存储介质数据清除
删除不等于清除
操作系统层面的「删除文件」「快速格式化」「恢复出厂」都只是把存储空间在索引里标记为可用，真正的数据位 原封不动，直到被新数据覆盖；旧硬盘接上硬盘盒装个免费恢复软件，几分钟就能把已删除的照片、文档、聊天记录 捞回来。数据安全语境里的「信息清除」（information sanitization）指不可逆地使数据无法被任何手段访问或 恢复，这是 GB 46864-2025 对清除的法定定义，也是「我格式化过了」从来不算数的原因。物理销毁（粉碎介质） 是介质损坏无法执行命令时的最后兜底，清除是不破坏介质前提下的极限。
介质决定方法：机械盘覆写与固态盘块擦除
磁介质（机械硬盘、磁带）的逻辑地址基本对应物理地址，操作系统层面的多遍覆写有效；GB 46864-2025 要求覆写 所有存储用户数据的物理地址至少 3 次且至少 1 次为随机数，只定下限，DoD 5220.22-M 三遍、Gutmann 三十五遍 等方案满足或超过即合规。半导体介质（SSD、U 盘、eMMC、UFS）不能照搬：闪存转换层（FTL）会把写入重分配到 别的物理位置，磨损均衡还会搬数据，加上预留空间，系统层覆写打不中原物理页。标准给了两条路走通一条即可： 删除逻辑-物理地址映射并覆写至少 1 次，或调用介质自身命令做块擦除（ATA Secure Erase、NVMe Format 与 Sanitize、eMMC/UFS Sanitize），块擦除连预留空间和退役块一起处理；仅删映射或仅标记无效不算块擦除。 TRIM 与 discard 只是标记可回收，不等于擦除。加密存储产品另有第三条路：销毁数据加密密钥及所有副本， 密文随之数学上不可读，自加密盘（TCG Opal）就是这个思路。
见：GB 46864-2025 标准信息（国家标准全文公开系统）
GB 46864-2025：首个数据安全强制国标的责任框架
GB 46864-2025《数据安全技术 电子产品信息清除技术要求》2025-12-02 发布、2027-01-01 强制实施，是我国数据安全 领域首个强制性国家标准，归口中央网信办，由整机厂商（华为、小米、OPPO、vivo、联想）、存储芯片厂（长江存储） 和二手平台（爱回收、转转）等 16 家单位起草，覆盖「存数据、造产品、收旧机」全链条。适用对象是境内生产销售、 带非易失性存储的电子产品，责任分两拨：厂商必须四选一地提供清除能力（内置功能、外部工具、告知第三方工具、 免费服务），「本机无清除功能」不再免责，执行前须明示范围并取得同意；回收经营者是流通环节责任主体， 义务链为回收前提示、未经同意禁止访问留存、用合规工具清除、无法软清的物理销毁、售前验证效果、记录留存 不少于 3 年，未清除用户数据的产品禁止再销售和运输出境。清除范围是用户数据全集：账号口令、生物识别、 银行卡与门禁卡信息、缓存、备份，不止用户的文件。配套的三项实践指南（块擦除、回收管理、移动终端） 已于 2026-09-15 发布。
单遍覆写对现代机械盘已足够
多遍覆写的「必要性」是历史遗产：Gutmann 35 遍方案出自 1996 年针对 MFM/RLL 编码时代的信号残留假设， 其论文再版补记自承对现代 PRML 盘一遍随机数据即可；2008 年 Wright 等人的工作用磁力显微镜验证单遍覆写后 数据不可恢复；NIST SP 800-88 的立场同样是现代机械盘单遍覆写即达 Clear 级。国标定「至少 3 次且含 1 次 随机数」是合规下限加工程保险余量，不是物理必需。自用退役盘一遍随机覆写加读回验证即可放心，为合规处置 （卖给回收商、企业资产退役）才需要跑足 3 遍并留痕。
见：NIST SP 800-88 Rev.2, Guidelines for Media Sanitization
USB 转接盒让擦除命令归零
NVMe 的 format 与 sanitize 走 admin 队列，USB-NVMe 桥接芯片通常不透传这些管理命令。有从业者实测：在 USB 盒里对 NVMe 盘先跑 shred（对固态盘本就无意义且耗寿命），再 blkdiscard 报 BLKSECDISCARD 不支持， 再 hdparm 报 ioctl 错误（ATA 专属命令），最后连 nvme list 都列不出盘；把盘装回笔记本 M.2 槽直连、启动 live Linux 后 nvme format -s2 一次成功（-s2 即重置盘上加密密钥的密码学擦除）。工程结论：擦 NVMe 必须 直连（M.2 槽或 PCIe 转接卡），USB 盒只适合读数据不适合做净化；命令返回成功不等于擦干净， 高敏感盘应做读回抽查验证。
见：How not to securely erase a NVMe drive
现代手机恢复出厂约等于密钥销毁
「恢复出厂设置不算数」对现代旗舰在技术上是过严的判断。iOS 的数据保护体系把各类 class keys 装在 keybag 中， keybag 的加密密钥存于 Effaceable Storage，一块独立于 NAND 常规区域、抗回滚的专用存储；「抹掉所有内容和 设置」销毁的正是这些密钥，等效密码学擦除。Android 6 起全盘加密、10 起文件级加密（FBE），恢复出厂删文件 密钥同理。真正的风险集中在三处：无加密的老设备、加密启用前已明文落盘的数据、低端机型的弱密钥派生。 决策上：卖现代手机先确认「已加密」状态再恢复出厂，技术上基本等效 Purge；企业处置仍应按国标走合规工具 加验证留痕，因为合规语境要的是可举证，不是概率安全。
见：Keybags for Data Protection（Apple Platform Security）
密钥销毁的明文残留暗面
密码学擦除最快（秒级）且零磨损，但安全前提是「数据从落盘起就是密文」，这个前提经常被无声打破：软件加密 （BitLocker、LUKS）启用之前盘上已有的明文数据、休眠文件与交换分区里的明文快照、加密卷曾临时挂载后密钥 进入内存被换出到盘，这些路径都让毁密钥留下活口，国标「销毁密钥及所有密钥副本」的措辞正因副本才是难点。 TCG Opal 自加密盘在硬件层全盘加密、写入即密文，暗面小得多，代价是引入管理通道信任面（SID 密码、PSID revert）。高敏感场景应选出厂即加密的介质而非后期软件加密，退役时毁密钥加一遍覆写双保险，对应国标 加密条款的双路径设计。