数据剩磁是神话吗?

信息安全 数据泄露 数据恢复 数据剩余
2021-08-09 23:25:54

可能重复:
为什么在硬盘驱动器上多次写入零(或随机数据)比只执行一次要好?

多次覆盖经常被讨论为擦除数据的安全方式。有人说,安全擦除磁性 HDD 的唯一方法是物理销毁设备,将每个盘片磨成粉末,焚烧等。

如果我问一次覆盖是否会使数据永久无法恢复,我会得到不同的答案。有人说这是旧硬件的问题,也有人说它仍然是。尽管许多人认为这可以使用磁力显微镜等技术来完成,但我还没有遇到过一个单一的零覆盖被恢复的情况。

似乎一般人都在谨慎行事,假设一个神秘的政府实体拥有一些疯狂的电子显微镜设备,能够在单次甚至多次覆盖后恢复数据。

虽然这显然是明智的选择,因为以这种方式切碎磁盘并不需要很多时间,但问题仍然存在;有必要吗?

2个回答

我能给出的最好的引文来自覆盖硬盘数据:大擦除争议,它是作为第四届信息系统安全国际会议的一部分出版的,ICISS 2008您可以通过在 Google 图书上查看该书并跳转到第 243 页来查看论文的全文。

以下摘录来自他们的结论:

本文的目的是彻底解决围绕误解的争议,这些误解涉及相信数据可以在擦除程序后恢复。这项研究表明,即使数据很小或仅在硬盘驱动器的小部分上发现,正确擦除的数据也无法合理地检索。即使使用 MFM 或其他已知方法也不行。认为可以开发一种工具来从擦除的驱动器中检索 GB 或 TB 的信息数据的信念是错误的。

尽管从驱动器中恢复任何单个位的可能性很大,但使用电子显微镜从驱动器中恢复任何数量的数据的可能性微乎其微。即使推测可能恢复旧驱动器,也不可能从驱动器中恢复任何数据。使用电子显微镜对数据进行取证恢复是不可行的。这在旧驱动器上都是正确的,并且变得更加困难。此外,需要在原始未使用的驱动器上写入数据然后擦除数据,以便即使在位级别也有任何恢复级别的希望,这并不反映真实情况。恢复的驱动器不太可能在一段时间内未使用以及碎片整理的相互作用,文件副本和覆盖数据区域的一般使用否定了任何数据恢复的机会。需要消除使用电子显微镜或相关手段对数据进行取证恢复的谬论。

NIST 似乎也同意。NIST SP 800-88中,他们声明如下:

研究表明,当今的大多数媒体都可以通过一次覆盖有效地清除。

清除信息是一种媒体清理过程,可保护信息的机密性免受实验室攻击。对于某些介质,清除介质不足以进行清洗。但是,对于 2001 年之后制造的 ATA 磁盘驱动器(超过 15 GB),清除和清除这两个术语已经融合。

因此,我会说现代硬盘驱动器上的数据剩余是一个完整的神话,对于旧驱动器来说也可能是不可行的。

因此,作为一组快速的要点:

  • 可能能够在一次覆盖后提取单个位,但不能提取任何有用的数据量。
  • 由于日常使用(文件副本等)的影响,从实验室条件外的已擦除磁盘区域恢复任何数据,即使是位级别的数据也是完全不可行的。
  • 出于所有意图和目的,一次覆盖提供了针对有用数据恢复的完整保护。

像往常一样,Wikipedia 页面包含有用的链接(Wikipedia 不是“真相”,但它是调查技术问题和自己思考的一个很好的起点)。特别是,它说:

自 2007 年 11 月起,美国国防部认为在同一安全区域/区域内清除磁介质的覆盖是可接受的,但不是一种消毒方法。后者只能接受消磁或物理破坏。

另一方面,根据 2006 年 NIST 特别出版物 800-88(第 7 页):“研究表明,今天的大多数媒体都可以通过一次覆盖有效地清除”和“对于 2001 年之后制造的 ATA 磁盘驱动器(超过 15 GB)清除和清除这两个术语已经融合。” Wright 等人的分析。包括磁力显微镜在内的恢复技术也得出结论,现代驱动器只需要一次擦拭。他们指出,多次擦除所需的长时间“造成了许多组织忽视这个问题的情况——导致数据泄露和丢失。”

因此,一般的结论似乎是简单的覆盖很可能会删除所有数据,但如果您需要遵守某些官僚规定,则可能仍需要旧式物理删除。请注意,关于数据清理,您有两个需求:

  • 你想清除数据;
  • 您要确保数据已被彻底清除。

大锤或酸大锅将大大有助于实现后一个目标。