Vytiahnete USB kľúč z počítača, odložíte ho do zásuvky a tým sa jeho príbeh s Windowsom skončil. Aspoň by sa to mohlo zdať. V skutočnosti po ňom môže v systéme zostať malá digitálna stopa – Windows si totiž informácie o niektorých pripojených úložiskách ponecháva aj po ich odpojení.
Na sociálnych sieťach z toho vznikla podstatne dramatickejšia verzia: Windows vraj vedie akýsi večný zoznam každého USB zariadenia, ktoré ste k počítaču pripojili. Ako to pri podobných internetových objavoch býva, základ príbehu je pravdivý. Len zvyšok už potrebuje niekoľko veľkých hviezdičiek.
Windows si totiž určité USB úložisko môže pamätať. Neznamená to však, že pozná obsah kľúča, vie, čo ste z neho kopírovali, alebo že si záznam nemožno odstrániť. A už vôbec nejde o tajnú funkciu – Microsoft toto správanie dokumentuje roky.
USB kľúč vytiahnete. Záznam môže zostať
Microsoft už v roku 2012 na svojom Scripting Blogu opisoval kľúč registra USBSTOR. Pri USB úložiskách, ktoré obsluhuje príslušný ovládač Windowsu, sa informácie o zariadení nachádzajú pod cestou HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR.
A prečo ich systém po vytiahnutí kľúča jednoducho nezahodí? Microsoft to vysvetľuje celkom prakticky na stránke podpory venovanej starým záznamom zariadení. Windows nevie, či ste zariadenie odpojili navždy, alebo ho o päť minút či zajtra pripojíte späť.
Nechať si jeho konfiguráciu preto dáva z pohľadu systému zmysel. Pri ďalšom pripojení nemusí Windows začínať úplne od nuly. Microsoft zariadenia, ktoré už fyzicky pripojené nie sú, ale ich záznam zostal v systéme, označuje ako neprítomné alebo fantómové zariadenia.
Nie, Windows tým nezískava zoznam vašich súborov
Tu sa internetová detektívka začína rozpadať.
USBSTOR nie je zoznam všetkého, čo ste k USB portom počítača kedy pripojili. Týka sa triedy USB úložísk obsluhovaných ovládačom Usbstor.sys. Myš, klávesnica, webkamera či USB mikrofón sa v ňom preto neobjavia. Navyše časť modernejších úložísk môže používať iný ovládač, napríklad Uaspstor.sys.
Pri konkrétnom úložisku môže Windows poznať názov zariadenia a jeho hardvérové či inštančné identifikátory. Ak ich samotné zariadenie poskytuje, môžu pomôcť rozlíšiť napríklad konkrétny model alebo sériové číslo. Systém si zároveň vedie aj ďalšie vlastnosti a protokoly súvisiace s inštaláciou a pripojením hardvéru.
To však stále nie je tajný obsah vášho USB kľúča.
Samotný záznam USBSTOR neobsahuje zoznam súborov na jednotke a neprezradí, či ste niečo kopírovali z počítača na kľúč alebo opačným smerom. Ani obyčajný názov zariadenia nemusí jednoznačne identifikovať konkrétny kus – viaceré zariadenia rovnakého modelu môžu zdieľať rovnaké hardvérové identifikátory a nie každý USB kľúč poskytuje použiteľné sériové číslo.
Dokazuje takýto záznam krádež dát? Sám osebe nie
Predstava znie lákavo: nájdeme v počítači záznam USB kľúča a máme vinníka aj dôkaz, že si odniesol súbory. Také jednoduché to nie je.
Záznam môže byť dôkazom, že Windows s určitým zariadením pracoval. Sám však nepovie, ktoré súbory boli otvorené alebo skopírované, ktorým smerom putovali ani kto fyzicky kľúč zapojil.
Windows má samostatnú funkciu Audit Removable Storage, ktorá dokáže zaznamenávať prístupy k objektom na vymeniteľných úložiskách. Má to však jeden podstatný háčik: audit musí byť zapnutý ešte predtým, než k sledovanej udalosti dôjde. Zapnúť ho dnes a spätne zistiť, čo sa dialo minulý týždeň, nejde.
