Odzysk nadpisanych danych - jak to jest?
 

Jak to wreszcie jest z tym odzyskiwaniem danych, które zostały nadpisane? Wielokrotnie się czyta, że zerowanie dysku lub tzw. pełne formatowanie bezpowrotnie niszczy dane, gdyż są one nadpisywane. Skoro tak to czemu stosuje się niszczenie danych za pomocą wielokrotnego nadpisywania? Czy po zwykłym nadpisaniu danych (np. nadpisanie innym plikiem lub pełny format) można jednak coś jeszcze odzyskać?

tak, mozna
za pomoca specjalistycznego oprogramowania (XWays, EnCase, Ontrack Recovery etc etc)
zwykle nie wszystko da sie odzyskac, ale bardzo duzo
ile - zalezy od konkretnego przypadku

nie jest to proces szybki a jego zlecenie nie jest tanie

Na nośnikach flash, nadpisanych danych nie da się odzyskać.
Na nośnikach magnetycznych itp. domowymi sposobami nie da się odzyskać. W teorii, głowica nie zawsze idealnie trafia tam gdzie powinna, ale nie jestem przekonany czy przy dzisiejszych gęstościach nie przestaje mieć to znaczenia.

nie do konca :)

domowymi sposobami - zapomnij
dlatego podalem przykladowy soft do tego sluzacy - ceny to kilkadziesiat tysiecy za licencje ;) w komplecie z kabelkami na szczescie :P ceny szkolen do obslugi powyzszych - kolejne kilkanascie tysiakow :)

co do samych flash to problem jest bardziej zlozony
przez implementacje wear leveling nie jest praktycznie mozliwe nadpisanie konkretnych danych ani ich wipowanie, jak ma to miejsce na HDD
pokonferencyjne materialy FAST zas mowia o tym, ze dwukrotny zapis calej dostpenej pojemnosci flash usuwa bezpowrotnie dane w wiekszosci przypadkow... ale nie zawsze
wynika to z nadmiarowosci flash i sposobu zarzadzania blokami

slowem - sam cos sobie nadpisales - nie odzyskasz
chcesz skaowac tak skutecznie dane, zeby NSA, FBI, ABW i Pan Zbyszek z zacieciem nie dal rady - pewnosci nigdy nie bedziesz mial

A więc to nie tylko oprogramowanie, ale również w zestawie jakaś karta rozszerzeń? Coś jak w Deepspar?

przede wszytskim klucz sprzetowy - bez niego soft nie jest nic wart
oprocz tego kable polaczeniowe
w niektorych pakietach blokery
w niektorych - takze kompletne systemy obrazowania bez posrednictwa kompa

TO NIE SA PROGRAMY DO UZYTKU DOMOWEGO
nie dostaniesz ich do domu, kupno jest poza zasiegiem finansowym przecoietnej osoby
sciagniecie pirata nic nie da

napisz konkretnie co cie interesuje
pytanie teoretyczne, czy sie da? TAK
pytanie, czy mozesz sam cos odzyskac w domu? NIE

I to jest odpowiedź, której chciałem i której w sumie się domyślałem. Sam od czasu do czasu odzyskuje ludziom dane, ale też nie na taką skalę, chociaż kto wie jak się to potoczy dalej. Stąd ciekawość i chęć poznawania nowych rzeczy :)

ehm, nie do końca... był kiedyś art, że gościowi odzyskali więcej fotek niż fizycznie mieści się na karcie, te nadmiarowe były uprzednio skasowane, moim zdaniem się da.

A czy te nadmiarowe dane to nie jest już ciężka zabawa w odzyskiwanie sygnaturowe?

Aż tak się nie znam... najprościej sprawdzić samodzielnie ;)
Ale masz rację odzyskiwała fotki jakaś profesjonalna firma.

Na flash nie da się odzyskać >>nadpisanych<< danych. Fizycznie to jest niewykonalne bo ich tam po prostu już nie ma.

Osobną kwestią są SSD i sposób zarządzania blokami przez ich fw. Gdyby można było wyłączyć trim, wear leveling, garbage collector itp. to by się niczego nie dało odzyskać. Skoro nie można to i tak potrzeba specjalnego fw lub danych producenta aby wiedzieć jak złożył z kości macierz.

@Patrix
Ale to bzdury jakieś. Dane musiałyby być duplikowane, czyli np. pendrive o wielkości 4GB musiałby mieć jakieś niewidoczne dla komunikującego się z nim kontrolera dodatkowe miejsce np. drugie tyle. Po za szpiegostwem gospodarczym lub naukowym i profilowaniu ofiar nie widzę sensu aby chińczyk sobie zwielokrotniał koszty.

Ależ chińczyki mają różne wynalazki. Ostatnio widziałem dysk SSD a w środku był pendrive 16 GB - a dysk niby wykrywany na 256 GB :szczerb:

To akurat nic wyczynowego. Tablica systemu plików przygotowana dla 256GB, ale przypisane w niej sektory zapętlone (po zapisie tych 16GB, użytkownik nieświadomie nadpisuje od nowa te 16GB).

Myk znany z czasów podróbek kart pamięci do PS2.

Co ciekawe - znajomy się cieszył, że taka okazja :szczerb:

Jego mina bezcenna - jak zobaczył co kryje się w środku :P

Czasami te okazje mają rzeczywistą pojemność, ale jakość kości jest równa odpadom z fabryki.

