้อมูลในสถานการณ์ถูกบังคับขู่เข็ญ
- PIN·รหัสผ่านภายใต้การบังคับขู่เข็ญจะลบอุปกรณ์เมื่อป้อนในหน้าต่างยืนยันตัวตนใด ๆ ของระบบปฏิบัติการที่ต้องใช้ PIN·รหัสผ่านของโปรไฟล์ปัจจุบัน
- ทำงานไม่เฉพาะหน้าจอล็อก แต่รวมถึงทุกหน้าต่างที่ต้องยืนยันตัวตน เช่น การเปลี่ยนการตั้งค่าที่มีความอ่อนไหว
- ใช้ได้กับทุกโปรไฟล์ รวมถึงผู้ใช้หลัก ผู้ใช้รอง และ Private Space
- ทำงานได้แม้ป้อนเป็น PIN ชั้นที่สองของการปลดล็อกด้วยลายนิ้วมือ แต่ ใช้ไม่ได้กับ SIM PIN
- สามารถจด PIN·รหัสผ่านภายใต้การบังคับขู่เข็ญไว้บนกระดาษในเคสโทรศัพท์หรือกระเป๋าสตางค์ได้ แต่การลบอุปกรณ์ในสถานการณ์ถูกบังคับจริงอาจก่อให้เกิดผลทางกายภาพและทางกฎหมาย จึงควรพิจารณาวิธีใช้อย่างรอบคอบ
- ฟีเจอร์ภายใต้การบังคับขู่เข็ญสามารถตัดความเป็นไปได้ในการกู้คืนข้อมูลได้อย่างสิ้นเชิงแม้ PIN·รหัสผ่านของทุกโปรไฟล์จะถูกเปิดเผย แต่ไม่ใช่มาตรการป้องกันที่จำเป็นเสมอไป โดยฟีเจอร์การปกป้องทั้งหมดดูได้ที่ รายการฟีเจอร์ของ GrapheneOS และ บันทึกการเปลี่ยนแปลงของรุ่น
- ปัจจุบันฟีเจอร์ความปลอดภัยของฮาร์ดแวร์และการอัปเดตที่ GrapheneOS ต้องการนั้นมี เฉพาะ Pixel เท่านั้น แต่คาดว่าจะเปลี่ยนไปตั้งแต่ปี 2027 ตามความร่วมมือกับ Motorola Mobility และความคืบหน้าในการพัฒนาของ Qualcomm
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
โพสต์นี้ดูเหมือนจะถูกเผยแพร่เพื่อตอบโต้กรณีที่ผู้ประท้วงถูกฟ้องหลังใช้ PIN บังคับล้างเครื่อง Pixel ระหว่างการตรวจค้นที่ชายแดนสหรัฐฯ โดยต้องการชี้ให้ชัดว่า การป้องกันการดึงข้อมูลของ GrapheneOS แข็งแกร่งแม้ไม่ใช้ PIN บังคับ
เมื่อเร็ว ๆ นี้ยังมีบทความของ Computer Weeklyที่ระบุว่า การรีบูตอัตโนมัติทุก 18 ชั่วโมง ของ GrapheneOS ช่วยปกป้องเอกสารข่าวและแหล่งข่าวลับของนักข่าว โดยทำให้อุปกรณ์กลับสู่สถานะก่อนปลดล็อกครั้งแรก (BFU) และป้องกันการดึงคีย์
GrapheneOS จำเป็นต้องมี ฟังก์ชันสำรองและกู้คืนเต็มรูปแบบ เพื่อให้สามารถล้างเครื่องโทรศัพท์เชิงป้องกันก่อนข้ามพรมแดนได้ คงดีถ้าสามารถสำรองและกู้คืนแอปและข้อมูลทั้งหมดไปยังเซิร์ฟเวอร์ SSH/SFTP ส่วนตัวได้เหมือน Google Cloud หรือ iCloud
ผม/ฉันอยากล้างเครื่องโทรศัพท์ แล้วใส่แค่รายชื่อติดต่อไม่กี่รายการ สำเนาหนังสือเดินทาง และ PDF ตั๋วเครื่องบิน จากนั้นหากถูกขอระหว่างตรวจคนเข้าเมืองก็ให้ PIN จริงไป ดีกว่าใช้ PIN บังคับแล้วเสี่ยงถูกฟ้อง ระหว่างเดินทาง สิ่งที่ต้องใช้ก็แค่จำวลีรหัสผ่านของตัวจัดการรหัสผ่านหรือเซิร์ฟเวอร์ SSH ระยะไกล เพื่อกู้คืนเฉพาะข้อมูลที่จำเป็น และลบอีกครั้งได้ทุกเมื่อ
