Ao usar um computador, todos os dados manipulados são escritos temporariamente na memória RAM: textos, arquivos salvos, e também senhas e chaves criptográficas. Quanto mais recente a atividade, maior é a probabilidade de que estes dados estejam na RAM.

After a computer is powered off, the data in RAM disappears rapidly, but it can remain in RAM up to several minutes after shutdown. An attacker having access to a computer before the data in RAM disappears completely could recover important data from your session.

Isto pode ser feito usando uma técnica chamada ataque cold boot . Para evitar este ataque os dados na RAM são substituídos por dados aleatórios quando o Tails está sendo desligado. Isto apaga todos os traços da sua sessão naquele computador.

Além disso, um atacante que tenha acesso físico ao computador enquanto Tails está sendo executado também pode recuperar dados da RAM. Para evitar isto, aprenda diferentes formas de desligar o Tails rapidamente.

As far as we know, cold boot attacks are not a common procedure for data recovery.

In a research report from 2011, Defense Research and Development Canada concluded that cold boot attacks can be useful in some cases to acquire data in memory but are not a panacea and have many drawbacks dictated by the laws of physics, which cannot be overcome by the technique. The authors recommend to only use cold boot attacks as a last resort when all other avenues have been exhausted.