linux -/dev/zero或/dev/random-什么更安全，为什么？

Question

谁能告诉我为什么从硬盘驱动器上清除数据时出于安全性考虑首选/dev/random？

Answer 1

简单的答案，/dev/random不是首选。两者同样安全。使用/dev/zero可以更轻松地进行验证。还可以减少CPU使用量，并且可能更快。

更完整的答案。对于现代硬盘驱动器，盘片密度是如此之大，以致无法从不完全覆盖的驱动器扇区中获取信号，就像古特曼(Gutmann)这样的人写了很多年前。就现代硬盘驱动器而言(我将其放置为任何容量可以以GB或更高为单位的硬盘驱动器)，如果被覆盖，它就不复存在了。故事结局。因此，将数据更改为什么都没有关系。只是您更改数据。

除此之外，即使您完全擦除硬盘驱动器，在硬盘驱动器的固件重新映射的扇区中，驱动器上仍可能残留有数据，但这些数据相对较少，并且仅包含非常少量的数据。在其中，更不用说您需要非常专业的设备来检索该数据(您必须在驱动器的G-List中编辑System Area才能获取数据)，更不用说将这些扇区重新映射到其中的原因首先是因为他们失败了。

综上所述，DoD抹布是愚蠢的，Gutmann抹布是愚蠢的，使用/dev/zero，在所有情况下几乎100％都很好。而且，如果这是一个极端情况，那么您需要非常专业的知识，该如何获取数据以及如何删除数据。

"thanks! so, what about usb stick?"

USB内存棒是完全不同的动物，您需要绕过闪存 Controller 才能将其清除，甚至由于磨损平衡算法，即使Gutmann删除布也无法完全删除数据。但是就像硬盘一样，如果您一次覆盖数据，它就消失了，诀窍就是迫使设备实际覆盖数据。

话虽这么说，如果您有一个便宜的USB内存棒，但没有 Controller 且不会磨损，则一次通过0填充就足以删除其中的数据。否则，您正在寻找定制硬件和 Weld 工作。

应该将SSD视为带有执行损耗平衡的 Controller 的USB内存棒。 SSD始终会进行损耗平衡，我不知道此规则有任何异常(exception)。许多USB内存棒没有。

您如何判断USB内存棒是否磨损了水准仪？您需要将其拆开并检查 Controller 芯片，并在其上查找数据表。

"Would you give a source for the statement that it is "impossible to obtain signals from incompletely overwritten sectors of the drive" ? I am not talking about tests from computer magazines concerning data recovery stores, I am talking of the worst case scenario: a well-equipped government laboratory. So I really would like to know how can you guarantee that statement, preferably a scientific paper."

我将提供一些有关在磁介质上模拟存储数字数据的理由和信息。以下是我在一家数据恢复公司上类时所学的大部分内容，并且在某些地方可能会有些不准确。如果是这样，请告诉我，我会予以纠正。但这是我对 Material 的最佳理解。

制造硬盘驱动器后，首先发生的事情是它从伺服标签写入机接收伺服标签。这是一台单独的计算机，唯一的工作是取出一个完全空白的硬盘驱动器并进行引导。 (这就是为什么硬盘驱动器上有孔用铝带覆盖的原因，这是伺服贴标机放置其写头的位置。)如果您曾经有一个驱动器，当它加电时它会产生“click click click”这是因为它无法读取伺服标签。当硬盘驱动器加电时，它首先要做的就是将其读取磁头甩到磁盘上某个位置并获取磁道。伺服标签定义轨迹。如果看不到伺服标签，它将到达中间，发出啪啪声，将臂向后拉，然后重试。

我之所以提及这一点，是因为这几乎是外部设备读取和写入硬盘驱动器的唯一实例，它大致描述了驱动器自己的读取头之外的硬件可以处理磁盘上的数据的限制。如果有可能使伺服标签更小，更节省空间，那么硬盘制造商将可以。伺服标签的空间效率相对较低，原因有两个。

绝对不要失败。如果伺服标签失效，那么每当磁头经过该特定伺服标签时，磁头都会丢失轨迹，这在实用上意味着整个轨迹都不可用。

提出了一些想法，即硬盘驱动器在处理磁盘上的信息方面比外部机器要好得多。

一圈伺服标签定义了一条轨道。关于曲目，您必须了解一些事情。

它们不一定是圆形的。它们是不完美的，可能包含扭曲。这是因为伺服标签机不准确。

它们不一定是同心的。他们可以而且确实可以穿越。这意味着仅由于伺服标签机不准确，某些扇区或整个磁道可能无法使用。

写入伺服标签后，将出现低级格式。驱动器的实际低级1980年代格式，但更为复杂。因为盘片是圆形的，但是硬盘驱动器的速度是恒定的，所以读取磁头下方通过的面积是到盘片中间距离的可变函数。因此，为了将每个存储的最后一滴从盘片中挤出来，盘片的密度是可变的，并按区域定义。在典型的3.5英寸硬盘驱动器上，将有几十个区域具有不同的盘片密度。

其中之一是特殊的超低密度 System Area。系统区域是所有固件和配置设置存储在驱动器上的位置。它具有极低的密度，因为该信息更为重要。密度越低，随机散布的机会就越少。当然，它总是在所有时间发生，但不如用户区域中的事件频繁发生。

