【SSD和eMMC取证】

译者注：本文发表于2016年，距今已有7年之久，在这期间固态硬盘技术飞速发展，部分技术在当下已然称不上是“最新技术”。但知识不会过时，本文中所介绍内容仍具有借鉴意义。

本文延续了2012年发表的关于SSD取证的文章的系列。两年后，我们重新研究了SSD在自毁、解密trim机制、垃圾回收机制和数据重映射等技术。彼时，制造商接二连三地发布创新产品——3D TLC、更大更快的驱动器、压缩控制器的终结以及自带加密的SSD驱动器的推出都是大新闻。如今快进到2016年，市面上有大量且价格便宜的固态硬盘，在高科技战线中似乎没有什么变化。

除2.5英寸型号外，我们还注意到一种新的流行的外形尺寸，这种尺寸的固态硬盘常被用于超级本，以及一种由三星推出的用于许多移动终端设备的新型固态硬盘。在低端领域，我们看到eMMC芯片被用于低端Windows平板电脑和小型笔记本，这些芯片取代了传统的固态硬盘。在本文中，将试图弄清这一切对取证人员意味着什么。

大约在十年前，固态硬盘（SSD）彻底改变了计算机存储，为人们带来了极快的访问速度、更低的功耗以及更少的机械零件（译者注：机械硬盘由大量且精密的零件构成，相比机械硬盘来讲，固态硬盘没有这些机械零件，只有一块集成电路板）。但与此同时固态硬盘也有严重的写入寿命限制。老式的固态硬盘在内存失效前只能承受一定数量的磨损。截至目前，固态硬盘的写入量仍然是一个限制。时至今日，尽管有着不断缩小的制程工艺和新型NAND闪存单元的发明（即TLC单元，每个物理单元可以保留3bit位信息，而不是MLC的2bit位和SLC单元的1bit位），但在写入量上仍然面对着同样的问题。

为了克服这些技术限制，并不断降低存储成本，制造商完善了一些非常智能的软件算法。这些算法确保单元之间的负载均匀分布，能够快速重新映射NAND单元的逻辑地址，以确保下一次写入操作发生在磨损最小的单元上。

基于闪存的另一个限制是，人们只能将新的数据写入空的单元中（即：擦除后的单元）。一旦固态硬盘被填满，每一个后续的写操作都会涉及到擦除数据块的内容，然后将新的数据写进单元。由于擦除闪存单元是一个比写入数据慢得多的过程，因此制造商会实行垃圾回收算法，擦除那些保存有已删除数据的单元。

那么SSD控制器如何知道数据块是否被使用呢？操作系统通过向控制器发送一个所谓的"trim"命令来告诉它。一旦trim命令发送，控制器就"知道"某些数据块中的数据不再被使用，并将它们添加到待清除列表中。这些块中的数据便会被内部的垃圾回收算法清除。

同时，系统不必在某一物理单元被擦除时等待。如果系统需要写一个新的数据块，SSD控制器会立即为操作系统所指的逻辑地址分配一个新的空闪存单元。这就是所谓的重映射。在今天的固态硬盘中，重映射一直在发生。

于取证而言，这其中最大的问题是：这些需要被清除的数据块会发生了什么？它的内容是否会立即消失，或者仍然可以从SSD中提取出来？答案是 "视情况而定"。

M.2: Thinner and Lighter SATA SSDs/M.2：更薄、更轻的SATA固态硬盘

英特尔530系列M.2固态硬盘驱动器

M.2固态硬盘可以用于一些台式机主板

严格来说，以下的型号都属于M.2固态硬盘。

• 使用传统SATA协议的M.2硬盘。许多M.2固态硬盘采用了传统的SATA协议连接，并通过AHCI接口驱动。这些M.2驱动器的效果与标准的2.5英寸SSD驱动器没有区别。

• 使用AHCI的PCI-E设备。该标准用于那些利用PCI Express通道进行连接，并通过AHCI协议与设备连接的PCI-E固态硬盘。这些驱动器需要操作系统包含正确的驱动程序。

• 使用NVMe协议的PCI-E。这些是最快的SSD驱动器，由于它们非常新，所以兼容性最差。在没有适当的BIOS支持的情况下，将NVMe驱动器安装到PC上可能会导致系统无法启动。虽然许多主板不能从NVMe驱动器启动；但在较旧的主板上使用时，Windows系统也可以通过适当的驱动程序访问这些驱动器。截至目前，这样的产品并不是很多，一般存在于一些高端机型。

