Linuxでハードドライブを安全に消去する3つの方法

Linux ドライブを安全に消去するには、それが磁気ハードディスクドライブ (HDD) かソリッドステートドライブ (SSD) かを識別してください。HDD の場合は、ddまたは GNUを使用してデバイス全体を上書きしますshred。SSD または NVMe ドライブの場合は、サポートされているファームウェア消去またはサニタイズ操作を推奨します。ホストによる上書きでは、再マッピングされたストレージが消去されない可能性があります。必要なものはすべてバックアップしてください。ここに記載されているすべてのコマンドは破壊的であり、誤ったデバイスを選択すると、間違ったディスクを消去してしまう可能性があります。

ドライブを準備する

ターゲットに実行中のシステムが含まれている場合は、LinuxライブUSBから起動してください。可能な限り、残しておきたいドライブはすべて取り外してください。デバイスとマウントポイントの一覧を表示します。

lsblk -o NAME,SIZE,MODEL,SERIAL,TRAN,MOUNTPOINTS

例えば、/dev/sdaはSATAディスク全体、/dev/sda1はパーティションです。NVMeは、/dev/nvme0n1のような名前空間と、 のようなコントローラを使用します/dev/nvme0。以下のコマンドでは、/dev/sdXはプレースホルダーです。これを検証済みのディスク全体のパスに置き換えてください。ドライブ全体を消去する場合は、パーティションを使用しないでください。

マウントされている各ターゲットパーティションをアンマウントし、: でリストされている他のパーティションに対してもこのコマンドを繰り返しますlsblk。

sudo umount /dev/sdX1

再度実行してくださいlsblk。ディスクの識別情報またはマウント状態が不明な場合は、処理を停止して確認してから続行してください。

1. 磁気HDDをddコマンドで上書きする

GNUはdd磁気HDDのホストアドレス指定可能なブロック全体にゼロを書き込むことができます。大容量ドライブの場合、数時間かかることがあります。ライブセッションから、以下を実行してください。

sudo dd if=/dev/zero of=/dev/sdX bs=16M status=progress conv=fsync

ifゼロを供給し、ofターゲット全体の名前を指定し、status=progress転送情報を表示し、conv=fsync終了前に出力をフラッシュします。コンピュータの電源は入れたままにしてください。シェルプロンプトが戻ったら、最終出力を確認してください。無制限の生書き込みでは、ディスク境界で「デバイスに空き容量がありません」と表示される場合があります。バイト数をドライブの容量と比較してください。早期にエラーが発生した場合は、ワイプが成功したとは言えません。

この方法は磁気ディスク用であり、SSDの保証にはなりません。ドライブのファームウェアはホストのアクセス範囲外のブロックを再マッピングする可能性があるためです。GNU Coreutils ddのマニュアルを参照してください。

2. GNU shredでHDDを上書きする

shredこれは、ディスク全体を上書きする2つ目のオプションです。このコマンドは、擬似乱数処理を1回実行した後、最後にゼロ処理を実行します。

sudo shred --verbose --iterations=1 --zero /dev/sdX

実行時間は と同等かそれ以上かかる場合がありますdd。両方を実行しても SSD が安全になるわけではありません。GNU は、 はshredファイルシステムとハードウェアがデータをその場で上書きすることを前提としていますが、ジャーナリングやコピーオンライトのファイルシステム、スナップショット、フラッシュストレージではこの前提が成り立たない可能性があると警告しています。デバイスへの直接書き込みはファイルシステムをバイパスしますが、ドライブの再マッピングはバイパスしません。GNU shred のドキュメントを参照してください。

3. ドライブのファームウェア消去機能を使用する

SSDの場合、より強力なデータ消去を行うには、ドライブ自体がサポートする消去アクションを使用し、製造元の手順に従ってください。NISTのSP 800-88リビジョン2（2025年9月発行）は、データの機密性と復旧作業の観点からデータ消去を規定しており、いかなるコマンドも万能の保証や準拠証明書ではありません。

NVMe

必要に応じてLinuxディストリビューションからインストールしnvme-cli、コントローラーのサニタイズ機能を確認してください。

sudo nvme id-ctrl /dev/nvme0

ブロック消去がサポートされているとリストされている場合のみ、操作を開始して待機します。

sudo nvme sanitize /dev/nvme0 --sanact=start-block-erase --wait

コントローラーのパスを使用し、その名前空間は使用しないでください。nvme -cli のマニュアルには、アクションと が記載されています--wait。nvme-cli 3.x では、sudo nvme log sanitize /dev/nvme0がステータスを確認します。古いバージョンでは を使用する場合がありますnvme sanitize-log。

SATA

直接接続されたSATAドライブの場合、ATAセキュリティ消去のサポートと状態を確認してください。

sudo hdparm -I /dev/sdX

ドライブがサポートを報告し、フリーズまたは既にロックされておらず、製造元が手順を文書化している場合に限り、セキュアプロンプトを使用してワンタイムパスワードを設定してください。

sudo hdparm --user-master u --security-prompt-for-password --security-set-pass /dev/sdX

そのパスワードを保管しておき、ここでプロンプトが表示されたら同じパスワードを入力してください。

sudo hdparm --user-master u --security-prompt-for-password --security-erase /dev/sdX

hdparmのマニュアルでは、これらのコマンドは危険であると記載されており、一部のカーネルでは動作しない可能性があると警告しています。USBアダプタによっては、これらのコマンドがブロックされる場合があります。セットアップまたは消去が失敗した場合は、パスワードを保管し、ドライブメーカーの復旧手順に従ってください。

DBANが万能な選択肢ではない理由

古いガイドでは、DBANの起動イメージと自動ワイプコマンドの使用が推奨されています。しかし、DBANプロジェクトはHDD専用であり、SSDの検出や消去はできず、ソフトウェアアップデートも提供されておらず、完全なデータ消去を保証することもできないと述べています。検出されたすべてのドライブを消去する場合を除き、自動ワイプは決して開始しないでください。

ドライブの種類で選択

• 磁気HDD：ライブセッションからどちらかを選択してくださいdd。shred
• SATA SSD：製造元が文書化している、サポートされているATAセキュア消去手順を使用してください。
• NVMe SSD:コントローラーがサポートしていると報告するサニタイズアクションを実行し、完了を確認します。
• 機密データまたは規制対象データ：組織のデータ消去ポリシーに従い、転送または廃棄する前に結果を確認してください。

パーティションのフォーマットやファイルの削除では、ドライブ全体が消去されるわけではありません。対象を2回確認し、ストレージ技術に適した方法を使用し、消去操作を中断しないでください。