Czy istnieje sposób na odzyskanie usuniętych plików, które mogły zostać zastąpione?

Usunąłem wiele plików i folderów z laptopa, a następnie umieściłem nowe pliki w tych samych folderach. Muszę odzyskać usunięte pliki. Próbowałem dużo oprogramowania do odzyskiwania i nie mogłem odzyskać moich starych plików.

Przeczytałem, że jeśli ponownie skasujesz foldery nowymi plikami, nie będę mógł ich odzyskać. Czy to prawda?

Co powinienem zrobić?

Jeśli dane zostały rzeczywiście nadpisane, nie można ich odzyskać.

Oto artykuł z 1996 r., Który zapoczątkował twierdzenia, że ​​jest to możliwe: Peter Gutmann: „ Bezpieczne usuwanie danych z pamięci magnetycznej i półprzewodnikowej ” ( również tutaj ).

Szczerze mówiąc, dr Gutmann zauważa w swoim pierwszym epilogu do gazety:

Kolejnym punktem, który wydaje się być pominięty przez wielu czytelników, jest to, że w tym dokumencie nie przedstawiono rozwiązania do odzyskiwania danych, ale rozwiązanie do usuwania danych. Innymi słowy, w swoim opisie problemu wskazuje, że istnieje potencjalne ryzyko, a następnie w artykule przeanalizowano sposoby ograniczenia tego ryzyka.

Innymi słowy, gazeta nie twierdziła, że ​​możliwe jest odzyskanie zastąpionych danych. Pokazał tylko powody, by sądzić, że jest to prawdopodobne, i zaproponował wzory zastępowania, które powinny wystarczyć, aby zapobiec takiemu odzyskaniu. (Chociaż, ponieważ najwyraźniej nigdy nie wykazał żadnego odzyskania nadpisanych danych, nie mógł przetestować tych wzorów, więc ich skuteczność pozostaje równie niesprawdzona, jak ich konieczność).

Jednak poniższe dokumenty pokazują, że ryzyko jest znacznie, znacznie mniejsze niż deklarowano.

(Czuję się zmuszony wspomnieć, że dr Gutmann słynie również z twierdzenia, że ​​antypirackie funkcje wymuszania DRM w systemie Windows Vista zużywałyby tyle energii, że znacznie przyczyniłyby się do globalnego ocieplenia. George Ou: „ Twierdzenie, że Vista DRM powoduje pełne obciążenie procesora i globalne ocieplenie zdemaskowane! ”(2007).)

W poniższych sekcjach przytoczę kilka artykułów, które nie zgadzają się z twierdzeniami dr Gutmanna o możliwości odzyskania zastąpionych danych.

Daniel Feenberg, National Bureau of Economic Research: „ Czy agencje wywiadowcze mogą odczytać nadpisane dane? ” (2003, rev. 2013) dokładnie przeanalizowały twierdzenia Gutmanna i uznały je za „mocno przepracowane”. Prezentacja jest dość nietechniczna i stanowi dobry „punkt wyjścia” do kolejnych prac. (Uwaga: ten link został wcześniej opublikowany w komentarzach do pytania autorstwa Moaba. Uwaga: W poniższym cytacie oraz w pozostałej części tej odpowiedzi „MFM” odnosi się do „Mikroskopu siły magnetycznej”, mikroskopu, który ujawnia wzorce magnetyzacji wysoka rozdzielczość, a nie „zmodyfikowana modulacja częstotliwości”, przestarzała technika zapisu danych na dyskach twardych. „MFM” jest również używany w tym drugim kontekście w Gutmann ”

Gutmann wspomina, że ​​po prostej konfiguracji urządzenia MFM bity zaczynają płynąć w ciągu kilku minut. To może być prawda, ale bity, do których się odnosi, nie pochodzą z plików dysku, ale piksele na obrazach powierzchni dysku. Charles Sobey [...] sugeruje, że skanowanie jednego talerza za pomocą najnowszej technologii MFM zajęłoby ponad rok i trzeba by przetworzyć dziesiątki terabajtów danych obrazu.

i:

