论文部分内容阅读
编者按：新的一年，“高手论技”继续伴随大家前行，身处一线的你，就那些技术上最常遇到的故障、最需要解决的难题、最成熟的应用……都可以在此畅所欲言，各抒己见。是继续围观还是现身说法，新浪微群http://q.t.sina.com.cn/264976，期待您的共同参与。
在信息化时代，“数据”扮演着越来越重要的角色，继上期主持人详细地剖析了数据恢复的种种情况之后，本期，主持人与嘉宾将更加深入地对数据的销毁和恢复展开探讨。
应用沙龙
数据安全的矛和盾：数据的销毁和恢复大家谈
主持人：
刘宗凡 广东省四会市四会中学
嘉宾：
邱元阳 河南省安阳县职业中专
刘树明 广东省深圳市第二实验学校
刘宗凡：数据的重要性大家应该都有所认识。上一期我们主要介绍了一些数据恢复方面的技能。其实对数据安全来说，数据的销毁和恢复同样意义重大。这就是数据安全的两面，仿佛战场上攻防的矛和盾。在数据安全方面很多普通用户存在着一些认识上的误区，首先请各位嘉宾聊聊我们有哪些要注意的地方。
邱元阳：我谈谈大家最常使用的回收站。有些人认为回收站被清空后，要找回被删除的文件很麻烦。其实，要找到清空的回收站中的文件并不是很难，不用数据恢复软件就能实现。它的好处是可以看到哪些文件是曾经被删除后清空的，比用数据恢复软件进行大海捞针要迅速得多。但这些信息对用户来说可能是敏感的，要特别注意保护自己的信息。
通过修改注册表的方法，可以让回收站显示出被清空过的文件，并可能完全还原。注册编辑器应为注册表编辑器：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace”项，右击鼠标，选“新建—项”，将其命名为“{5FFO40-5081-101B-9F08-00AA002F954E}”，选中这个项，再把右边的“默认”键值设为“回收站”，退出注册表，重启计算机就行了。
刘宗凡：邱老师的这个方法既简单又巧妙，对我们更有一个警示的作用：对于敏感数据，千万别以为清空回收站就万事大吉了。
刘树明：不仅是回收站不靠谱，有些人认为格式化硬盘（高级格式化）能快速销毁数据，这也是极其错误的。格式化是指对磁盘或磁盘中的分区进行初始化的一种操作，这种操作通常会导致现有的磁盘或分区中所有的文件被清除。格式化的动作通常是在磁盘的开端写入启动扇区的数据，在根目录记录磁盘标签，为文件分配表保留一些空间，以及检查磁盘上是否有损坏的扇区。从它的操作过程就可以看出，格式化只是对硬盘的“目录”进行了处理，因此很多软件都可以完整地恢复格式化以后的硬盘中的数据。
邱元阳：还有一个误区，有些人以为高级格式化不能彻底销毁敏感数据，那么低级格式化（低格）应该可以了吧？答案也不是那么肯定！低格过程要用全0对所有位置进行填充，因而也是一种信息覆盖过程，理论上不可能再进行数据恢复。但是，由于磁头不可能绝对精确，覆盖时都会在原位置边缘留下完整的遗迹（软盘时代这个现象很常见，甚至利用这个原理可以用提高记录密度的方法扩充磁盘容量），这就使得数据恢复成为可能。低格后硬盘信息依然有可能被重新读取，不是因为低格没有覆盖信息，而是因为擦写后还有遗留的磁信息，基于剩磁原理的专用软硬件可以恢复部分数据。当然，如果不是非常有用的数据，这种恢复的实用价值和付出代价是不成比例的，所以可以基本上认为低格是能够销毁数据的。
刘宗凡：那要彻底销毁敏感数据，我们一般有什么办法？
邱元阳：很多安全软件，如诺顿、瑞星都带有文件粉碎功能，确保重要文件粉碎后不留痕迹。文件粉碎实际上也是一种信息覆盖过程，用随机的垃圾信息覆写在文件所在的位置。
