有没有办法恢复可能已被覆盖的已删除文件？

Question

我删除了笔记本电脑上的许多文件和文件夹，然后将新文件放在了相同的文件夹中。我需要恢复已删除的文件。我尝试了很多恢复软件，但无法恢复旧文件。

我读到如果您在删除旧文件后用新文件重新填充文件夹，那么我将无法再次恢复它们。真的吗？

我该怎么办？

Answer 1

如果数据实际上已被覆盖，则无法恢复。

这是 1996 年发表的论文，该论文提出了它可能的主张：Peter Gutmann：“从磁性和固态存储器中安全删除数据”（也在这里）。

公平地说，古特曼博士在论文的第一个结语中指出：

许多读者似乎忽略的另一点是，本文不提供数据恢复解决方案，而是提供数据删除解决方案。换句话说，它在问题陈述中指出存在潜在风险，然后论文正文探讨了减轻这种风险的方法。

换句话说，该论文并未声称证明可以恢复被覆盖的数据。他只是表明有理由相信这是合理的， 并提出了足以阻止这种恢复的覆盖模式。（虽然，由于他显然从未真正展示过任何覆盖数据的恢复，因此他无法测试这些模式，因此它们的有效性和它们的必要性一样未经证实。）

但是，下面链接的文件表明，风险远比声称的要小得多。

（我不得不提一下，Gutmann 博士还因声称 Windows Vista 的反盗版、DRM 强制功能会消耗如此多的能量而对全球变暖做出显着贡献而闻名。George Ou：“声称 Vista DRM 导致 CPU 满负荷和全球变暖揭穿了！ ”（2007）。）

在接下来的部分中，我将引用几篇不同意 Gutmann 博士关于恢复被覆盖数据的可能性的主张的论文。

国家经济研究局的 Daniel Feenberg：“情报机构能否读取被覆盖的数据？ ”（2003 年，2013 年修订版）彻底分析了古特曼的主张，发现这些主张“过度劳累”。演示文稿相当非技术性，并为后续论文提供了一个很好的“起点”。（请注意，此链接之前已在 Moab 的问题评论中发布。另请注意：在以下引文和本答案的其余部分中，“MFM”指的是“磁力显微镜”，这是一种可以在非常高的位置显示磁化模式的显微镜高分辨率，而不是“修改频率调制”，现在已经过时的在硬盘驱动器上记录数据的技术。“MFM”也在古特曼的后一个上下文中使用

Gutmann 提到，在对 MFM 设备进行简单设置后，这些位会在几分钟内开始流动。这可能是真的，但他所指的位并非来自磁盘文件，而是磁盘表面图片中的像素。Charles Sobey [...] 建议使用最新的 MFM 技术扫描单个盘片需要一年多的时间，并且必须处理数十 TB 的图像数据。

和：

如果覆盖是真正随机的，即使是 STM 显微镜的放大倍数远大于参考中的放大倍数，则单次写入就足够了。事实上，在寻求恢复的数据之前写入磁盘的数据将干扰恢复，就像之后写入的数据一样 - STM 显微镜无法分辨磁矩的产生顺序。它不像墨水，后来的应用实际上是在先前的标记之上。

和：

最近，我收到了 Wright、Kleiman 和 Sundhar (2008) 的一篇引人入胜的文章，他们展示了有关恢复图像数据准确性的实际数据。虽然图像包含一些关于底层位的信息，但错误率如此之高，以至于很难想象结果有任何用处。虽然偶尔可能会从数千个单词中恢复，但绝大多数明显恢复的单词都是虚假的。

（Wright等人的论文是我在下一个 +1 部分中介绍的论文。）

另一个值得思考的事实是，任何人都没有读过罗斯玛丽·伍兹在尼克松讨论水门事件闯入事件的录像带上创作的“18 分钟间隙”。尽管 1960 年代模拟录音机上的数据密度比当前的驱动技术低大约一百万倍，并且音频恢复不需要高度的准确性，但没有恢复一个音素。

Feenberg 链接到 Charles Sobey 的一篇论文：“恢复不可恢复的数据”。（他使用的链接是陈旧的；这个链接目前仍然有效。）但是 Sobey 的论文是关于从故障驱动器恢复数据，而不是覆盖驱动器：

如果磁盘没有物理损坏，用户的数据仍然存在， 除非它已被覆盖。(emph. 补充 - jeh)

Craig Wright、Dave Kleiman 和 Shyaam Sundhar RS：“覆盖硬盘数据：大擦除争议”（2008 年）是一篇技术性更强的论文。作者测试了古特曼使用磁力显微镜的理论（古特曼显然从未这样做过，也从未声称拥有过），发现它行不通。

他们的论点的要点是：旧数据确实会对新数据覆盖时产生的磁场产生影响；然而，它们显示（用实际数据）效果非常微弱。它与即使在读取以前原始驱动器时“自然”遇到的信号变化 - 噪声 - 具有相同的顺序，并且两者无法可靠地分开。即，由于硬盘驱动器运行中的正常噪声引起的磁场强度变化和由旧数据引起的磁场强度变化无法相互区分。

事实是，使用现代驱动器（甚至可以追溯到 1990 年），整个过程主要是一个猜谜游戏，在测试时会严重失败。

此外，他们指出恢复覆盖数据背后的基本理论是无法支持的：

争论源于这样一种说法：“每个轨道都包含所有写入它的图像，但是每个“层”的贡献越往后越小”。这是对驱动物理学的误解函数和磁谐振。实际上没有时间分量，图像也没有分层。它是一个密度图。[emph. added - jeh]

和

呈现完美图像时的恢复水平太低，即使在低密度原始驱动器（在任何实际环境中都不存在）上也无法使用。

和

因此，我们可以明确地说，在具有单个原始擦除通道（甚至不是低级格式）的新的和未使用的驱动器上恢复任何数据的可能性很小（小于 0.01% 的机会）。在驱动器已被使用（甚至被格式化以供使用）的情况下，无法恢复信息——位恢复的可能性很小，但获得整个字的几率很小。

Gordon Hughes 和 Tom Coughlin：“磁盘驱动器数据的安全擦除”（2004 年）对从磁头恢复的信号的“奇异”模拟分析得出了类似的结论。

它们表明，可以显示恢复信号和旧数据之间的弱相关性，但前提是您已经知道旧数据是什么。这在法医上显然是无用的。如果您没有任何可尝试关联的内容，那么旧数据对信号的残余影响就无法与噪声区分开来。这与 Wright、Kleiman 和 Sundhar 先前引用的论文中得出的结论相同，但通过分析电信号而不是 MFM 图像得出的结论。

他们得出结论：

一次擦除似乎足以使旧数据无法恢复。

此外，关于磁畴的 MFM“图片”：

很容易获得看起来显示未擦除轨道边缘数据的图片。但是没有人展示过数据扇区的完全恢复，包括数据同步前导码、比特去随机化器、部分响应和调制码以及纠错码。

我将添加我自己的最后一个想法：如果可以将两组不同的数据写入驱动器的同一物理区域并可靠地恢复它们，那么硬盘制造商早在几年前就已经结束了。他们本来可以利用驱动器在同一位置存储两个不同数据项的明显能力来增加驱动器的可用容量。这显然没有发生。