您需要擦除/粉碎文件几遍以使它们不可删除?


20

如果您在最近的普通硬盘驱动器上拥有私有数据-您需要删除几遍数据才能使其无法恢复?

从某种意义上说,这是一个由20名专家组成的法医小组,预算为1亿欧元或美元,并用10年的时间从​​已知地址中恢复了几个字节,准确度为80%,但很少有人用几千欧元/ $预算,谁在工作上花费的时间不会超过两周,并且谁也不知道他们在搜索驱动器上的位置。

Linux / GNU shred在手册中说:

   -n, --iterations=N
          overwrite N times instead of the default (3)

但是一方面,我听说有一项NSA建议重写27次的建议,另一方面,专业数据恢复公司无法从仅擦除一次的驱动器中恢复数据。

证据,文件,证明?

注意:这个问题不是:

  • 这与坏扇区无关,因为坏扇区可能会漏掉数据
  • 这与90年代初期的老式MFM / RLL驱动器无关
  • 与不同的工具无关
  • 该方法的意义不大(随机数0s,0xFF和奇特的模式)。
  • 安全擦拭并不是其他技术(磁力,融化,沙子填充和转动)。
  • 这与闪存驱动器的特殊问题无关

5
在现代硬盘驱动器上进行1次覆盖之后,没有人证明过可以恢复任何有用的数据。... nber.org/sys-admin/overwrite-data-gutmann.html
摩押

Answers:


48

一旦。

现代磁介质非常有效,几乎没有留下任何以前的钻头位置的证据。剩下的东西需要电子显微镜和/或高科技磁力分析仪(或任何所谓的)扫描仪。所有这些设备都非常昂贵,即使拥有最好的设备和最熟练的专家,也要花费大量的时间(单个磁盘需要数年时间;所有硬盘具有多个磁盘)并且故障率很高。

如果您要处理政府机密(如国家安全局),那么一次写入可能还不够好,因为中国在获取和使用这些设备方面没有问题,也没有雇用数百名专业专家组成的团队来使用它们。

另一方面,如果您仅处理个人银行密码和秘密的pr0n存储,则一次通过就足以使数据完全无法通过任何实际手段恢复。

就是说,现代磁盘速度非常快,除非您擦除整个硬盘驱动器,否则多次传递将花费很少的时间,因此实际上没有理由不这样做。因此,尽管您必须用复杂的通行模式覆盖多次的谬误已经足够广泛,以至于所有“安全删除”软件都默认使用多个通行证,但是覆盖这些默认值的意义不大。当我使用shred(默认通过次数:3)时,我让它进行3次通过。当我在Windows上使用橡皮擦时(文件的默认通过次数:35),我让它进行35次通过。(在删除硬盘驱动器上的可用空间时,默认情况下橡皮擦仅一次通过;这也让我默认运行。)

因此,您的问题(需要通过多少张?)的答案是:“一张。” 您隐含问题的答案(我应否覆盖粉碎的默认3遍?):“不。”

另一方面,如果您是政府机密人员,那么,单凭通行证确实是不够的,因为您确实拥有中国的数据。但是,如果是这种情况,您应该问您的上级/处理者,您的机构有关安全删除敏感数据(而不是SU)的法规是什么。;-)

注意事项:基于Flash的媒体使用称为“损耗平衡”的系统来延长设备的使用寿命。如果不详细说明该术语的含义或背后的原因,则意味着您不能真正安全地删除基于Flash的介质上的文件,除非您安全地擦除整个介质,甚至不能始终保证耗损均衡算法不会留下您无法写入的未擦除数据。对于基于闪存的媒体,最好的选择是使用强密码简单地加密传输到该媒体上的所有敏感数据。

TrueCrypt的文档对这个问题以及解决方法进行了精彩的讨论


一个很棒的答案有很多很多优点。太糟糕了,我只能给一个。:(
CajunLuke 2011年

4
完全钉住了它。我还要补充一点,旧的35遍古特曼擦拭纸假定您不知道使用哪种类型的驱动器,因此,这种运行模式特定于MFM和其他过时的设计
Journeyman Geek

关于磁盘的一个警告是,理论上可以通过偏移磁头来恢复一些数据,以拾取硬盘温度较高或较低时写入的数据,因此磁头的位置略有不同。但是我从未听说过这种技术实际被采用(至少在NSA之外)。
Daniel R Hicks

1
@Kromey-现代驱动器使用伺服反馈来进行磁头定位,这是一种温度补偿技术。旧驱动器一次使用步进电机。使用其中之一,您可以在未加热的车库中将计算机停电整夜,使其完全无法找到磁道0。启动计算机,让其运行半个小时,将其重置,然后启动,因为盘片足够大,可以放入读/写磁头下方的磁道。这就是为什么我们将服务器留在店里过夜。
Fiasco Labs