其实，对于被覆盖的信息，也有读取的可能。利用磁盘的电气特性，通过专业设备也可以恢复其中的数据。磁盘中用磁化信号的强弱来表示数据位中的0和1，当磁头向磁盘写入数据时，它会将磁化数据位的信号调整到适当的强度，这个强度又不能太高，以免影响相邻的数据位，因而这种信号强度不足以使存储媒介达到饱和的磁化状态，所以实际记录在媒介上的信号会受到以前保存在同一位置的信号的影响。例如，如果原来记录的数据位是0，现在被一个1覆盖，那么实际记录在磁盘媒介上的信号强度肯定不如原来数据位是0的强度高。还有纵向磁记录的特点也可能使小磁柱的下层没有被充分磁化而保留了原来的数据信息，这就为设备分析提供了可能。专用的硬件设备能够精确地检测出信号强度的实际值，用这个值减去当前数据位的标准强度，就得到了被覆盖数据的副本。理论上，这个过程可以向前递推七次。据说美国的尖端技术可以做到七层相变，即可以将经过七次覆盖的硬盘数据读取出来，不过代价极高。因而有些国家的军方对保密信息的销毁的标准是七次填充覆盖，甚至消磁或物理销毁。一般的信息消除，用三次覆盖就已经足够。
原理归原理，需要指出的是，覆盖数据的恢复极其困难，并非有些人传的那样神乎其神，甚至故弄玄虚，说什么利用克尔效应使用偏振光读取盘片信息的读盘机，以及使用磁力显微镜生成磁力图像读取信息等。
刘宗凡：看了上面的讨论，很多人可能会抹一把汗：原来电脑里的数据删除操作这么不靠谱啊。为了避免重要信息造成泄漏，我们要删除重要文件时，最好使用安全软件的文件粉碎功能来实现。
数据安全的一个方面是安全销毁，另一个方面是数据丢失时如何成功恢复。数据恢复我们还要注意哪些方面呢？
邱元阳：数据不怕删除，就怕覆盖。被删除的数据，可以有很多简单的工具软件来轻易恢复；但是被覆盖了的数据，这些软件往往无能为力。覆盖分两种情况，一是文件被同名文件覆盖，特别是小文件被大文件覆盖，那就欲哭无泪了；二是被删除后的文件所在的存储位置被其他文件覆盖，也几乎没有恢复的可能了。因而误删文件后首要的事是保护好文件所在的硬盘分区，避免再有数据写入，以方便恢复数据。
刘树明：我们在重要数据遭遇到意外后，切不可粗心大意，也不要慌乱，冷静下来按部就班处理，通常可以将损失降到最低。很多时候，意外就是由于误操作造成的，如果一时忙乱，再执行一些错误的操作，错上加错，接下来的情况就会更糟了。正确的做法是一定要停止一切操作，定住神，确认自己非常明白自己在做什么之后，再去执行后续的操作。
数据恢复还有一个不为很多人知道的很强的工具Winhex，Winhex有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；它能够编辑任何一种文件类型的二进制内容（用十六进制显示），其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。它是计算机取证、数据恢复、低级数据处理以及保障IT安全、应对各种日常紧急情况的高级工具，在检查和修复各种文件、恢复删除文件、硬盘损坏、数码相机卡损坏造成的数据丢失等方面有重要的应用。跟上期介绍的几款工具相比，如果说那些软件是高级程序语言，Winhex则相当于汇编语言，功能强劲，甚至能够直接从最底层去查看和编辑标记为RAW分区上的信息，并将RAW格式磁盘上任意的一个区段的信息拷贝出来以文件的形式存放到其他盘上。要熟练运用它，所需要掌握的各种文件系统的知识也要更深入，才能更得心应手。
另外，在类Unix系统上面，都没有像Windows系统的回收站机制，加上它们牵涉的文件系统很多(各种文件系统及它们的变种总共有五六十种之多，而且不断有改进型的文件系统出现)，每种文件系统的存储原理并不一样。所以在Unix和Linux上面如果用rm命令误删除了文件，尽管从理论上来说，文件信息还在磁盘上面保留着，但是根本没有统一的方法来恢复删除，而且这些系统通常所在的服务器都是24小时不能中断服务的，也就是说，不但不能将硬盘取下来借助Winhex等Windows平台下面的工具进行修复，甚至连阻止继续往硬盘上写数据都是不可能的，一旦被删除的文件所在的扇区写了别的文件，那么从理论上讲都不可能恢复原来的文件了。所以绝大多数情况下在类Unix系统下面删除文件都是恢复不回来的，我们能做的只能是尽量避免出现误删除的情况。