Chcete sa pozrieť, čo po starých kľúčoch zostalo?
Najjednoduchšia cesta vedie cez Správcu zariadení. Otvorte ho cez ponuku Štart a v hornej ponuke vyberte Zobraziť > Zobraziť skryté zariadenia. Neprítomné zariadenia Windows zobrazuje odlišne od tých, ktoré sú práve pripojené.
Ak Windows naopak nevidí USB kľúč, ktorý máte práve zasunutý v porte, problém bude inde. V takom prípade pomôže náš samostatný návod pre situáciu, keď sa USB kľúč vo Windowse nezobrazuje alebo nefunguje.
Zvedavejší používatelia si môžu obsah USBSTOR vypísať aj príkazom:
reg query "HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR" /sPríkaz prejde všetky podkľúče pod USBSTOR. Ak si nie ste istí, do ktorého okna podobné príkazy patria, pozrite si vysvetlenie rozdielu medzi Príkazovým riadkom, PowerShellom a Terminálom.
Záznam chcete odstrániť? Do registra sa radšej nepúšťajte
Ak staré zariadenie v počítači nechcete, netreba sa hrať na chirurgiu registra.
V Správcovi zariadení si zapnite zobrazenie skrytých zariadení, nájdite príslušnú neprítomnú jednotku, kliknite na ňu pravým tlačidlom a zvoľte Odinštalovať zariadenie. Microsoft vo svojej dokumentácii uvádza, že pri odinštalovaní systém automaticky odstráni softvérové a hardvérové kľúče daného zariadenia.
Ručné mazanie samotných kľúčov registra je horší nápad. Microsoft upozorňuje, že obsahujú aj dôležitý stav inštalácie zariadenia a ich neuváženým odstránením môžete narobiť viac škody než poriadku.
A ešte jedna dôležitá drobnosť: odinštalovanie zariadenia neznamená, že ste z počítača vykynožili každú možnú forenznú stopu jeho existencie. Windows používa viacero databáz, vlastností a protokolov. Ak teda ide o bezpečnosť pred predajom počítača, riešenie je iné.
Pred predajom počítača nelovte USB kľúče jeden po druhom
Ak notebook alebo počítač odovzdávate cudziemu človeku, nemá veľký zmysel prechádzať históriu zariadení a odstraňovať položku po položke.
Microsoft pri predaji, darovaní alebo recyklácii odporúča pri obnovení systému možnosť Odstrániť všetko. Windows sa preinštaluje a odstránia sa osobné súbory, aplikácie aj nastavenia.
Ešte dôležitejšia je voľba Vyčistiť údaje (Clean data). Microsoft uvádza, že ostatným sťaží obnovenie odstránených súborov. Ak máte v počítači viac jednotiek alebo oddielov s osobnými dátami, skontrolujte aj nastavenie odstránenia údajov zo všetkých jednotiek.
Netreba z toho však robiť vojenskú skartovačku v softvérovej podobe. Microsoft výslovne upozorňuje, že táto spotrebiteľská funkcia nespĺňa vládne ani priemyselné štandardy bezpečného vymazania dát. Pri zariadeniach s mimoriadne citlivými firemnými informáciami preto treba použiť postup zodpovedajúci pravidlám organizácie.
Pred resetom si, samozrejme, zálohujte súbory, o ktoré nechcete prísť. Ak je zariadenie šifrované, pripravte si aj obnovovací kľúč BitLockeru.
Takže áno: vytiahnete USB kľúč a Windows naň nemusí okamžite zabudnúť. Tajný archív vašich súborov sa však v USBSTOR neskrýva. Je to skôr pamäť systému na hardvér, s ktorým už raz mal tú česť – praktická, trochu zvedavá, ale podstatne menej dramatická, než by sa podľa sociálnych sietí mohlo zdať.