将驱动器格式化为低电平后，会将固件写入系统区域。每个驱动器的固件都不同。为了优化驱动器以适应盘片的极好要求，必须对每个驱动器进行调整。 (当然，这实际上发生在低级格式之前，因为您必须知道设备的质量才能决定制作盘的密度。)该数据称为 adaptives，保存在系统区域中。自适应区域中的信息包括“当伺服标签告诉我我偏离轨道时，我应该使用多少电压来校正自己”，以及使硬盘驱动器实际工作所需的其他信息。如果自适应功能稍微关闭，则可能无法访问用户区域。系统区域更易于访问，因此只需要很少的自适应存储在PCB CMOS上。

删除本段内容:

较低的密度意味着更易于阅读。

密度越高，事物随机拧紧的可能性就越大。

用户区域具有硬盘制造商可能达到的密度。

如果这听起来像是一时冲动，那是因为确实如此。硬盘制造商相互竞争并在每GB价格上取胜。硬盘设计并不是真正地制造非常精心制造的设备，并非常小心地将它们组装在一起，因为这已经远远不够。当然，他们仍然可以这样做，但是还必须使各个部分在软件中相互配合，因为硬件公差太宽，无法再具有竞争力了。

所以。由于用户的密度很高，因此实际上(非常(非常))在正常情况下很可能会弄乱钻头。这可能是由许多因素引起的，包括非常小的时序问题和盘片退化。硬盘驱动器的很大一部分扇区实际上包含损坏的位。 (您可以通过在驱动器上发出 ATA28 READLONG命令(仅在前127 GB左右有效。没有删除它的 ATA48!)来在驱动器上多次验证输出，从而进行验证。您会发现，在某些情况下，某些位的行为会异常，并会吮吸或拉断甚至随机翻转，这并非罕见。)这是生活中的事实。这就是为什么我们有 ECC.
ECC是包含在512字节(或较新驱动器中为4096字节)的数据之后的校验和，如果只有很少的错误位，它将对数据进行校正。确切的数目取决于固件和制造商，但是所有驱动器都有它，并且所有驱动器都需要它(而且出乎意料的高出了您的预期，比如48-60字节，可以检测并纠正多达6-8个错误字节。这是因为即使对于高度特化和经过调整的内部硬盘驱动器，盘片的密度也很高。

最后，我想谈谈前置放大器芯片。它位于硬盘驱动器的臂上，可以用作扩音器。因为信号是从很小的磁场中产生的，所以作用在很小的磁头上的电位就很小。因此，您无法将硬盘驱动器磁头用于Gutmann方法，因为您无法从中获得足够准确的读数，因此无法使用Gutmann的技术。

但是，我们假设NSA拥有一件神奇的设备，它们可以在1毫秒内获得任何特定位的非常准确的读数(足够准确以计算电势并导出先前写入的数据)。他们首先需要什么？

首先，他们需要系统区域。因为这是转换器的存储位置(转换器将LBA地址转换为PCHS地址(物理圆柱头扇区，而不是逻辑CHS地址，后者是伪造的，并且仅出于传统原因而存在)的东西。)面积各不相同，您无需借助魔术工具即可获得它。通常，它只有50-100MB左右。翻译器的布局是特定于固件的，因此您必须将其反转(但之前已经做了，没什么大不了的。)

所以第一个问题是信噪比。如前所述，将盘片密度调整得更高，这是绝对安全的。 Gutmann的方法要求正常的读/写 Activity 具有非常低的方差，以便以任何精度计算位的先前状态。如果信号方差很大，则可能会破坏这些尝试。而且差异很大，足以完全让您烦恼(这就是ECC在现代驱动器中如此疯狂的原因。)进行类比就像是试图完美地听到有人在嘈杂的房间中间与您交谈时在对您耳语。

第二个问题，时间。即使电子显微镜非常快速且准确(每位1毫秒!对于电子显微镜而言，这是闪电。它比1200波特调制解调器还慢)，但硬盘驱动器上有很多数据，完整的图像会占用非常大的空间。很久。 (WA表示，整个500GB硬盘驱动器有126年的使用时间，并且其中不包括ECC数据(您需要)。还有很多其他我没有提及的与硬盘驱动器相关的元数据，例如ID字段和地址标记，但是这些不会被覆盖，也许您可​​以想出一种更快的方法来正常地对它们进行成像？毫无疑问，有一些方法可以加快此过程(例如选择性地对驱动器的某些部分进行成像)，但是即使那样也要花24个月的时间/7全天候工作只是为了在标准硬盘驱动器上获取 $MFT文件(通常在安装Windows的驱动器上大约为50-300MB)。

第三个问题，可采性。如果政府在追随您，他们只是出于几个原因在追随您，他们想知道您知道的事情，或者他们想逮捕您并把您关进监狱。有更简单的方法来获取前者(橡胶软管密码术)，而后者将需要定期的证据程序。回到类比，如果有人作证说有人在耳语和喧闹的房间中与他们交谈时，有人在耳语中告诉他们一些话，那儿还有很多疑问的空间。这绝不是要花费大量时间和金钱的有力证据。