在信息化时代，“数据”扮演着越来越重要的角色，继上期主持人详细地剖析了数据恢复的种种情况之后，本期，主持人与嘉宾将更加深入地对数据的销毁和恢复展开探讨。
应用沙龙
数据安全的矛和盾：数据的销毁和恢复大家谈
主持人：
刘宗凡 广东省四会市四会中学
嘉宾：
邱元阳 河南省安阳县职业中专
刘树明 广东省深圳市第二实验学校
刘宗凡：数据的重要性大家应该都有所认识。上一期我们主要介绍了一些数据恢复方面的技能。其实对数据安全来说，数据的销毁和恢复同样意义重大。这就是数据安全的两面，仿佛战场上攻防的矛和盾。在数据安全方面很多普通用户存在着一些认识上的误区，首先请各位嘉宾聊聊我们有哪些要注意的地方。
邱元阳：我谈谈大家最常使用的回收站。有些人认为回收站被清空后，要找回被删除的文件很麻烦。其实，要找到清空的回收站中的文件并不是很难，不用数据恢复软件就能实现。它的好处是可以看到哪些文件是曾经被删除后清空的，比用数据恢复软件进行大海捞针要迅速得多。但这些信息对用户来说可能是敏感的，要特别注意保护自己的信息。
通过修改注册表的方法，可以让回收站显示出被清空过的文件，并可能完全还原。注册编辑器应为注册表编辑器：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace”项，右击鼠标，选“新建—项”，将其命名为“{5FFO40-5081-101B-9F08-00AA002F954E}”，选中这个项，再把右边的“默认”键值设为“回收站”，退出注册表，重启计算机就行了。
刘宗凡：邱老师的这个方法既简单又巧妙，对我们更有一个警示的作用：对于敏感数据，千万别以为清空回收站就万事大吉了。
刘树明：不仅是回收站不靠谱，有些人认为格式化硬盘（高级格式化）能快速销毁数据，这也是极其错误的。格式化是指对磁盘或磁盘中的分区进行初始化的一种操作，这种操作通常会导致现有的磁盘或分区中所有的文件被清除。格式化的动作通常是在磁盘的开端写入启动扇区的数据，在根目录记录磁盘标签，为文件分配表保留一些空间，以及检查磁盘上是否有损坏的扇区。从它的操作过程就可以看出，格式化只是对硬盘的“目录”进行了处理，因此很多软件都可以完整地恢复格式化以后的硬盘中的数据。
邱元阳：还有一个误区，有些人以为高级格式化不能彻底销毁敏感数据，那么低级格式化（低格）应该可以了吧？答案也不是那么肯定！低格过程要用全0对所有位置进行填充，因而也是一种信息覆盖过程，理论上不可能再进行数据恢复。但是，由于磁头不可能绝对精确，覆盖时都会在原位置边缘留下完整的遗迹（软盘时代这个现象很常见，甚至利用这个原理可以用提高记录密度的方法扩充磁盘容量），这就使得数据恢复成为可能。低格后硬盘信息依然有可能被重新读取，不是因为低格没有覆盖信息，而是因为擦写后还有遗留的磁信息，基于剩磁原理的专用软硬件可以恢复部分数据。当然，如果不是非常有用的数据，这种恢复的实用价值和付出代价是不成比例的，所以可以基本上认为低格是能够销毁数据的。
刘宗凡：那要彻底销毁敏感数据，我们一般有什么办法？
邱元阳：很多安全软件，如诺顿、瑞星都带有文件粉碎功能，确保重要文件粉碎后不留痕迹。文件粉碎实际上也是一种信息覆盖过程，用随机的垃圾信息覆写在文件所在的位置。
