Écrire des zéros sur tout l'espace visible d'un SSD n'efface pas forcément vos données. Le contrôleur répartit les écritures sur des cellules que le système ne voit pas, et il conserve une réserve invisible. Pour effacer un SSD définitivement, il faut passer par le contrôleur lui même, pas par le système.
Vous avez effacé ou formaté un SSD par erreur ?
Ne l'utilisez plus du tout, le TRIM travaille contre vous à chaque minute. Le diagnostic est gratuit.
Pourquoi on ne peut pas écraser un SSD comme un disque dur
Sur un disque dur mécanique, une adresse correspond toujours au même endroit physique du plateau. Vous écrivez à l'adresse mille, la tête va au même point, et ce qui s'y trouvait disparaît. C'est ce qui rend l'écrasement fiable.
Un SSD ne fonctionne pas ainsi. Entre le système et les puces mémoire se trouve un contrôleur, qui décide seul où chaque donnée est physiquement écrite. Il tient une table de correspondance et la modifie en permanence.
Il le fait pour une raison simple : une cellule de mémoire flash supporte un nombre limité de cycles d'écriture. Pour éviter d'user toujours les mêmes, le contrôleur répartit les écritures sur l'ensemble des cellules. C'est le wear leveling, le nivellement de l'usure.
Conséquence directe. Quand vous écrivez des zéros sur l'adresse mille, le contrôleur les écrit dans une cellule libre et marque simplement l'ancienne comme périmée. L'ancienne cellule contient toujours vos données, et elle n'est plus adressable depuis le système.
La réserve invisible, le second obstacle
Un SSD annoncé à 512 Go contient en réalité davantage de mémoire. Cette différence, appelée réserve, sert au contrôleur pour remplacer les cellules usées et lisser les performances.
Cette réserve n'apparaît jamais dans l'explorateur ni dans le gestionnaire de disques. Aucun logiciel d'écrasement classique ne peut donc l'atteindre, puisqu'il ne peut écrire que sur ce que le système lui expose.
Or les cellules qui composent cette réserve ne sont pas neuves. Ce sont d'anciennes cellules de données, retirées de la circulation par le contrôleur, avec ce qu'elles contenaient. C'est précisément là que nous allons chercher, quand nous récupérons un SSD.
Le TRIM complique encore les choses, dans les deux sens. C'est la commande par laquelle le système prévient le SSD que des blocs ne servent plus, ce qui autorise le contrôleur à les effacer réellement en tâche de fond. Le mécanisme est détaillé dans l'article récupération de données d'un SSD formaté. Le TRIM efface donc beaucoup, mais quand il le décide, et sans garantie de couverture.
Les trois méthodes qui effacent vraiment un SSD
Le "secure erase", la commande intégrée au contrôleur
Tous les SSD modernes intègrent une commande d'effacement sécurisé, prévue par la norme ATA. Elle ne passe pas par le système : elle demande au contrôleur d'effacer lui même l'intégralité des cellules, réserve comprise.
C'est la méthode de référence, et c'est la seule qui atteigne les zones invisibles. Elle prend quelques secondes à quelques minutes, pas plusieurs heures, ce qui surprend souvent.
Le secure erase s'exécute depuis les outils du fabricant du SSD, ou depuis un utilitaire de démarrage. Il ne peut pas s'exécuter sur le disque qui fait tourner le système, il faut démarrer sur un autre support.
Une précaution : une coupure de courant pendant l'opération peut laisser le SSD dans un état bloqué. Sur un portable, restez branché sur le secteur.
L'effacement cryptographique, sur les SSD chiffrés
Beaucoup de SSD chiffrent en permanence tout ce qu'ils écrivent, à l'aide d'une clé stockée dans le contrôleur. C'est transparent pour l'utilisateur, et cela n'a aucun coût de performance.
Sur ces modèles, l'effacement cryptographique d'un SSD consiste à détruire la clé et à en générer une nouvelle. Les cellules ne sont pas touchées, mais leur contenu devient un bloc aléatoire sans signification, y compris la réserve invisible.
C'est instantané, et c'est aussi solide que le chiffrement employé. Sur un SSD récent avec chiffrement matériel, c'est la méthode la plus propre.
Attention à ne pas confondre avec le simple retrait d'un mot de passe. Si vous supprimez seulement l'accès sans détruire la clé, les données restent parfaitement lisibles pour qui retrouve cette clé.
La destruction physique, quand le SSD part au rebut
Détruire un SSD n'a de sens que s'il ne doit plus jamais servir. Dans ce cas, ce sont les puces NAND qu'il faut viser, et elles seules. Le boîtier, le connecteur et le circuit imprimé n'ont aucune importance.
Une puce NAND se dessoude et se lit sur un lecteur dédié. Nous le faisons régulièrement pour récupérer des données sur des SSD dont le contrôleur est mort. Un SSD simplement cassé en deux peut donc conserver des puces parfaitement lisibles.
