Host Protected Area

Grundprinzip und Bedeutung

Die Host Protected Area (HPA), auch Hidden Protected Area oder ATA-geschützter Bereich genannt, ist ein reservierter Speicherbereich einer Festplatte außerhalb des normalen Dateisystems. Sie liegt in einem oberen Bereich des Datenträgers und wird vor dem Dateisystem sowie dem Betriebssystem verborgen. Deshalb ist sie normalerweise auch für Formatierungs- und Partitionierungsprogramme nicht erreichbar.

Mithilfe einer HPA kann eine dafür geeignete Festplatte so eingestellt werden, dass sie eine geringere Kapazität meldet, als sie tatsächlich besitzt. Der ausgeblendete Bereich bleibt physisch vorhanden, erscheint dem Betriebssystem aber nicht als nutzbarer Speicherplatz. HPA ist ein optionales Merkmal von Festplatten, wurde im ATA-4-Standard definiert und wird von den meisten modernen Festplatten unterstützt.

Typische Verwendungszwecke

HPA wird vor allem zur Systemwiederherstellung und zur Sicherung von Konfigurationsdaten eingesetzt. Beispielsweise kann der ursprüngliche Inhalt einer Systeminstallation in dem geschützten Bereich der Festplatte gespeichert werden. Bei einer Wiederherstellung wird dieser Inhalt aus der HPA in den regulär zugänglichen Bereich zurückkopiert.

Der Schutz vor dem normalen Betriebssystem und üblichen Verwaltungsprogrammen soll verhindern, dass solche Wiederherstellungs- oder Konfigurationsdaten bei der gewöhnlichen Nutzung, Partitionierung oder Formatierung versehentlich verändert werden.

Steuerung durch ATA-Befehle

Für die Einrichtung und Erkennung einer HPA sind drei ATA-Befehle wichtig:

• IDENTIFY_DEVICE wird üblicherweise bei der Hardwareerkennung durch das Betriebssystem aufgerufen. Der Befehl gibt die Kapazität zurück, welche die Festplatte nach außen meldet.

• SET_MAX_ADDRESS legt fest, welche Kapazität die Festplatte bei IDENTIFY_DEVICE melden soll. Dadurch kann sie kleiner erscheinen, als sie tatsächlich ist. Im nicht-flüchtigen Modus (non-volatile) bleibt die eingestellte Maximalgröße auch nach dem Ausschalten erhalten. Im flüchtigen Modus (volatile) gilt sie nur bis zum nächsten Reset.

• READ_NATIVE_MAX_ADDRESS liest die höchste Sektoradresse gemäß der Werkseinstellung aus und zeigt damit stets die tatsächliche Größe der Festplatte an. Ein Sektor ist dabei eine adressierbare Speichereinheit des Datenträgers.

Durch den Vergleich von IDENTIFY_DEVICE und READ_NATIVE_MAX_ADDRESS lässt sich feststellen, ob eine HPA vorhanden beziehungsweise aktiviert ist. Zeigen beide Befehle unterschiedliche Größen, wurde die Festplatte zuvor mit SET_MAX_ADDRESS „verkleinert“. Durch eine erneute Ausführung von SET_MAX_ADDRESS kann die gemeldete Größe auf die Werkseinstellung zurückgesetzt werden. Anschließend sind wieder alle Sektoren und damit die volle Kapazität zugänglich.

Bedeutung für die Computer-Forensik

Für Strafverfolgungsbehörden, Ermittler und Forensik-Experten ist die Erkennung und Untersuchung von HPA-Bereichen wichtig. Beschuldigte können HPA bewusst einsetzen, um Teile einer Festplatte auszublenden und dort Daten zu verstecken.

Auch ohne eine absichtliche Nutzung können sich in dem verborgenen Bereich verwertbare Spuren oder Beweise befinden. Das gilt etwa dann, wenn einer Person die HPA nicht bekannt war oder sie diesen Bereich aus technischen Gründen nicht verändern konnte. Eine forensische Untersuchung darf sich daher nicht ausschließlich auf die vom Betriebssystem gemeldete Kapazität verlassen, sondern muss auch die native Maximaladresse berücksichtigen.

Vollständiges Löschen von Festplatten

Eine HPA ist auch für Anwender relevant, die sämtliche Daten einer Festplatte durch vollständiges Überschreiben löschen wollen. Wird nur der sichtbar gemeldete Teil überschrieben, können Daten in der HPA erhalten bleiben.

Aktuelle Linux-Kernel setzen eine beim Booten erkannte HPA grundsätzlich vorübergehend zurück beziehungsweise deaktivieren sie. Dadurch können der Kernel und der Administrator auf alle Sektoren bis zur nativen Maximaladresse zugreifen. In dem im Artikel gezeigten Beispiel meldet die Festplatte zunächst 109170031 Sektoren beziehungsweise 55895 MB, besitzt aber tatsächlich 117210240 Sektoren beziehungsweise 60011 MB. Nach der Deaktivierung der HPA steht die native Kapazität zur Verfügung.

Wenn der Kernel die HPA zurücksetzt, können Programme wie der Unix-Befehl dd auch diesen Bereich überschreiben. dd wird häufig verwendet, um einen Datenträger vollständig mit Nullen oder zufälligen Zahlen zu überschreiben. Bei älteren Kerneln kann die HPA dagegen verborgen bleiben. Als Beispiel nennt der Artikel die Live-CD DBAN in Version 1.0.4: Sie löscht nicht die HPA, sondern nur den sichtbaren Teil der Festplatte. Für eine wirklich vollständige Löschung muss deshalb geprüft werden, ob die gesamte native Kapazität zugänglich ist.