Z pendrakami robią to samo. Ile tych aukcji "mega okazji super promocji wyprzedaży ostatnia sztuka kupuj! <red blink>" gdzie pendrive 512GB za 50zł. :szczerb:

A jak się fajnie tłumaczą handlarzyki czasem! :haha:

Wolę nie wiedzieć. :D

Tłumaczył ci się jakiś? Daj przykład :)

Berion - ale wlasnie tak jest, ze dostepna nie jest cala pamiec flash, tylko jej wieksza czesc
oprocz tego sa dane korekcyjne
co do nadpisanych - masz racje, ze fizycznie nadpisanych danych z flasha sie nie wyciagnie, ALE na flashu nie da sie fizycznie nadpisac danych :) takie bledne kolo
*znaczy da sie, ale to nie user decyduje a FW
nawet zapis 128 GB na SSD 128 GB nie daje pewnosci nadpisania danych - vide powyzej

Proszę:

Aliexpress, groszowa cena za pendraki mające rzekomo mieć 64 GB. Wiedziałem że nie mają, ale postanowiłem sobie pograć z Chińczykiem - zapłaciłem za 4 sztuki i od razu wysłałem mu wiadomość że natychmiast po ich dostarczeniu zostaną sprawdzone za pomocą h2testw.

Pan Chińczyk pisze: że on nie ma żadnej pewności jakiej rzeczywiście są one pojemności bo on je dostaje od producenta i tylko żeni dalej (no zawsze mi się zdawało że to każdy sklep w sumie to samo robi, no nie?) i że w tej sytuacji to on może lepiej od razu mi kasę zwróci.

Na co wspaniałomyślnie przystałem. :D

Dowód? ;]

Które są częścią logiki systemu plików, a nie jakimś tajemnym sprzętowym obszarem.

Flashe są różne. Na np. pendrive'ach nie ma takich systemów ochrony danych jak na SSD. A o SSD napisałem dalej, wszystko to co napisałeś teraz. :P

hdparmem można wyłączyć trim, to już da bardzo wiele (oczywiście to czysta głupota, ale chodzi o sam fakt że da się). Do tego SSD mają komendy nadpisujące jedynkami wszystkie bloki na raz i trwa to dosłownie chwilę (Secure Erase/Advanced Secure Erase). Przyspiesza się w ten sposób stare SSD (ponieważ zwalnia się wszystkie bloki i kontroler nie musi wykonywać dwukrotnie operacji zapisu, ani szukać miejsca gdzie daną operację może wykonać). Oczywiście to scenariusz do umyślnego uniemożliwienia odzyskania danych, równie dobrze można też szyfrować (z zewnątrz, nie mówię o pokładowym TPM). Jeśli rozmawiamy o scenariuszu odzyskania danych z SSD kiedy użytkownik używa go w normalny sposób, "coś poszło nie tak" to i tak skazany jest na te same metody co w przypadku np. HDD i z tego poziomu i tak będzie mógł odzyskać też to samo co na HDD.

Berion - overprovisioning wystarczy wpisac :)
http://www.kingston.com/pl/ssd/overprovisioning

To jest to samo co zapasowe sektory w HDD, remapowane przez fw przy trafieniu na bad block. Nic nowego, choć przyznaję, nie wiedziałem że to są aż takie gigantyczne ilości.

Udało mi się natrafić na materiały, w których opisane są technologie odzyskiwania nadpisywanych danych. Ale to już wyższa szkoła jazdy :)

Scanning Probe Microscopy (SPM)
Magnetic Force Microscopy (MFM)
Scanning Tunneling Microscopy (STM)

Panowie a jak sprawa wygląda z kartami SD ? Miałem kiedyś sytuacje że udało mi się odzyskać z jednej takiej część zdjęć wykasowanych przez nieuwagę podczas grzebania w aparacie . Tego wyczynu udało mi się dokonać poprzez zwykły czytnik w drukarce Brother i jakiś "specjalistyczny" program spod Windowsa . Nie wszystko wtedy udało się odzyskać ale efekty były zadowalające . Pamiętam tylko że Recuva wtedy "klękła " nic nie widziała ponieważ na karcie były już nadpisane nowe zdjęcia .

Pamiętam że ta karta z aparatu po pewnym czasie siadła . Nie była wykrywana . Myślicie że mogła to spowodować ta operacja odzyskiwania czy to po prostu przypadek ? ( karta nie siadła od razu ) Dodam że ta karta nie była jakaś markowa tylko Chińskie badziewie dodawane za darmo do aparatu .

Nadpisanych danych niczym i z niczego nie odzyskasz (za wyjątkiem HDD i mapy magnetycznej nośnika, ale to tylko w laboratorium i tylko w teorii...) ponieważ... zostały nadpisane. ;) Odzyskać możesz wszystko to co nie zostało nadpisane - osobną kwestią jest interpretacja tych danych.

Zbieg okoliczności.

Wg guru
Craig Wrighta
http://computer-forensics.sans.org/b...verwrite-data/
http://computer-forensics.sans.org/b...rd-drive-data/
www.vidarholen.net/~vidar/overwriting_hard_drive_data.pdf
bonus
http://www.channelscience.com/files/...a_Recovery.pdf

Tu znalazłem ciekawy artykuł o niszczeniu danych i ewentualnych możliwościach odzysku:

https://www.niszczenie.pl/metody-niszczenia-danych