La destruction doit atteindre chaque puce, par broyage ou déchiquetage. Le dégaussage, en revanche, ne sert à rien sur un SSD : il n'y a pas de surface magnétique, seulement des charges électriques piégées. C'est une erreur fréquente dans les procédures d'entreprise, héritée de l'époque du disque dur.
Effacer un SSD avant de le revendre
Le cas le plus courant, et il se règle en quelques minutes.
- Sauvegardez d'abord ce que vous voulez garder, sur un autre support, et vérifiez que la sauvegarde s'ouvre.
- Lancez ensuite un secure erase depuis l'outil du fabricant, ou un effacement cryptographique si le modèle le propose. Ne perdez pas de temps avec un logiciel qui écrit des zéros pendant trois heures, il fera moins bien en beaucoup plus long, et il usera le SSD pour rien.
- Vérifiez enfin que l'opération est signalée comme terminée. Un secure erase interrompu laisse un résultat imprévisible.
Si le SSD est chiffré depuis le premier jour, par le système ou par le contrôleur, une bonne partie du travail est déjà faite. Détruire la clé suffit alors.
Ce qui ne suffit pas sur un SSD
Le formatage rapide, pour les mêmes raisons que sur un disque dur, il ne touche que l'index.
- L'écrasement par logiciel, qui n'atteint ni la réserve invisible ni les cellules retirées de la circulation par le wear leveling. Il donne un faux sentiment de sécurité, ce qui est pire que ne rien faire.
- Les passages multiples, totalement inutiles ici. Ils n'améliorent rien, et chaque passage consomme des cycles d'écriture sur un composant qui en a un nombre fini.
- Le dégausseur, sans effet sur de la mémoire flash.
- La suppression de la partition, qui ne fait que retirer une ligne dans une table.
Et si vous avez effacé par erreur
Sur un SSD, le temps joue contre vous bien plus vite que sur un disque dur. Le TRIM efface réellement les blocs en tâche de fond, souvent dans les minutes qui suivent, et le contrôleur travaille même quand vous ne faites rien.
La seule bonne réaction est donc d'éteindre le SSD immédiatement et de ne plus le rebrancher. Chaque démarrage donne au contrôleur l'occasion de terminer le ménage.
Un secure erase ou un effacement cryptographique mené à son terme est en revanche définitif. Personne ne récupère cela, et il faut se méfier de qui l'affirme.
Entre les deux, il existe beaucoup de situations récupérables, notamment quand le SSD a été éteint vite. La page récupération de données sur SSD décrit ce que nous traitons.
Pour un disque dur mécanique, les règles changent
Si votre support est un disque dur à plateaux et non un SSD, tout ce qui précède ne s'applique pas. L'écrasement classique y fonctionne parfaitement, et la destruction physique vise les plateaux.
Les méthodes correspondantes sont détaillées dans l'article [détruire un disque dur définitivement, qui traite aussi de l'obligation de preuve pour les entreprises soumises au RGPD.
Un SSD effacé ou formaté par erreur se joue en heures, pas en jours.
Éteignez le, puis appelez le 09 50 40 07 30, le diagnostic est gratuit.
FAQ - Destruction définitive SSD
Écrire des zéros sur un SSD suffit il à l'effacer ?
Non. Le contrôleur écrit ces zéros dans des cellules libres et laisse les anciennes intactes, simplement marquées comme périmées. Elles ne sont plus visibles depuis le système, mais leur contenu est toujours là, et il reste lisible en laboratoire.
Qu'est ce que le secure erase d'un SSD ?
C'est une commande prévue par la norme ATA, qui demande au contrôleur du SSD d'effacer lui même toutes les cellules, y compris la réserve invisible du système. Elle s'exécute depuis l'outil du fabricant ou un utilitaire de démarrage, et prend quelques secondes à quelques minutes.
Combien de temps faut il pour effacer un SSD définitivement ?
Quelques minutes au maximum avec un secure erase, et quelques secondes avec un effacement cryptographique. Si une méthode annonce plusieurs heures, c'est qu'elle écrit sur l'espace visible, donc qu'elle ne fait pas le travail attendu.
Un dégausseur fonctionne il sur un SSD ?
Non, et c'est une erreur fréquente dans les procédures d'entreprise. Un dégausseur agit sur une surface magnétique. Un SSD stocke des charges électriques dans des cellules, un champ magnétique n'a aucun effet dessus.
Faut il détruire physiquement un SSD ou le secure erase suffit il ?
Le secure erase suffit si le SSD doit resservir ou être revendu. La destruction physique s'impose seulement si le support part au rebut et que le niveau de confidentialité l'exige. Dans ce cas, ce sont les puces NAND qu'il faut détruire, pas le boîtier.
Casser un SSD en deux détruit il les données ?
Non. Les puces NAND survivent souvent à la rupture du circuit, et une puce dessoudée se lit sur un lecteur dédié. C'est d'ailleurs ainsi que nous récupérons des SSD dont le contrôleur est hors service.