Cách xóa dữ liệu vĩnh viễn trên SSD HDD: Secure Erase, Shred, Trim

Khi xóa file trên máy tính, dữ liệu thực tế vẫn nằm trên ổ cứng — chỉ con trỏ trong hệ thống file bị xóa. Để xóa vĩnh viễn an toàn (secure erase), cần ghi đè dữ liệu ngẫu nhiên hoặc dùng lệnh firmware-level của ổ cứng. Bài viết này tổng hợp các phương pháp tiêu chuẩn cho SSD, HDD, NVMe trên Linux/macOS/Windows — từ công cụ dòng lệnh đến chuẩn ATA Secure Erase/NVMe Format.

Tại sao xóa thường (delete/format) không đủ?

Khi bạn xóa file hoặc format nhanh (quick format), hệ thống file chỉ đánh dấu block là “trống” và cập nhật bảng phân vùng. Dữ liệu cũ vẫn nguyên vẹn trên platter (HDD) hoặc NAND cell (SSD) cho đến khi bị ghi đè. Các công cụ khôi phục (TestDisk, PhotoRec, Recuva) có thể quét và restore lại gần như nguyên vẹn — nguy hiểm khi bán/tặng thiết bị, đổi ổ cứng server, hoặc xử lý dữ liệu nhạy cảm (khóa tư nhân, hồ sơ y tế, tài chính).

Phân loại phương pháp xóa an toàn

Linux: Công cụ dòng lệnh

1. nvme-cli — NVMe Format (khuyên dùng cho NVMe SSD)

# Cài đặt
sudo apt install nvme-cli    # Debian/Ubuntu
sudo dnf install nvme-cli    # Fedora/RHEL

# Liệt kê thiết bị
sudo nvme list

# Format với User Data Erase (secure erase)
sudo nvme format /dev/nvme0n1 -s1 --ses=0

# -s1 = Secure Erase Setting: 1 = User Data Erase
# --ses=0 = Secure Erase Settings: 0 = normal, 1 = cryptographic
# Kiểm tra sau khi xong
sudo nvme id-ctrl /dev/nvme0n1 | grep -i format

Lệnh này yêu cầu namespace không bị mounted. Boot vào live USB (SystemRescue, Arch ISO) nếu xóa ổ cứng hệ thống.

2. hdparm — ATA Secure Erase (SATA SSD/HDD)

# Kiểm tra hỗ trợ
sudo hdparm -I /dev/sdX | grep -A8 "Security:"

# Output mong đợi:
#   Security:
#       supported
#       not     enabled
#       not     locked
#       not     frozen        ← QUAN TRỌNG: không được "frozen"
#       not     expired: security count
#       supported: enhanced erase
#       2min for SECURITY ERASE UNIT. 2min for ENHANCED SECURITY ERASE UNIT.

# Nếu "frozen" → sleep/wake máy tính hoặc hot-plug (nếu hỗ trợ)

# Thiết lập password tạm (bắt buộc)
sudo hdparm --user-master u --security-set-pass "TempPass123" /dev/sdX

# Thực hiện Secure Erase
sudo hdparm --user-master u --security-erase "TempPass123" /dev/sdX

# Enhanced Secure Erase (ghi pattern do vendor định nghĩa)
sudo hdparm --user-master u --security-erase-enhanced "TempPass123" /dev/sdX

3. shred / wipe — Overwrite cho HDD/USB

# shred (có sẵn coreutils)
sudo shred -v -n 3 -z /dev/sdX    # 3 pass ngẫu nhiên + pass cuối all-zero

# wipe (cài thêm: apt/dnf install wipe)
sudo wipe -r -f -q /dev/sdX       # 4 pass mặc định, verify cuối

# zero-fill nhanh bằng head+dd hoặc ddrescue
sudo ddrescue --force /dev/zero /dev/sdX /dev/null

CẢNH BÁO: Không dùng shred/wipe/ddrescue trên SSD — wear leveling của controller khiến ghi đè logic không đảm bảo ghi đè vật lý cùng cell, còn làm giảm tuổi thọ NAND.

macOS: Disk Utility & terminal

• Disk Utility: Chọn ổ → Erase → Security Options → kéo thanh trượt sang “Most Secure” (7-pass, phù hợp HDD). Trên macOS 13+ Ventura, tùy chọn này ẩn cho SSD APFS — dùng terminal.
• diskutil (APFS/SSD): diskutil secureErase freespace 0 /dev/diskX (chỉ xóa không gian trống).
• diskutil (toàn bộ ổ): diskutil secureErase 0 /dev/diskX (single-pass zero), 1 (3-pass), 2 (7-pass), 3 (35-pass Gutmann — quá mức).
• NVMe trên Mac (Apple Silicon): Dùng diskutil apfs eraseVolume hoặc boot vào macOS Recovery → Disk Utility. Apple T2/M1/M2/M3 controller tự xử lý cryptographic erase khi xóa APFS volume.

