Proč si Windows pamatuje úložná zařízení USB i po jejich odpojení

Obavy z toho, že Windows uchovává osobní údaje, se často objevují ve chvíli, kdy se někdo chystá darovat nebo prodat starý počítač. Častou otázkou je, zda obnovení počítače odstraní uložená data a zda Windows skrytě neuchovává informace o dříve připojených zařízeních.

Příspěvky na sociálních sítích někdy tvrdí, že Windows uchovává trvalý záznam o každém zařízení USB, které kdy bylo připojeno k počítači. Toto tvrzení vychází ze skutečného chování systému Windows, ale virální příspěvky ho často prezentují jako mnohem invazivnější, než ve skutečnosti je.

Linux a macOS rovněž uchovávají informace o hardwaru a systémové protokoly. MS toto chování systému Windows dokumentuje již více než deset let.

Zde se dozvíte, jaké informace Windows o jednotkách USB ukládá, proč je uchovává, jak tyto záznamy zobrazit a co se s nimi stane při obnovení počítače.

Proč Windows uchovává informace o jednotkách USB

MS v roce 2012 zdokumentoval, že při vložení úložného zařízení USB vytvoří Windows klíč registru USBSTOR obsahující informace, které operační systém potřebuje k identifikaci a konfiguraci daného zařízení.

Umístění v registru je:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR

Windows vytváří informace o zařízení v registru i tehdy, když je úložné zařízení připojeno jen krátce. Vyčištění může být ponecháno na jiném softwaru, protože Windows nedokáže určit, zda bylo odpojené zařízení odebráno dočasně, nebo trvale.

Když je jednotka USB odpojena, Windows nemůže vědět, zda bude později znovu připojena. Technologie Plug and Play proto uchovává instanci zařízení, aby systém mohl jednotku při jejím příštím připojení rychleji rozpoznat a nakonfigurovat.

MS označuje fyzicky odpojená zařízení, jejichž položky v registru zůstávají zachovány, jako nepřítomná zařízení nebo stínová zařízení. Ve Správci zařízení je lze zobrazit výběrem možnosti Zobrazit > Zobrazit skrytá zařízení.

USBSTOR není seznamem veškerého příslušenství USB připojeného k počítači. Vztahuje se na velkokapacitní úložná zařízení spravovaná ovladačem Usbstor.sys. Windows používá také samostatný ovladač Uaspstor.sys pro zařízení využívající novější protokol USB Attached SCSI, který je navržen ke zvýšení výkonu úložiště.

Klávesnice, webové kamery, myši a mikrofony USB se v USBSTOR neobjeví pouze proto, že používají připojení USB.

Toto chování není specifické pouze pro Windows. Linux používá udev k udržování databáze zpracovaných zařízení, zatímco macOS uchovává informace o hardwaru prostřednictvím IOKit a zaznamenává systémové události pomocí jednotného systému protokolování. Operační systémy tyto informace potřebují k identifikaci hardwaru, načítání vhodných ovladačů a usnadnění řešení problémů.

Windows si dříve připojená úložná zařízení USB skutečně pamatuje, důležité je však rozlišovat, jaké informace ve skutečnosti uchovává.

Co Windows ví o jednotce USB

Windows může uložit čitelný název zařízení, například SanDisk Ultra USB Device, společně s identifikátory hardwaru a instance odvozenými z informací hlášených zařízením.

V závislosti na hardwaru mohou uchovávané informace zahrnovat:

• Název zařízení a identifikátory hardwaru.

• Sériové číslo nebo informace o umístění připojení.

• Datum první konfigurace zařízení.

• Čas posledního připojení nebo odebrání.

• Písmeno jednotky přiřazené svazku.

Zde popisované záznamy USBSTOR však neobsahují seznam souborů uložených na jednotce. Samy o sobě také neukazují, zda byly nějaké soubory zkopírovány. Jiné funkce systému Windows, včetně Nedávných položek nebo auditování vyměnitelného úložiště, mohou zanechat samostatné důkazy.

Dotazování na záznamy USBSTOR

Chcete-li zkontrolovat záznamy USBSTOR, otevřete Windows PowerShell a spusťte:

reg query "HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR" /s

Možnost /s prohledá všechny podklíče pod USBSTOR. Každý klíč modelu obsahuje jeden nebo více podklíčů instancí zařízení. V závislosti na zařízení může identifikátor instance obsahovat sériové číslo nebo informace o umístění.

Samotný název zařízení nedokazuje, že byla připojena jedna konkrétní fyzická jednotka. Více jednotek může sdílet stejné identifikátory hardwaru a zařízení USB nemusí uvádět sériové číslo.

Vytvoření přehlednějšího seznamu zařízení

Rutina Plug and Play v PowerShellu dokáže vytvořit přehlednější seznam:

Get-PnpDevice -Class DiskDrive |

Where-Object { $_.InstanceId -like 'USBSTOR\*' } |

Format-List Status, FriendlyName, InstanceId

Get-PnpDevice zobrazuje zařízení známá technologii Plug and Play, včetně zařízení, která již nejsou připojena. Přidáním parametru -PresentOnly omezíte výsledky pouze na aktuálně připojený hardware.

Chcete-li toto chování otestovat, připojte jednotku USB, spusťte první příkaz a poznamenejte si její InstanceId. Jednotku bezpečně vysuňte a odpojte a poté spusťte původní příkaz společně s následujícím:

Get-PnpDevice -PresentOnly -Class DiskDrive |

Format-List FriendlyName, InstanceId

Pokud Windows záznam uchoval, jednotka zmizí z výsledků s parametrem -PresentOnly, ale zůstane v širším seznamu Plug and Play.