1
我喜欢这个人如何报道“如果您是特工”的场景。
Dushyant Bangal,

16

这是一个老问题,但是鉴于我具有法医数据恢复经验,我不得不花两分钱。

所提出的问题纯粹是学术性的,因此此答案也纯粹是学术性的。实际上,接受的答案是正确的。一遍就足以使驱动器上的数据不可恢复。但是,政府强制执行多次通行证是有原因的

人们将硬盘视为数字设备。磁性钻头排列紧密,并被驱动头“翻转”或翻转。但是实际上,就磁介质的物理而言,硬盘驱动器是一种模拟设备。盘片的表面涂有一层充满了磁偶极子的基板,这些磁偶极子小于它们正在编码的数字“位”。一个方向相对于另一方向的足够数量的这些偶极子在各个位级别构成了净电阻。这是电阻的阈值,其确定一个位是否被解释为一个1或0,而不是数字“接通”或“断开”的极性。

就驱动器的电子设备而言,来自磁头的电信号是经过调制的正弦波,而不是1和0的比特流。这正是磁带几十年前记录音频信号的方式-直到现在,基材的密度才高得多,我们正在使用数学从模拟“噪声”中提取数字信号。

现在,从物理上讲,不可能制造出100%完美的拼盘,即使您可以,操作环境也不是100%完美的。在现代硬盘驱动器的物理规模上,实际上有数百种因素共同造成信号中的微观缺陷,并且它们构成的问题足够严重,以至于典型驱动器上最多有1-2%的空间是在纠错上“浪费”以处理它们。你的硬盘是从字面上错误中恢复所有的时间。正常的硬盘驱动器操作实际上是一种概率游戏,其中“好”扇区只是那里编码的数据准确的n%概率。


现在,让我们看一下坏扇区的情况,您可以看到如何将相同技术应用于好扇区。

如果某个扇区被标记为“坏”(由控制器而不是由操作系统标记),则意味着特定扇区内所有数据位的全部概率(从整体上来看)已降至数学可恢复性阈值以下通过驱动器的纠错算法。但这并不意味着位实际上是死的; 只是控制器不能确定它们是正确的。

但是,您可以通过读取数百或甚至数千次来恢复损坏的扇区,具体取决于损坏的严重程度。随着对“坏”扇区的每次通过,该扇区的读取方式都略有不同。盘片摆动,温度,振动,时钟偏斜等可能都略有不同。但是,如果将每个通道与足够次数之前的数千个通道进行比较,则可以(在绝对确定性基础上稍有不足)恢复坏扇区对您造成的损坏之前包含的数据。这正是SpinRite等数据恢复软件的工作方式。

现在让我们将该逻辑应用于“良好”部门。单次擦拭驱动器时,控制器会100%确定每个扇区包含填充驱动器的位模式。但是这些读取中仍然存在错误,并且控制器仍在纠正它们。 这些错误中的一些是环境错误,但是很可能其中许多错误也是该部门被覆盖之前存在的所有数据的残余。

请记住,我们在这里谈论的是数十年来在录音带上使用的相同技术。并非所有这些磁偶极子都在单次通过时就被翻转了,因此噪声中仍然存在“重影”信号。

引用《神话破坏者》的亚当·萨维奇(Adam Savage)的话:“我拒绝你的现实,取而代之的是我自己的现实。” 如果将驱动器的控制器(具有擦除数据模式的数学确定性)从方程式中剔除,然后查看正好从驱动器电子设备发出的正弦波,则理论上可能可以重建驱动器上存在的数据在擦除之前-就像我们以前使用“擦除”的录音带一样。

或者可能不是。尼克松水门录像带缺席了18分钟,这无济于事...还是呢?;-)


现在,这可行吗?这样的设备确实存在吗?也许。也许不吧。如果这样做的话,那肯定是国家机密。但是由于从理论上讲是可能的,因此从理论上讲您必须加以防范。这意味着对多个位模式进行多次扫描,以尽可能多地扰乱该幻影信号。

如果您是要抹除机密数据的政府,请务必考虑。如果这是您的秘密藏身之地,则可能不是(除非您的妻子为NSA工作)。


3
过多的思考和努力不赞成这一点。
戴蒙

顺便说一句,如果我在硬盘驱动器上有状态机密,那么我将不相信任何数量的覆盖。我会选择角磨机或喷灯。
Marc.2377
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.