从技术上讲，M.2 SSD是PCI-E设备。然而，PCI-E规范比M.2更广泛。因此，制造商可以生产不符合M.2标准的专有PCI-E固态硬盘，在符合M.2标准的计算机中可能无法使用。

PCI-E固态硬盘最常用于某些高端工作站（全尺寸规格），以及一些超薄型号设备（例如，Apple公司生产的MacBook 2015笔记本电脑）。这些专有的存储设备直接连接到计算机的PCI-E总线上，并要求操作系统使用正确的驱动程序。

大多数（而非所有）的PCI-E固态硬盘都支持与其全尺寸SATA连接的同类产品相同的技术。根据驱动程序的版本、操作系统的版本和PCI-E SSD驱动器的型号不同，这些磁盘在执行trim工作时可能会出现异常。

在逻辑接口层面，PCI-E SSD驱动器可以通过AHCI接口或NVMe接口工作。

英特尔NVMe SSD驱动器

一般来说，以下兼容性模型适用于PCI-E SSD。

•  Mac OS X：所有出厂时安装有PCI-E SSD驱动器的苹果设备都支持trim。

• 运行Windows的Macbook电脑。苹果Macbook使用专有的PCI-E SSD驱动器。苹果的Bootcamp常被用来安装Windows作为双系统或唯一的操作系统，在适用的情况下，支持trim穿透（见下文）。

• Windows：对PCI-E驱动器的trim功能支持与否，取决于Windows版本和正确的驱动程序。

• Windows 7：无论驱动器如何，PCI-E驱动器都不支持trim，即使PCI-E SSD接受trim命令也是如此。

• Windows 8, 8.1 和 Windows 10: 使用微软的本地驱动程序支持trim。也支持基于NVM的PCI-E固态硬盘的trim。使用SCSI驱动的设备支持 "unmap"，这是SATA中trim命令的完整模拟。(译者注：trim是一条ATA命令，主要用于垃圾回收，相似作用的命令有很多，根据不同接口有不同的命令，如作用于SATA的命令是TRIM，作用于SCSI的命令是UNMAP，作用于NVME的命令是Deallocate。)

NVM Express，或称NVMe，是一个相对较新的逻辑驱动器接口，通过PCI Express（PCI-E）总线实现非易失性存储。NVMe的设计从头到尾都是为了闪存设备的低延迟和内部并行性的实现。

与作为2.5英寸驱动器和薄型M.2板的SATA固态硬盘类似，NVM Express设备也可作为全尺寸的PCI Express扩展卡、笔记本尺寸的主板和2.5英寸驱动器，看起来与SATA固态硬盘类似，只是通过U.2连接器利用PCI Express接口而不是SATA端口罢了。

在传统意义上，固态硬盘体积庞大且价格昂贵。近几代的Windows平板电脑、可折叠电脑和超轻台式机（其中大部分采用英特尔Atom芯片组）采用了一种体积更小、价格更便宜、运行速度并不快的eMMC芯片形式的存储。eMMC芯片本质上是一种SD卡，以BGA芯片的形式焊接在主板上。同SSD驱动器一样，eMMC芯片有一个内置的控制器，但eMMC控制器与SSD驱动器中使用的控制器相比要简单得多，速度也慢得多。因此，虽然eMMC可能采用与SSD驱动器相同的技术（即预留空间、重映射、TRIM和背景擦除），但可能阉割了其他的一些功能。（例如许多安全功能，如DRAT或DZAT）即使eMMC控制器实现了后台垃圾收集机制，但与SSD驱动器相比，它的工作速度也会慢得多，因为只有一个单一通道可被用于所有的读写操作。eMMC芯片并不具有SSD驱动器的大规模并行性，因此读取或写入数据的速度会慢很多。

