blog中文翻译： 当仅仅‘delete’已经变得不够了(about privacy)

当仅仅‘delete’已经变得不够了(about privacy)
April 15th, 2006
当仅仅‘delete’已经变得不够了(about privacy)
原文链接：http://news.com.com/When+delete+is+not+enough/2100-1029_3-6058947.html?tag=nefd.lede
By Eric A. Taub
The New York Times
Published: April 9, 2006, 6:00 AM PDT
这只是两个合作者之间一份20页的合同文档（Microsoft Word格式的）中的一个阿拉伯数字，但当 Scott Cooper 在许多年前发现它时，Cooper 得到了应得的酬金。
Cooper是一名计算机辩论术专家，他发现在这个电子文档的后续版本中，一个数字“1”被悄悄的删除了。这个变动使得Cooper的客户，一个近期被卖掉的软件公司的合伙人，只拥有该公司5％的股份，而不是原本应该的15％。如果这个变动没有被识破，那么该合伙人将只能获得3200万美元的收入，而不是他应得的9600万美元。
那个修改数据的合伙人没有注意到数字资料很少被完全清除，即使被做了擦除处理。“想从硬盘上完全清除所有的证据是非常困难的，”John Colbert说（John Colbert是软件公司Guidance Software的首席执行官，该公司制作一种被广泛用于重新找回数字证据的软件）。
通过使用多方面的技术，Cooper找出了这份档案被何人在何时修改。他的客户也找回了他应得的钱。
信息的数字存储已经变得无处不在了。根据加州大学伯克利分校信息管理与信息系统学院作出的估计，在2003年，92％的新的信息是以某种形式在磁媒介（如通常的硬盘，软盘，磁带）上存储的。作为这一现象的结果，数字证据辩论术－－获取和分析数字信息－－已经成为一种重要的法律工具。
这种数字证据的陈述必须遵守证据收集的一般规则。并且，和其它物证（比如一具尸体）一样，文档和数据存储器必须被小心的保管以避免任何关于证据被修改的声称。
数据再挖掘
作为一名计算机辩论术专家，Cooper使用各种软件工具发现隐藏的数据信息，并以此推算出一份关于数据何时被创建和改变的时间表。
基本的证据可以从任何数字存储器中收集到。从移动电话上删除的号码可以通过它的存储器指示某人和另一人相识；手持设备的约会提醒存储可以帮助建立一个年表；甚至TiVo上关于电视节目的记录都可以通过一个节目何时开始和暂停而证实或揭穿法庭上的一些辩解。所有这些证据在理论上都是可以重获的。
Cooper通过关注他的客户和其软件公司前合作伙伴的合同，根据合同档案的数据元判断出了档案的原始面貌，隐藏的数据信息显示了档案是在何时修改以及怎样修改的。很明显，他客户的前合作伙伴在公司获得成功后秘密的修改了公司的所有权份额。
1993年的纽约客杂志上有一幅漫画，“在互联网上，没有人知道你是一条狗。”这是不对的。就数字数据而言，任何人都可以找出“你是谁和你在干什么”。
Dennis L. Rader，这个”BTK”系列杀人案（在Kansas的10起谋杀案）的凶手在去年被辩护为有罪。他就是在将一张软盘送给警察后遭到逮捕的。警察使用Guidance Software 的 EnCase Forensic 程序找出了一些被删除的文件，其中一些文件的作者包含Rader的名字。还有一些证据表明这张软盘是在Rader所属的教会的电脑上使用的，Rader是这个教会委员会的主席。
EnCase Forensic 软件也被用于证明Scott Peterson杀妻的罪行。通过这个软件，调查者确定在谋杀案发生的那段时间，Scott Peterson曾经用他的电脑访问详细介绍San Francisco海湾潮汐状况的网站，而那里正是他妻子的尸体被发现的地方。“即使他已经删掉了搜索的历史记录，那些信息也仍然在那里，” Guidance Software软件公司的Colbert说。
就像Cooper说的：“George Orwell是对的，大兄长在观察我们，我们通过写邮件和网上银行的交易忽视了这种观察。”
擦除电脑上的文件是容易做到的，这就麻痹人们相信了一种安全的假相。数字数据也许很容易被我们弄丢，但却难以被计算机忘却。
随着硬盘驱动器的存储容量成指数倍增长，找回用于控告的数据变得更简单了。因为硬盘越大，新的数据就越少的被写在已经“删除”的旧数据上。
“密码，图片，银行帐号信息——全部都在那里，”Mary Mack说（一家数字辩论术公司的技术辩护律师）。
和纸质文件不同，数字文件经常存在于不止一个地方。所以删除一份拷贝对于阻止文件找回作用很小。
Microsoft Word 文档在使用者输入的时候创建了多份临时文件；在公司电脑上创建的文档可能在本地机和服务器上都存有备份；在e－mail由创建者发送给接受者的过程中，很多备份被临时存贮在世界各地的多个服务器上。
由此，从一台电脑上删除一个文件就变成了一个概念而不是现实，Cooper说。文件并没有被删除，被删除的只是它在数据库中的名字。文件只有在它的数据被一系列01组合重新覆盖之后才是不可恢复的。很多软件可以用来覆盖数据。比如流行的Evidence Eliminator（证据消除者），就向法律圈亮起了红灯。
“我始终对使用那样名字产品的人感到疑惑”Michael A. Gold（一个诉讼公司的高级合伙人，这个公司技术发现组的主席）说。对使用这种覆盖软件的行为是可以被侦察到的，这就告诉调查者这个接受审查的人想要隐藏一些东西。
文件碎片里面保存着线索
像恐怖电影里的坏人一样，数据总是会出现。按照Cooper的说法，即使一片比指甲还小的硬盘上也可能产生能让调查有所进展的信息。
对法院调查者来说幸运的是，许多案子并不是特别难破。在商业界，工作人员也许会用他们的电脑做非法的事情，然后简单的删除文件，希望这样就能掩盖他们的行迹。
当两家制药公司Medtronic 和 Dr. Gary K. Michelson 被卷入一场有关制药技术的法律辩论，Medtronic 被要求像Michelson的律师提供电子文档。“我们查出了有些被删除的文档根本就没有被出示，”Michelson的律师Dan P. Sedor说。
诉讼公司在Cooper和他的同事审查Medtronic公司的硬盘时发现了这一点。“很多东西都丢失了，比如操作系统，配置文件，和删除的文档，”Cooper说，“从电子的角度，我们发现很多文档都缺失了，你不能通过纸质文件发现这一点。”
一旦删除的数据被修复，其它软件就能是发现的过程自动化，帮助调查者从也许是成千上万页的信息中发掘有用的。
电子发现，是用软件利用搜索关键字的方法分析数据。这种搜索并非总是很明显的，“人们很少在欺诈别人的时候使用’欺诈’的字眼。”Mike Kinnaman说（一种用于发现的软件Attenex行销部的代理会长）。
搜索软件被指示搜索运动短语——常常被用来讨论犯罪行为——挑出属于垒球的“diamond（钻石，垒球）”而不是属于珠宝的“diamond”。“我们呈现关于这些词的搜集，为什么他们在一封商业信函的中间讨论垒球？”Kinnaman说。
一旦明确了电子文档将会是法律或是犯罪调查的一部分，那么就必要像对待谋杀案中被包裹的炸弹一样小心的对待这些数据存储器。
“像古时候一样，我们追踪的都是传说”Cooper说。然后他补充道：“只有在今天，电脑也变成了目击者。”
Entire contents, Copyright © 2006 The New York Times. All rights reserved.