在使用电脑的过程中,总会有很多痕迹,包括存储的文件、上网时生成的cookie、注册表信息、缓存等等。这个信息是不能直接删除的,这也是为什么即使在电子数据的情况下删除了信息,也可以通过取证来检索被删除的信息。
对于一般用户来说,最直接的方式就是删除信息,也就是Shift Delete直接;或者先删进回收站,再清空回收站。但是,这两种方法都不能完全删除文件、信息等等。
要找出问题的根源,需要从数据存储和删除的原理入手。
当我们将数据存储到硬盘时,我们会在将文件放入之前选择存储路径。把硬盘想象成一本书,我们就有了目录和章节的内容。事实上,存储文件相当于添加目录和内容。此外,我们的数据以二进制模式存储在硬盘上。从物理角度来说,我们不知道硬盘的哪个区域存储了什么内容。我们可以通过计算机的文件路径知道文件的存储位置。这也是因为操作系统会根据硬盘的扇区数据分配文件位置,我们看到的所有数据都显示为文件和目录。下次访问该文件时,您可以通过操作系统显示的路径直接访问它。
而且,删除相当于删除硬盘上存储这个文件的目录。我们访问这个目录找不到这个文件,但是这个文件的内容仍然存在于书里(硬盘上),但是通过电脑的文件路径找不到。
在下次出现新内容之前,该文件不会被完全删除,因为它已经覆盖了标记为删除的部分。
原则上,如果只修改文件头的前两个代码,文件将被标记为删除,而真实的文件内容仍将保存在数据区,不会被删除。直到后来写入数据,这个数据区才会被覆盖,这样就可以完全删除原来的数据。
根据删除原理,只要找到删除标记,就可以删除数据,恢复数据。这就是为什么我们复制和粘贴同一个文件比删除它要花更长的时间。
为了完全删除数据,需要销毁数据。
数据销毁的基本方式可以分为硬销毁和软销毁。
硬销毁是指通过物理手段对硬盘进行销毁,达到销毁数据的目的,如用锤子砸盘、烧硬盘、用刀切割、用强磁铁吸引等。但也意味着硬盘报废了。即便如此,也不能绝对保证不被恢复,因为如果破坏程度不够,还是有可能恢复数据片段的。
软销毁,也称为逻辑销毁,是指通过数据重写的方式销毁数据,即通过0、1等数字重写原始文件所在的区域。这使得原始文件不可能被完全删除和恢复。这个原理也是这台机器常用的文件粉碎功能,不过这个功能要看各个厂商的开发实力。
有的厂家只找数据段擦除,就是用01填充数据段。同时,为了提高效率,他们一般不会擦除所有的数据段。
此外,文件的目录段的踪迹,即数据存储路径,仍然不能被完全移除。不需要完全去除数据碎片,通过重组碎片文件也可以发现文件内容的很多痕迹。该方法广泛应用于电子取证。
事实上,销毁意味着在文件标记删除区重新填充数字01。所以吹能量能快速摧毁的软件肯定不可信。为了保证数据安全,建议先加密数据。
恢复数据就用易我
数据恢复软件