12月2号,塞科姆湖发生了枪击案,死14人,伤22人。FBI在获知罪犯将一块可能记录有相关邮件和证据的硬盘丢入湖中后,对该湖进行了搜查。
数据取证专家表示,如果只是泡个水,数据很容易恢复,要毁掉一块硬盘有更有效的方法。
硬盘驱动器很像电唱机数据以1和0记录在铝、陶瓷或玻璃制成的盘片上,那玩意儿看起来就像CD。盘片固定于轴心上,由轴心控制它的旋转;磁头通过电流在盘片上读写数据。驱动器和其他电子元件控制着整个过程。
水会令电子元件短路,但也仅限于此。闪回数据公司(Flashback Data)董事长 Russell Chozick 解释说:“无论湿不湿,数据依然在盘片上。”只要盘片没有变干(如果干了会留下难以清理的残渣),专家就可以相对轻松地恢复数据。
Chozick 说,如今的固态硬盘和闪存存储器会更容易“溺死”,它们大多配有板载加密,也就是说设备的电路板必须解码存储芯片上的一切记录。然而,固态硬盘目前只占有1/3 PC 硬盘市场,因此传统的旋转驱动仍然是主要关注点。
那么,有什么比水好使的东西吗?电视和一些IT人士告诉过我们,将磁铁靠近硬盘不一定能有效地毁掉数据。Backblaze 的CEO和合伙人 Gleb Budman 解释说:首先要解决大部分硬盘用于保护盘片的钢制外壳,将磁力够强的磁铁,靠的离硬盘足够近,一定可以毁掉数据。但是如果你想确保万无一失,撕碎盘片会更安全。
用螺丝刀和锤子可以在几分钟内轻松打开硬盘,使用蛮力是迅速毁掉硬盘的最佳方法。Chozick说:“笔记本硬盘驱动器使用的是玻璃盘片,如果你砸的够用力,玻璃会粉碎,并且没人可以将其恢复。”(其实某些情况下,虽然恢复艰难,但并非不可能。例如,2012年桑迪岬小学枪案发生后,调查者将 Adam Lanza 粉碎的硬盘恢复了,不过整个过程漫长而又昂贵。)
台式机的硬盘大多是铝的,更费事些。一条大刮痕,可以防止设备初始化,并妨碍传统的数据恢复工作。盘片上的大小裂痕也能起同样的效果。但 Budman 说,先进的取证实验室有可能可以读出破损盘片上的数据,他们没必要让硬盘动起来;他们可以查看盘片上的单独区块,专家们可以据此恢复足够多的0和1,读出数据。
在盘片上钻孔,发热会轻易造成大规模破坏。这可能会扭曲盘片本身,而且可能导致所有其他盘片都发生些微改变。而想令数据完全无效并不需要太大的改变,一点就足够了。
如果不够放心,可以用酸来测地打消疑虑,用酸将盘片上所有信息都剥离,就可安枕无忧了。
当然,还有不那么暴力的硬盘清理方式。Windows 和 Mac OS X 有具有安全擦除硬盘数据的实用工具,可以用随机的0和1覆盖现有内容。Budman 建议新设备可以重复擦除2次,而老设备最好擦除7次,否则一些先进的取证实验室可能可以从覆盖内容上找出一些“鬼”。
Chozick 告诫说,覆盖了杂乱磁轨的硬盘仍然是个危险信号,比较起诉案中,如果你的设备被质疑,结果却发现内容被清了,那不就摆明了你确实有问题。反正陪审团知道了肯定不会高兴的。
原文发布时间为:2015-12-23