其实，对于被覆盖的信息，也有读取的可能。利用磁盘的电气特性，通过专业设备也可以恢复其中的数据。磁盘中用磁化信号的强弱来表示数据位中的0和1，当磁头向磁盘写入数据时，它会将磁化数据位的信号调整到适当的强度，这个强度又不能太高，以免影响相邻的数据位，因而这种信号强度不足以使存储媒介达到饱和的磁化状态，所以实际记录在媒介上的信号会受到以前保存在同一位置的信号的影响。例如，如果原来记录的数据位是0，现在被一个1覆盖，那么实际记录在磁盘媒介上的信号强度肯定不如原来数据位是0的强度高。还有纵向磁记录的特点也可能使小磁柱的下层没有被充分磁化而保留了原来的数据信息，这就为设备分析提供了可能。专用的硬件设备能够精确地检测出信号强度的实际值，用这个值减去当前数据位的标准强度，就得到了被覆盖数据的副本。理论上，这个过程可以向前递推七次。据说美国的尖端技术可以做到七层相变，即可以将经过七次覆盖的硬盘数据读取出来，不过代价极高。因而有些国家的军方对保密信息的销毁的标准是七次填充覆盖，甚至消磁或物理销毁。一般的信息消除，用三次覆盖就已经足够。
原理归原理，需要指出的是，覆盖数据的恢复极其困难，并非有些人传的那样神乎其神，甚至故弄玄虚，说什么利用克尔效应使用偏振光读取盘片信息的读盘机，以及使用磁力显微镜生成磁力图像读取信息等。
刘宗凡：看了上面的讨论，很多人可能会抹一把汗：原来电脑里的数据删除操作这么不靠谱啊。为了避免重要信息造成泄漏，我们要删除重要文件时，最好使用安全软件的文件粉碎功能来实现。
数据安全的一个方面是安全销毁，另一个方面是数据丢失时如何成功恢复。数据恢复我们还要注意哪些方面呢？
邱元阳：数据不怕删除，就怕覆盖。被删除的数据，可以有很多简单的工具软件来轻易恢复；但是被覆盖了的数据，这些软件往往无能为力。覆盖分两种情况，一是文件被同名文件覆盖，特别是小文件被大文件覆盖，那就欲哭无泪了；二是被删除后的文件所在的存储位置被其他文件覆盖，也几乎没有恢复的可能了。因而误删文件后首要的事是保护好文件所在的硬盘分区，避免再有数据写入，以方便恢复数据。
刘树明：我们在重要数据遭遇到意外后，切不可粗心大意，也不要慌乱，冷静下来按部就班处理，通常可以将损失降到最低。很多时候，意外就是由于误操作造成的，如果一时忙乱，再执行一些错误的操作，错上加错，接下来的情况就会更糟了。正确的做法是一定要停止一切操作，定住神，确认自己非常明白自己在做什么之后，再去执行后续的操作。
数据恢复还有一个不为很多人知道的很强的工具Winhex，Winhex有完善的分区管理功能和文件管理功能，能自动分析分区链和文件簇链，能对硬盘进行不同方式不同程度的备份，甚至克隆整个硬盘；它能够编辑任何一种文件类型的二进制内容（用十六进制显示），其磁盘编辑器可以编辑物理磁盘或逻辑磁盘的任意扇区，是手工恢复数据的首选工具软件。它是计算机取证、数据恢复、低级数据处理以及保障IT安全、应对各种日常紧急情况的高级工具，在检查和修复各种文件、恢复删除文件、硬盘损坏、数码相机卡损坏造成的数据丢失等方面有重要的应用。跟上期介绍的几款工具相比，如果说那些软件是高级程序语言，Winhex则相当于汇编语言，功能强劲，甚至能够直接从最底层去查看和编辑标记为RAW分区上的信息，并将RAW格式磁盘上任意的一个区段的信息拷贝出来以文件的形式存放到其他盘上。要熟练运用它，所需要掌握的各种文件系统的知识也要更深入，才能更得心应手。
另外，在类Unix系统上面，都没有像Windows系统的回收站机制，加上它们牵涉的文件系统很多(各种文件系统及它们的变种总共有五六十种之多，而且不断有改进型的文件系统出现)，每种文件系统的存储原理并不一样。所以在Unix和Linux上面如果用rm命令误删除了文件，尽管从理论上来说，文件信息还在磁盘上面保留着，但是根本没有统一的方法来恢复删除，而且这些系统通常所在的服务器都是24小时不能中断服务的，也就是说，不但不能将硬盘取下来借助Winhex等Windows平台下面的工具进行修复，甚至连阻止继续往硬盘上写数据都是不可能的，一旦被删除的文件所在的扇区写了别的文件，那么从理论上讲都不可能恢复原来的文件了。所以绝大多数情况下在类Unix系统下面删除文件都是恢复不回来的，我们能做的只能是尽量避免出现误删除的情况。