Pojedynczy zapis jest wystarczający, jeśli nadpisywanie jest naprawdę losowe, nawet biorąc pod uwagę mikroskop STM o znacznie większych mocach niż w odnośnikach. W rzeczywistości dane zapisane na dysku przed danymi, których odzyskiwanie ma być poszukiwane, będą zakłócać odzyskiwanie tak samo, jak dane zapisane później - mikroskop STM nie jest w stanie określić kolejności, w której powstają momenty magnetyczne. To nie jest jak atrament, gdzie późniejsze aplikacje są fizycznie na wierzchu wcześniejszych oznaczeń.

i:

Niedawno przysłali mi fascynujący artykuł Wrighta, Kleimana i Sundhara (2008), którzy pokazują rzeczywiste dane dotyczące dokładności odzyskanych danych obrazu. Chociaż obrazy zawierają pewne informacje o bitach leżących u podstaw, poziom błędu jest tak wysoki, że trudno jest wyobrazić sobie jakiekolwiek zastosowanie dla wyniku. Chociaż sporadyczne słowa można odzyskać z tysięcy, zdecydowana większość pozornie odzyskanych słów byłaby fałszywa.

(Artykuł Wrighta i in. To papier, który omawiam w następnej + 1 sekcji.)

Innym faktem, nad którym należy się zastanowić, jest fakt, że nikt nie przeczytał „18-minutowej przerwy” Rosemary Woods stworzonej na taśmie Nixona omawiającej włamanie do Watergate. Pomimo faktu, że gęstość danych na rejestratorze analogowym w latach 60. była około milion razy mniejsza niż obecna technologia napędowa i że odzyskiwanie dźwięku nie wymagałoby wysokiego stopnia dokładności, żaden fonem nie został odzyskany.

Feenberg prowadzi do artykułu Charlesa Sobeya: „ Odzyskiwanie danych, których nie można odzyskać ”. (Łącze, którego używa, jest nieaktualne; ten jest w tej chwili dostępny.) Jednak praca Sobeya dotyczy odzyskiwania danych z uszkodzonych dysków, a nie nadpisanych:

Jeśli dysk nie jest fizycznie uszkodzony, dane użytkownika nadal tam są, chyba że zostały zastąpione. (emph. added - jeh)

Craig Wright, Dave Kleiman i Shyaam Sundhar RS: „ Overwriting Hard Drive Data: The Great Wiping Contoversy ” (2008) to bardziej techniczny artykuł. Autorzy przetestowali teorię wykorzystania mikroskopu siły magnetycznej Gutmanna (Gutmann najwyraźniej nigdy tego nie zrobił, nigdy nie twierdził, że tak ma) i stwierdzili, że nie zadziała.

Istota ich argumentu jest następująca: Stare dane mają wpływ na pola magnetyczne powstające, gdy nowe dane je nadpisują; pokazują jednak (z rzeczywistymi danymi), że efekt jest wyjątkowo słaby. Jest w tej samej kolejności, co zmiany sygnału - szum - napotykane „naturalnie” podczas odczytu nawet niegdyś nieskazitelnego napędu, a tych dwóch nie można niezawodnie oddzielić . tzn. zmian w sile pola magnetycznego, które są spowodowane hałasem, który jest normalny podczas pracy dysku twardego, i tymi, które są spowodowane starymi danymi, nie można od siebie odróżnić.

Faktem jest, że w przypadku współczesnych dysków (nawet sięgających 1990 roku) cały ten proces jest w większości zgadywaniem, które znacznie się nie udaje podczas testowania.

Ponadto twierdzą, że podstawowa teoria odzyskiwania zastąpionych danych jest nieobsługiwana:

Argument wywodzi się ze stwierdzenia, że ​​„każda ścieżka zawiera obraz wszystkiego, co kiedykolwiek do niej napisano, ale że wkład z każdej` `warstwy '' stopniowo maleje, im dalej powstaje wstecz. To nieporozumienie dotyczące fizyki napędu funkcje i rezonans magnetyczny. W rzeczywistości nie ma komponentu czasu, a obraz nie jest warstwowy. Jest to raczej wykres gęstości. [emph. added - jeh]

i

poziom odzyskiwania w przypadku idealnego obrazu jest zbyt niski, aby można go było zastosować nawet w przypadku nieskazitelnego dysku o niskiej gęstości (który nie istnieje w żadnym rzeczywistym środowisku).

i

W związku z tym możemy kategorycznie stwierdzić, że istnieje minimalna (mniejsza niż 0,01% szansa) na odzyskanie jakichkolwiek danych na NOWYM i nieużywanym dysku, który ma pojedyncze nieprzetworzone czyszczenie (nawet format niskiego poziomu). W przypadkach, w których dysk został użyty (a nawet sformatowany do użytku), odzyskanie informacji nie jest możliwe - istnieje niewielka szansa na odzyskanie bitów, ale szanse na uzyskanie całego słowa są niewielkie.