（译者注：Trim机制分为不同的类型：

• 非确定性TRIM：TRIM后每个对逻辑区块地址（LBA）的读取命令可能返回不同的数据。

• 确定性TRIM（DRAT，Deterministic Read After Trim）：TRIM后对LBA的所有读取命令都返回相同的数据。

• TRIM后确定性读零（RZAT，Read Zero After Trim）：TRIM后对LBA的所有读取命令都将返回零。）。

值得注意的是，eMMC标准正确定义了对空块的trim活动。那么，位于eMMC芯片上的trim块会发生什么呢？与固态硬盘类似的是，它们在任何时候都可能被映射到可寻址空间之外，也可能不被映射到可寻址空间之外。与固态硬盘不同的是，eMMC标准没有定义DRAT或DZAT，这使得eMMC制造商可以自行定义当试图读取trim后的数据块时，存储控制器到底返回什么。根据经验，eMMC芯片中被trim标记过但尚未被擦除的数据块，仍然可以通过物理转储手段进行读取（如通过物理采集、JTAG、ISP或飞线等手段）。

与SSD驱动器相比，eMMC芯片镜像中，在trim块中保留数据的概率要高得多。

与固态硬盘类似，eMMC芯片可能有一个超额配置的区域，是不可寻址的，外部无法访问。也没有可行的方法可以从超额配置区提取信息。由于超额配置的数据块没有被映射到可用地址空间上，所以物理采集、JTAG、ISP或飞线都看不到该区域。只有内置控制器可以访问这些数据块。没有接口允许从芯片外部读取它们。即使你把芯片取出来直接读取，你也无法访问超额配置的数据块，因为eMMC芯片的飞线提取仍然依赖于向eMMC控制器发送的命令。

关于外置固态硬盘：UASP的到来

在最初的文章中，曾写过外置固态硬盘和USB外壳不提供Trim功能。但从那时起，出现了一个相对新的发展。

一种专门为USB连接固态存储而开发的新的存储连接协议。USB Attached SCSI（UAS or UASP）是一种新的协议，它使用标准的SCSI指令集，而不是目前大多数产品中使用的旧的USB大容量存储协议。

从本质上讲，新协议通过支持SCSI "unmap "命令进行trim机制。然而，为了使trim工作顺利进行，必须满足以下所有条件。

• 对UASP的硬件全面支持：计算机主板、固态硬盘和机箱内的存储控制器必须全部支持UASP

• 操作系统支持：自Windows 8以来，Windows原生支持UASP

• 驱动程序：只有少数符合UASP的芯片组有Windows驱动程序支持

• 数据线和USB端口：只有当设备用USB3.0数据线连接到USB3.0端口时，UASP才能工作。用其他数据线连接或使用传统的USB2.0端口，在大多数情况下会导致不兼容。（硬盘仍然可以作为USB大容量存储设备使用，但不支持trim）

符合UASP标准的外置存储设备自2014年底以来一直存在，所以现在是时候把它们列入我们的新文章了。

Trim在Windows和Android设备之间是不同的。由于你可能会在Android智能手机或平板电脑中遇到eMMC内存，因此将在本文中有所提及，但更专业的Android文献会给你更多的技术细节。

Windows

Trim命令是在操作系统释放一个数据块后立即向操作系统发出的。Trim只适用于NTFS格式的分区。此外，Windows 8及更高版本有一个内置的磁盘优化和碎片整理工具，可以定期运行并对固态介质上的整个未分配空间进行Trim。虽然Windows 7也有一个磁盘碎片整理工具，但它不带有对固态介质的优化。换而言之，一旦通过Windows操作系统从eMMC上删除一个文件，可以认为它的磁盘空间已经被Trim（但不一定被eMMC控制器删除）。

Android

Android系统只有在4.3版本的果冻豆中才支持完整的Trim功能。

此外，可以肯定的是，当且仅当设备最初安装的是Android4.3系统或更新版本时，安卓设备才支持主动Trim。许多装有安卓4.2系统的设备后来被更新到安卓Kit Kat甚至Lollipop，但它们的制造商从未提供Trim支持（但其他一些设备却有）。

据Google称，所有活跃的安卓设备中约有25%运行的是安卓4.2或更早版本。在那些运行Kit Kat的34%的设备中，有一个未知的数字是从早期的安卓版本更新而来的，没有得到完整的Trim支持。那么这些旧设备怎么办？

早期版本的安卓系统依靠Linux fstream来清理未使用的数据块。由于没有 "实时"Trim，每次设备关闭时都要进行清理（Trim）。这是ACPO指南制定的原因之一，该指南详细说明了在原始状态下扣押和储存移动设备的过程（"如果是开机状态，就不要关闭"）。