อย่างไรก็ตาม หากทำให้เป็นฟีเจอร์พื้นฐาน หน่วยงานสืบสวนอาจสงสัยพื้นที่จัดเก็บระยะไกลของผู้ใช้ GrapheneOS ทุกคน และเรียกร้องให้เชื่อมต่อกับกู้คืนข้อมูล ดังนั้นการตั้งค่าแยกต่างหากอาจดีกว่า อีกวิธีคือเตรียมบัญชี Google ปลอมที่ดูเป็นธรรมชาติ ใช้แค่ซื้อของทั่วไปและสมัคร YouTube
อีก 3 สัปดาห์จะไปต่างประเทศหนึ่งเดือน เลยกำลังลังเลว่าจะล้างเครื่องโทรศัพท์ หรือทิ้งโทรศัพท์หลักไว้ที่บ้านแล้วซื้อเครื่องใหม่ราคา 150 ยูโรที่มีแค่รายชื่อติดต่อฉุกเฉินของครอบครัวติดตัวไปแทน โชคดีที่ดูจากหน้าจอล็อกอย่างเดียวไม่สามารถรู้ได้ว่าไม่ใช่ Android บน Pixel แบบทั่วไป
allowBackup="false"ได้ด้วย และยังรองรับบริการซิงก์ใด ๆ ที่มี API เข้ากันได้การสำรองข้อมูลเป็นแบบแยกตามโปรไฟล์ จึงสามารถกู้คืนไปยังผู้ใช้รองเพื่อทดสอบได้ด้วย มีแผนยกเครื่องครั้งใหญ่เพื่อให้การใช้งานและประสบการณ์ผู้ใช้ง่ายและเรียบร้อยขึ้น แต่ตอนนี้กำลังยกเครื่องแอปอื่น ๆ ก่อน
หากป้อน PIN พิเศษบนหน้าจอล็อกแล้วให้บูตเข้าสู่พาร์ทิชันล่อหลังหน่วงเวลาเล็กน้อย ก็จะมีความสามารถในการปฏิเสธอย่างน่าเชื่อถือได้ ไม่เพียงในการตรวจชายแดนที่คาดการณ์ไว้ แต่รวมถึงการตรวจแบบไม่ทันตั้งตัวด้วย
การล็อกด้วยแพตเทิร์นของ Android ให้เอนโทรปีเพียง
Log2(389112) ≈ 18.57 บิตเท่านั้น อ่อนกว่าตัวอักษรสุ่ม 3 ตัว ตัวพิมพ์เล็ก 4 ตัว หรือแม้แต่ PIN เลขฐานสิบ 6 หลักรหัสผ่านยาวสามารถใช้เทคนิคช่วยจำได้ แต่พิมพ์ลำบาก ถ้ายาวเกินไปก็น่าจะอนุญาตให้ใช้วิธีอย่างค่าแฮชสรุปแทนได้ แต่ถ้าปิดกั้นรหัสผ่านที่แข็งแกร่งเสียเอง ก็ยิ่งกระตุ้นพฤติกรรมแย่ ๆ อย่างการใช้ซ้ำหรือส่งให้ตัวเอง
สำหรับการล็อกด้วยลายนิ้วมือ สามารถเพิ่ม PIN ยืนยันตัวตนตัวที่สองได้ จึงใช้วลีรหัสผ่านที่แข็งแกร่งได้สะดวกโดยไม่มีข้อเสียของการใช้ชีวมิติอย่างเดียว การล็อกด้วยแพตเทิร์นชักนำให้ผู้ใช้ใช้เพียงส่วนน้อยมากของชุดรูปแบบที่เป็นไปได้จริง ทำให้อ่อนแอกว่าการคำนวณมาก และให้ความรู้สึกปลอดภัยผิด ๆ จึงถูกถอดออกไปเมื่อหลายปีก่อน ฟังก์ชันสร้าง PIN และวลีรหัสผ่านแบบสุ่มในตัวก็กำลังอยู่ระหว่างการพัฒนา
มีการเปลี่ยนข้อจำกัดของ AOSP เพื่ออนุญาตรหัสผ่านยาวสูงสุด 128 อักขระ วลีรหัสผ่านยาวต้องป้อนเฉพาะหลังรีบูตเท่านั้น และมีข้อดีคือยังได้รับการปกป้องแม้ secure element จะถูกโจมตี
