是否可以使用取证从硬盘驱动器中恢复安全删除的数据?

信息安全 取证
2021-08-12 08:29:47

是否可以使用取证从硬盘驱动器安全地恢复(或清除)已删除的数据?

想象一下,警察逮捕了一名黑客,而该黑客在被抓到之前,已经使用安全删除方法在他/她的 PC 上删除了所有导致他/她被判有罪的信息。在这种情况下,警方取证(或任何部门)是否有可能恢复已删除的数据?

4个回答

您的问题中的单词定义有问题。

如果硬盘已被安全擦除,根据定义,则无法恢复。如果硬盘没有被安全擦除,根据定义,恢复可能的。

也许您的意思是:各种擦除硬盘驱动器的方法有多安全?非常安全,假设您正在谈论“传统”驱动器(带有磁性旋转盘片)并且您使用像Darik 的 Boot And Nuke(又名 DBAN)这样的知名产品

关于如何安全擦除固态驱动器存在一些问题,因为驱动器具有在其整个内存空间中均匀(透明)分布读取和写入操作的内置能力。这样做是为了延长驱动器的使用寿命,但会阻碍安全擦除操作。

如果您想安全擦拭,首先格式化驱动器,然后打开机箱,在盘片上运行稀土磁铁,用重锤和扳手在它们上工作几分钟,最后放下它们变成营火,然后不行,警察将无法恢复数据。

如果您在运行某些“安全擦除 h4xOr 工具”方面考虑安全擦除,那么对不起,您不走运。至少,如果您在该磁盘上拥有的任何东西都值得付出努力。

即使在被覆盖了十几次之后,也很有可能(而且不难,只是昂贵)从磁性存储中重建数据。自 1970 年代以来,黑匣子或多或少地经常发生这种情况。诚然,从那时起,数据密度增加了几个数量级,而且很可能无法 100% 恢复,但您必须期望可以恢复足够的量。
是否可能并不重要,但您(或磁盘上的数据)是否重要到足以证明费用合理。

此外,现代驱动器越来越多地执行磨损均衡(特别是 SSD每次写入都会这样做)。这意味着您几乎无法控制在执行安全擦除时实际覆盖的数据。您可能正在执行“安全擦除”并且完整的数据仍在磁盘上。
SSD 通常会加密所有数据以提高磨损均衡的效率(使数据随机化,而不是为了安全!),但您不能相信执法部门无法恢复加密密钥。所有现代驱动器都有一个可擦除的解锁键序列,可能还存在一个秘密的、非擦除键的解锁键序列供执法部门使用。
圆柱锁和保险箱/安全容器就是这种情况,假设磁盘驱动器不存在这样的东西是不合理的。

也就是说,即使您的黑客使用正确的软件(提供完美的可否认性)使用全盘加密,而警方也无法恢复数据,甚至无法证明存在任何东西,但这也不是确定的事情.
同样,这仅取决于驱动器上的数据的重要性,以及谁在跟踪您。
虽然它可能感觉很酷“因为愚蠢的警察无法证明是胡说八道”,但当你头上戴着麻袋并且被橡胶软管殴打或被水刑时,感觉几乎没有那么酷。如果有人真的想知道你的加密密钥,你会告诉他们。相信我,你会的。

如建议的那样,如果使用简单的“删除”机制删除文件,则实际上并未从驱动器中删除数据。仅删除目录条目;数据仍然存在并且很容易恢复。

相反,如果现有数据块被覆盖,那么取证恢复实际上是不可能的。一些统计重建有时可以通过大量的努力在小范围内进行,但这主要是学术追求。实际上,从现代驱动器中恢复数兆字节的数据远远超出了任何现有实验室的能力。

也就是说,某些文件系统(例如:ZFS、BTRFS,有时是 NTFS)以及某些媒体(例如:SSD)不会直接覆盖现有块,而是会将更新写入驱动器上新的空白空间,留下原始数据原封不动。这进一步使“安全删除”过程复杂化。

在低级别(而不是通过文件系统)一次性擦除整个驱动器可以规避大多数这些警告,并且再次使恢复变得极其困难。

如果您将一个完全被零覆盖的硬盘驱动器带到任何取证恢复实验室,您将获得 0.00% 的恢复率。事实上,如果你告诉他们发生了什么,大多数地方甚至不会接受挑战。

写入硬盘的磁数据可以被覆盖,但原始数据仍然存在,信号电平较低。因此,借助聪明的软件,也可能使用特殊的磁头,您可以读取不同级别的磁化强度。它也只有 0 或 1 记录在每个位上,这使得在物理上恢复信息稍微容易一些。

因此,真正隐藏信息的唯一方法是融化盘片。

请注意,如果您有混合驱动器,请不要忘记闪存芯片。