6、数字取证：挑战与解决方案深度剖析

数字取证：挑战与解决方案深度剖析

1. 文档元数据与隐写术

在数字取证领域，像 Microsoft Office 这类使用结构化存储来编码文档文件元数据的文档编辑器，往往会携带远超预期的数据量。这些元数据在创建新的空文档文件以及编辑现有文件时自动添加，其中包含了诸如文档作者、修改日期、创建或修改文档的机构、文档审阅者、创建和编辑文档的系统信息、所用软件、文件的删除内容，甚至还包括在编辑文档时与该文档共存于系统中的无关文件内容。

文档中的敏感信息泄露不仅源于元数据的存在，还与文档文件中存在的不良数据（即“垃圾数据”）有关。尽管随着时间推移，出现了一些用于去除文档文件中敏感信息的工具，如 Microsoft Remove Hidden Data Tool 和 ezClean，但这些工具的效率存疑。Castiglione 等人通过实验发现，即使使用这些工具对文档进行清理，再用 UNIX 中的“strings”工具打印文档文件的可打印项时，仍会输出大量不必要且意外的敏感信息，包括文档的修订历史、文件路径、原文档标题等。

研究表明，平均约 6.53% 的文档大小被分配给“垃圾数据”，且大部分在文档的整个生命周期内都未被使用。Castiglione 等人提出了“StegOle”工具，利用隐写术在 Microsoft Office 文档的垃圾区域空闲空间中隐藏数据。该工具不仅能隐藏数据，还能从文档的垃圾部分检索隐藏数据，并且实现了消息的加密和压缩以提高效率。“StegOle”有“单文件模式”和“多文件模式”两种操作模式。

数据隐藏过程分为四个步骤：
1. 可用空间计算 ：计算文档垃圾区域的可用空闲空间量。
2.