Gordon Hughes i Tom Coughlin: „ Bezpieczne usuwanie danych z dysku ” (2004) dochodzi do podobnych wniosków w przypadku „egzotycznej” analizy analogowej sygnału odzyskanego z głowic.

Pokazują, że możliwe jest wykazanie słabej korelacji między odzyskanymi sygnałami a starymi danymi, ale tylko wtedy, gdy już wiesz, jakie były stare dane. Jest to oczywiście bezużyteczne sądowo. Jeśli nie masz nic do skorelowania, to resztkowy wpływ starych danych na sygnał jest nie do odróżnienia od szumu. Jest to ten sam wniosek sformułowany w artykule cytowanym wcześniej przez Wrighta, Kleimana i Sundhara, ale osiągnięty poprzez analizę sygnałów elektrycznych zamiast obrazów MFM.

Wnioskują:

Jeden przebieg kasowania wydaje się wystarczający, aby uniemożliwić odzyskanie starych danych.

Również w odniesieniu do „obrazów” domen magnetycznych MFM:

Łatwo jest uzyskać zdjęcia, które wydają się pokazywać nieosunięte dane krawędzi toru. Ale nikt nie wykazał pełnego odzyskania sektora danych, w tym preambuły synchronizacji danych, demoligatora bitów, kodów częściowej odpowiedzi i modulacji oraz kodu korekcji błędów.

Dodam jeszcze moją ostatnią myśl: Gdyby możliwe było zapisanie dwóch różnych zestawów danych w tym samym obszarze fizycznym dysku i odzyskanie ich w sposób niezawodny, twórcy dysków twardych byliby w tym wszystkim od dawna. Wykorzystaliby widoczną zdolność dysku do przechowywania dwóch różnych elementów danych w tym samym miejscu, aby zwiększyć użyteczną pojemność dysku. Wyraźnie tak się nie stało.

Czy poszli do kosza na śmieci? Nowoczesne systemy operacyjne wykorzystują paradygmat kosza na śmieci. Pliki nie są usuwane na miejscu, a jedynie przenoszone do specjalnego repozytorium.

Jeśli miejsce zajmowane przez plik (i) zostało zwolnione, system operacyjny może ponownie wykorzystać to miejsce przy pierwszej okazji. Oznacza to, że nie można odzyskać tego miejsca w celu odtworzenia usuniętego pliku.

To jest jak tablica w klasie. Jeśli zawartość została usunięta, możesz, jeśli uważnie przyjrzysz się planszy, zrekonstruuj zawartość. Jeśli zostało wyczyszczone naprawdę czyste lub zostało zastąpione, poprzednie dane zostaną utracone. Jeśli został częściowo zastąpiony, być może będziesz w stanie częściowo zrekonstruować utracone dane.

Nie wiem o jakim systemie operacyjnym mówisz, ale tak, możesz odzyskać pliki, jeśli są na dysku twardym.

Dyski magnetyczne mogą rozprzestrzeniać informacje o swojej powierzchni (najwyższa warstwa z dysku) na głębsze warstwy ze względu na właściwości magnetyczne. Dobry program może odczytywać informacje we wszystkich tych warstwach (setki i tysiące razy w każdym sektorze), porównując wszystkie odczyty sektorów i próbując odzyskać oryginalne informacje, które będą statystycznie najczęstsze dla każdego sektora.

Jeśli pliki zostały normalnie usunięte (nie jest to metoda DoD 5220-22M), możesz spróbować SpinRite, aby je odzyskać.

Ale jego działanie, ze względu na swoje właściwości, jest naprawdę wolne i może zająć wiele godzin, w zależności od prędkości dysku twardego (dysku i kontrolera).