Windows: Công cụ tích hợp & miễn phí

• Cipher.exe (built-in): cipher /w:X: — ghi đè không gian trống 3-pass (0x00, 0xFF, random). Chỉ dùng cho HDD/USB, không dùng SSD.
• DiskPart Clean All: diskpart → select disk X → clean all — zero-fill toàn bộ ổ (chậm, phù hợp HDD).
• Samsung Magician / Intel SSD Toolbox / WD Dashboard / Crucial Storage Executive: Tool vendor có Secure Erase (ATA/NVMe) GUI — khuyên dùng cho SSD hãng đó.
• Parted Magic (bootable, có phí): Chứa nvme-cli, hdparm, GUI “Erase Disk” — giải pháp all-in-one cho IT pro.
• NIST SP 800-88 compliant tools: Blancco, WhiteCanyon (WipeDrive), Certus — doanh nghiệp cần chứng chỉ xóa.

Kiểm tra sau khi xóa (Verification)

# Đọc mẫu ngẫu nhiên 10MB từ đầu, giữa, cuối ổ
sudo ddrescue --force /dev/zero /dev/sdX /dev/null    # zero-fill khẩn cấp

# Hoặc đọc raw block để kiểm tra
sudo head -c 10M /dev/sdX | xxd | head -20
sudo tail -c 10M /dev/sdX | xxd | head -20

# Output mong đợi: toàn 0x00 (zero-fill) hoặc pattern ngẫu nhiên không đọc được văn bản
# Nếu thấy chuỗi văn bản/plain text → xóa chưa sạch

Lưu ý quan trọng cho SSD hiện đại

• TRIM ≠ Secure Erase: TRIM chỉ báo cho controller biết block nào không còn dùng, garbage collector sẽ xóa sau. Dữ liệu có thể còn đọc được cho đến khi GC chạy.
• Wear Leveling bypass: Overwrite logic (LBA) không đảm bảo ghi vào cùng physical cell — controller remap. Chỉ ATA Secure Erase / NVMe Format / Cryptographic Erase đảm bảo xóa ở mức firmware.
• Frozen state: BIOS/UEFI thường set “frozen” sau POST để chống malware. Cách bypass: Suspend-to-RAM (sleep) rồi wake up, hoặc hot-unplug/replug SATA (nếu mainboard hỗ trợ).
• HPA/DCO (Host Protected Area / Device Configuration Overlay): Khu vực ẩn của ổ cứng. hdparm -N /dev/sdX kiểm tra, hdparm -N pXXXX /dev/sdX disable HPA trước khi secure erase.
• Self-Encrypting Drives (SED): Nếu ổ hỗ trợ TCG Opal / IEEE 1667 / eDrive (BitLocker dùng), Cryptographic Erase chỉ cần xoá khóa mã hóa (mili-giây) — an toàn nhất và nhanh nhất.

Checklist trước khi bán/tặng thiết bị

1. Backup dữ liệu quan trọng.
2. Đăng xuất mọi tài khoản (iCloud, Google, Microsoft, GitHub, SSH keys).
3. Xóa an toàn ổ cứng theo phương pháp phù hợp (NVMe Format / ATA Secure Erase / Vendor tool).
4. Verify bằng hex dump mẫu.
5. Reinstall OS sạch (Windows/macOS/Linux) hoặc để trống cho người mới cài.
6. Ghi chú phương pháp xóa đã dùng cho người nhận (nếu cần tuân thủ ISO 27001, GDPR).

Kết luận

Không có “một size fits all” cho secure erase. NVMe SSD hiện đại: nvme format -s1 (giây). SATA SSD/HDD: hdparm –security-erase (phút). HDD/USB cũ: shred -n3 -z (giờ). macOS: Disk Utility hoặc diskutil secureErase. Windows: Vendor tool (Samsung Magician, Intel SSD Toolbox) hoặc Parted Magic. Luôn verify sau khi xóa và hiểu rõ NIST 800-88 Clear/Purge/Destroy — chọn đúng level cho mức độ nhạy cảm của dữ liệu.