Kontrola časových údajů zařízení

Chcete-li zkontrolovat dostupné časové údaje, přiřaďte úplný identifikátor instance proměnné $deviceId a spusťte:

$deviceId = 'PASTE_THE_FULL_INSTANCE_ID_HERE'

Get-PnpDeviceProperty -InstanceId $deviceId |

Where-Object { $_.KeyName -match '_(FirstInstallDate|InstallDate|LastArrivalDate|LastRemovalDate)$' } |

Format-List KeyName, Data

• FirstInstallDate označuje, kdy Windows poprvé nainstaloval danou instanci zařízení.

• InstallDate označuje, kdy byla naposledy nainstalována, a může se změnit po aktualizaci ovladače.

• LastArrivalDate a LastRemovalDate obsahují pouze nejnovější příslušné hodnoty.

Tato pole neposkytují úplnou historii všech připojení a odpojení jednotky USB.

Kontrola protokolu SetupAPI

Windows zaznamenává činnost při instalaci zařízení také do prostého textového protokolu SetupAPI umístěného zde:

%SystemRoot%\INF\setupapi.dev.log

K vyhledání vybraného zařízení v protokolu použijte následující příkaz PowerShellu:

Select-String -Path "$env:SystemRoot\INF\setupapi.dev.log" -SimpleMatch -Pattern $deviceId -Context 3,12

Odpovídající položka ukazuje, že SetupAPI zaznamenalo událost instalace zařízení. Neměla by být vykládána jako úplný záznam každého následného připojení.

Kontrola trvalého mapování písmen jednotek

Následující dotaz do registru zobrazí databázi trvalých názvů správce připojení:

reg query "HKLM\SYSTEM\MountedDevices"

Tato databáze mapuje svazky na písmena jednotek a může uchovávat názvy svazků, které již nejsou připojeny. Položka jako \DosDevices\F: neidentifikuje konkrétní jednotku SanDisk, pokud její binární data nejsou porovnána se svazkem daného zařízení.

Jak odstranit záznamy o zařízeních USB

Chcete-li odstranit uchovaný záznam zařízení, otevřete Správce zařízení, povolte možnost Zobrazit > Zobrazit skrytá zařízení, klikněte pravým tlačítkem na šedě zobrazenou jednotku a vyberte možnost Odinstalovat zařízení.

MS uvádí, že klíče registru zařízení jsou po jeho odinstalování automaticky odstraněny. Správci IT mohou také hromadně odstraňovat záznamy stínových úložných zařízení pomocí nástroje DevNodeClean od MSu.

Neodstraňujte klíče registru USBSTOR ručně. Nesprávné odstranění těchto položek může poškodit funkčnost rozhraní USB a potenciálně způsobit nepoužitelnost počítače.

Odstraní obnovení systému Windows tyto záznamy?

MS doporučuje při prodeji, darování, recyklaci nebo převodu počítače na nového vlastníka použít možnost obnovení Odebrat všechno. Tato možnost přeinstaluje Windows a odstraní osobní soubory, aplikace a nastavení. Vzhledem k přeinstalaci operačního systému by se záznamy z předchozí instalace USBSTOR neměly přenést.

Existuje však důležité omezení: standardní obnovení svazek systému Windows nenaformátuje. Místo toho jednotlivě odstraní uživatelské soubory. Před předáním počítače povolte v části Změnit nastavení možnost Vyčistit data. MS uvádí, že tím bude obnova odstraněných souborů pro jinou osobu obtížnější, ačkoli tento postup nesplňuje vládní ani oborové standardy pro vymazání dat.

Pokud počítač obsahuje další oddíly nebo jednotky, vyberte také možnost odebrání souborů ze všech jednotek.

Windows uchovává mnoho forem metadat z legitimních technických důvodů. Jedním z příkladů je tunelování systému souborů, které může nově vytvořenému souboru přiřadit datum vytvoření nedávno odstraněného souboru se stejným názvem. Správně nakonfigurované obnovení pomocí možnosti Odebrat všechno odstraní předchozí instalaci systému Windows a její data, nemělo by však být považováno za univerzální metodu forenzního vymazání.

Může záznam o zařízení USB dokázat, že byly zkopírovány soubory?

Ne. Záznam USBSTOR sám o sobě nemůže prokázat krádež dat ani kopírování souborů. Může ukázat, že Windows zaznamenal určité úložné zařízení, ale nedokáže určit, které soubory byly zkopírovány, zda byla data přenesena do zařízení nebo z něj ani kdo jej fyzicky připojil.

Windows může auditovat přístup k souborům na vyměnitelném úložišti prostřednictvím zásady Auditovat vyměnitelné úložiště, která může generovat události, jako je ID události 4663. Tato zásada však musí být povolena předtím, než k příslušné činnosti dojde. Její pozdější povolení nedokáže zpětně rekonstruovat záznamy o přístupu k souborům.

Virální tvrzení jsou správná pouze v omezeném smyslu, že Windows si může pamatovat úložné zařízení USB i po jeho odpojení, stejně jako ostatní běžné desktopové operační systémy. Záznam USBSTOR neobsahuje soubory z jednotky, nemůže samostatně prokázat, že někdo kopíroval data, a není trvalý. Samostatné auditní záznamy nebo jiné forenzní důkazy mohou odhalit aktivitu se soubory, tyto informace se však od záznamu zařízení USBSTOR liší.