การโจมตีแบบ side-channel ต่อชิปความปลอดภัยเป็นไปได้ในเชิงทฤษฎี แต่ต้องมีวิธีโจมตีที่ผ่านการพิสูจน์แล้ว รวมถึงการแยกชิ้นส่วนอุปกรณ์และงานที่ละเอียดแม่นยำและทำลายตัวเครื่อง
เป็นเรื่องตลกที่หากต้องการการรับประกันด้านความปลอดภัยแบบเดียวกับอุปกรณ์ Apple กลับถูกปฏิบัติเหมือนอาชญากร Apple เองก็มีการรีสตาร์ทอัตโนมัติ การเข้ารหัสเต็มรูปแบบ และ Lockdown Mode
ผลจากการใส่รหัสผ่านภายใต้การบังคับขู่เข็ญไม่ควรถูกคนที่รับโทรศัพท์ไปสังเกตเห็นได้ ควรลบข้อมูลบัญชีจริง แต่แสดง ระบบปฏิบัติการที่มีเนื้อหาดูน่าเชื่อถือเติมไว้ เช่น อีเมลสุภาพแต่ไม่มีความหมาย เพื่อให้พนักงานสอบสวนตรวจดูได้
ระบบปฏิบัติการและบริการหลายอย่าง เช่น Google Photos หรือ Samsung ก็มีฟีเจอร์ข้อมูลที่ล็อกไว้
การลบโปรไฟล์จะทิ้งเมทาดาทาที่พิสูจน์การมีอยู่ของโปรไฟล์ไว้ในที่เก็บข้อมูลเข้ารหัสของอุปกรณ์และโปรไฟล์เจ้าของ การตรวจด้วย ADB ก็ยืนยันได้ง่ายว่าเคยรีเซ็ตหรือไม่และเมื่อใด จึงไม่สามารถให้ความเป็นไปได้ในการปฏิเสธอย่างน่าเชื่อถือได้ และหากทำให้ผู้ใช้เชื่อว่าสิ่งนี้เป็นความลับก็จะทำให้ผู้ใช้ตกอยู่ในอันตราย
การซ่อน Private Space ของ Android ก็ซ่อนได้แบบหยาบ ๆ เฉพาะในส่วนติดต่อผู้ใช้เท่านั้น มีวิธีตรวจจับที่เปิดเผยหลายวิธี และในทางปฏิบัติยากที่จะซ่อนอย่างสมบูรณ์แม้จาก ADB ฟีเจอร์ที่ไม่สมบูรณ์จะถูกพูดถึงทางออนไลน์อย่างรวดเร็ว และจะถูกรวมเข้าไปใน LLM เครื่องมือ forensics และคู่มือต่าง ๆ
ฟีเจอร์ของ GrapheneOS ต้องทำงานได้แม้กับ ฝ่ายตรงข้ามที่รู้ว่าฟีเจอร์นี้มีอยู่ PIN ภายใต้การบังคับขู่เข็ญไม่มีวิธีแยกจาก PIN จริง ทำให้ต้องพิจารณาความเป็นไปได้ว่าแม้แต่ PIN ที่ได้รับจากผู้ใช้ที่ไม่ได้ใช้ฟีเจอร์นี้ก็อาจเป็น PIN ภายใต้การบังคับขู่เข็ญ
ในอุปกรณ์อนาคต มีแผนจะเพิ่มการรองรับ PIN ภายใต้การบังคับขู่เข็ญในชิ้นส่วนความปลอดภัยเอง เป็นส่วนหนึ่งของการจำกัดจำนวนครั้งของ Weaver เพื่อให้แม้ช่องโหว่ของระบบปฏิบัติการก็ไม่สามารถเลี่ยงได้
สงสัยว่าแม้หลังจากปลดล็อกครั้งแรกแล้ว (AFU) อุปกรณ์ยังได้รับการปกป้องในสถานะล็อกอยู่หรือไม่ เพราะใช้งานบ่อย หากล็อกเครื่องก่อนหน่วยงานสืบสวนหรือผู้โจมตีจะยึดไป แต่ยังปกป้องข้อมูล AFU ไม่ได้ ก็มีประโยชน์น้อย และหน่วยงานสืบสวนสามารถใช้เครื่องมืออย่าง Cellebrite วิเคราะห์ได้ภายในวันเดียว
