Odzyskiwanie skasowanych danych

Wydawać by się mogło, że jest to najprostszy z procesów z dziedziny data recovery. Internet i fora zajmujące się dziedziną odzyskiwania danych pełen jest porad jak odzyskać wykasowane pliki i foldery z naszych nośników danych. Wystarczy przecież użyć programu (tu pada jego nazwa), przeskanować dysk i zapisać odzyskane dane. W znakomitej większości przypadków tak to właśnie wygląda. Co jednak, jeśli nie znajdujemy naszych danych, albo dane, które odzyskaliśmy się nie otwierają lub są uszkodzone? Na to jaką skuteczność w odzyskiwaniu wykasowanych danych osiągniemy ma kilka czynników.

Skasowałeś/aś dane? - co robić, a czego nie robić

Pierwszym, na który mamy bezpośredni wpływ, to operacje jakie wykonamy po stwierdzeniu faktu przypadkowego lub celowego usunięcia danych. Jeżeli odłożymy proces odzyskiwania skasowanych danych na później , a nasz dysk będzie zapełniany nowymi plikami istnieje duże ryzyko, że nadpiszemy obszary adresowe zajmowane przez dane, które będziemy chcieli odzyskać. Wyrażenie „zapełnianie nowymi plikami” jest kluczowe. „Nic nie było zapisywane” – to stwierdzenie, które słyszymy niejednokrotnie. „… tylko przejrzałem/am pocztę, trochę pochodziłem/am po internecie”. Operacje zapisu na dysku wykonywane są cały czas, robi to system operacyjny aktualizując plik wymiany, każda strona internetowa , którą otworzymy, zapisywana jest na naszym dysku w trybie off-line. Jeśli jest bogata w grafikę potrafi zająć od 1MB do kilku MB. Jeśli przez przypadek zostanie wykasowany folder z dokumentami (pismami, arkuszami kalkulacyjnymi), które średnio zajmują 20KB-100KB (pojedyńczy plik), to otwarcie jednej takiej strony może nam nadpisać od kilkunastu do kilkudziesięciu skasowanych danych. Warto również zwrócić uwagę, że nawet prawidłowe zamykanie systemu operacyjnego powoduje wykonywanie operacji zapisu na dysku, nie mówiąc już o przełączeniu komputera w stan hibernacji, dlatego zaleca się wręcz, jakże skuteczną metodę wyciągnięcia wtyczki zasilającej komputer z gniazdka. Sprawa trochę się komplikuje w przypadku komputerów przenośnych. Wyjęcie akumulatora może być lekko problematyczne. Dlaczego jest to takie ważne? Niestety nadpisanych częściowo lub całkowicie danych nie da się odzyskać żadnym programem, ani żadnymi innymi sposobami.

Wybór programu do odzyskiwania skasowanych danych

Drugim z czynników mających wpływ na skuteczność odzyskiwania skasowanych danych jest to jakiego programu użyjemy. Jest mnóstwo polecanych aplikacji tego typu. Z uwagi na to czym się zajmujemy i z naszego doświadczenia wiemy, że jedne radzą sobie trochę lepiej inne trochę gorzej. Cóż, programy do odzyskiwania danych są tak dobre, jak programiści, którzy je napisali. Zdarzało nam się odzyskiwać znacznie większą ilość sprawnych skasowanych danych w stosunku do rezultatu jaki był osiągany przez właściciela dysku. Z pewnością ważnym jest, aby program obsługiwał system plików jakim sformatowany jest nasz dysk, z którego chcemy odzyskiwać wykasowane dane.

System plików, a odzyskiwanie usuniętych plików

Wspomnieliśmy o systemie plików. To jakim systemem plików sformatowany jest nasz dysk jest trzecim czynnikiem i ma ogromne znaczenie w procesie odzyskiwania usuniętych danych. Stosunkowo najprościej odzyskuje się dane z dysków z systemu Windows, a precyzyjniej dysków sformatowanych systemem plików NTFS. Skasowany pliku lub katalog oznaczany jest tylko „flagą-usunięty”. Odpowiednio dobry program do odzyskiwania skasowanych danych pod NTFS powinien poradzić sobie z tym bez problemu.

Słabe wiadomości mamy dla wszystkich użytkowników Apple`a, który formatuje swoje dyski swoim systemem plików HFS+ lub nowszym APFS. Usunięcie pliku, opróżnienie kosza powoduje wymazanie informacji o nazwie i położeniu skasowanego pliku lub katalogu, wymazanie wszystkich atrybutów, w tym atrybutu czasu utworzenia/modyfikacji. Czy można zatem odzyskać takie usunięte dane? Odpowiedź nie jest taka oczywista,. Jeśli zależy nam na zachowaniu struktury i nazw skasowanych danych, to w takiej formie są nie do odzyskania. Jeżeli zależy nam na danych z plików, będziemy mogli je odzyskać, ale odzyskane dane zostaną umieszczone w konkretnych grupach, np: zdjęcia JPG, zdjęcia CR2, dokumenty Word …itp., a nazwy jakie otrzymamy to np. : file_001.jpg, file_002.cr2, file_003_docx, file_004.cr2….W ten sposób możemy odzyskać całość lub tylko cześć skasowanych danych. Dlaczego część? Dane mogą być pofragmentowane, a mapa pliku również jest niszczona podczas jego kasowania. Niestety zwolennicy Linuxa będą mieli taki sam problem. Systemy plików z rodziny EXT zachowują się podobnie.

Odzyskiwanie skasowanych danych z dysków HDD i SSD, czy to w ogóle ma znaczenie?

Mamy nadzieję, że powyższe informacje były na tyle interesujące, że dotarłeś/aś do tego miejsca. Na koniec, klasyczny dysk HDD i dysk SSD, czy dysk jakiego używamy może mieć wpływ na skuteczność odzyskiwania skasowanych danych? Mamy złe wiadomości dla użytkowników dysków SSD. W 99,9% odzyskanie skasowanych danych z tego typu dysków jest niemożliwe bez względu na to co zrobimy po usunięciu danych, jakiego programu użyjemy i jak sformatowany był nasz dysk. Odpowiedzialna za to jest funkcja TRIM, która jest implementowana w dyskach SSD, a która powoduje niejako z automatu wyzerowanie całej wolnej przestrzeni, która nie jest używana przez istniejące dane. Na dysku SSD sformatowanym NTFS-em programy do odzyskiwania danych odnajdą nam wykasowane pliki, ale żaden z nich raczej się nie otworzy, ponieważ binarnie będzie wypełniony samymi zerami.