คล้ายกับการใช้ VeraCrypt แต่ขี้เกียจรีบูตเครื่องจึงเปิด PC ทิ้งไว้ ซึ่งในกรณีนี้อาจถูกถอดรหัสได้ด้วยการดึงข้อมูลจากหน่วยความจำ
ค่า 18 ชั่วโมงตั้งไว้เพื่อให้แทบไม่ทำงานแม้กับคนที่ใช้โทรศัพท์เพียงไม่กี่ครั้งต่อวัน โดยทั่วไปแค่ยาวกว่าช่วงเวลานอนสูงสุดเล็กน้อยก็เพียงพอ และการรีบูตกลางดึกเองไม่เป็นไร แต่อาจพลาดการติดต่อฉุกเฉินที่ไม่ใช่สายโทรศัพท์ผ่านผู้ให้บริการ
เอกสาร Cellebrite Premium ที่เพิ่งเผยแพร่ยังแสดงว่า ไม่มีวิธีโจมตีอุปกรณ์ GrapheneOS ที่ล็อกอยู่และอัปเดตแล้วหลังระดับแพตช์เฉพาะในปี 2022
สงสัยว่าความร่วมมือระหว่าง GrapheneOS กับ Motorola ยังดำเนินอยู่หรือไม่ และอุปกรณ์ Motorola จะออกเมื่อใด
เวลาผ่าน TSA หรือด่านตรวจคนเข้าเมือง มักปิดโทรศัพท์และแล็ปท็อปไว้เสมอ ในสหรัฐฯ เห็นว่าไม่สามารถบังคับให้ให้รหัสผ่านได้ และแม้จะยึดอุปกรณ์ไป หากปิดเครื่องอยู่ก็ยากที่จะถอดรหัสผ่าน
การรีบูตอัตโนมัติของ GrapheneOS ตั้งได้ต่ำสุดถึง 10 นาที และค่าเริ่มต้นคือ 18 ชั่วโมง หลังจากนั้น Google และ Apple ก็ได้นำตัวจับเวลาแบบคงที่ 72 ชั่วโมงมาใช้ด้วย
อย่างไรก็ตาม ถ้า GrapheneOS มีทางลัดสำหรับปิดเครื่องที่เร็วขึ้นก็คงดี เท่าที่ทราบตอนนี้ต้องกดปุ่มจริงแล้วไปยืนยันบนหน้าจออีกครั้ง
xkcd ที่เกี่ยวข้อง: https://xkcd.com/538/
ดูเหมือนว่าเขาจะให้รหัสผ่านจริง แต่เป็นรหัสผ่านที่รีเซ็ตโทรศัพท์ ไม่ใช่ปลดล็อกเครื่อง น่าแปลกที่ไม่ได้สำรองข้อมูลอุปกรณ์ก่อนการตรวจค้น
สามารถสร้าง PIN ภายใต้การบังคับขู่เข็ญแบบผ่อนปรน ที่ลบเฉพาะแอปที่เลือกโดยไม่ให้สังเกตเห็นได้ หรือย้อนข้อมูลแอปกลับไปยังจุดคืนค่าที่กำหนดให้ดูเหมือนไม่มีอะไรเกิดขึ้น และทำให้ตรวจตามไม่ได้ว่าเคยตั้งค่าไว้หรือไม่ ซึ่งอาจช่วยลดความเสี่ยงทางกฎหมาย
แต่การมีอยู่ของโปรไฟล์เฉพาะและเวลาที่ลบจะยังคงอยู่ในเมทาดาทาของระบบไฟล์และระบบปฏิบัติการ จึงเห็นได้ชัด นอกจากนี้ยังมีร่องรอยไฟล์ที่ถูกคัดลอกหรือแก้ไขหลงเหลือตามจุดต่าง ๆ ของ SSD และหลังจากใช้งานทั่วไปมาเป็นเวลานาน ต่อให้ขอลบอย่างปลอดภัยเฉพาะช่วงหนึ่งก็อาจสายเกินไปและมีโอกาสกู้คืนได้ ข้อเท็จจริงที่ว่าเมทาดาทาและสถิติที่ควรมีหายไปเองก็เป็นหลักฐาน
ฟีเจอร์ที่ยอมรับวลีรหัสผ่านทั้งหมดในพื้นที่สำรองว่าใช้ได้ และหากไม่ได้ตั้งค่าหรือผิดก็ส่งผลลัพธ์แบบสุ่มนั้นเป็นไปได้ หากจะทำให้ถูกต้องต้องมี เครื่องเสมือนและพื้นที่สำรองพื้นฐาน แต่ถึงอย่างนั้นก็ยังอาจพิสูจน์การใช้งานได้ด้วยการวิเคราะห์ SSD ระดับต่ำ