これにより、ファイルは回復不能になりますか (Windows OS)?
- ファイルを削除します（つまり、ごみ箱に送信します）。
- ごみ箱を空にします (つまり、メモリ内のデータが保存されている場所への参照を削除します)。
- メモリを別のデータで上書きします (使用されているメモリ ブロックを把握しており、それらを新しいデータで使用するように強制すると仮定します)。
一度数回上書きすると、データは本当に回復不可能になると読んだことがあります。それは本当ですか? データが保存されていたメモリに別のデータが保存されている場合、どうすればデータを回復できるのでしょうか?
答え1
磁気ドライブの場合、すべてのディスクはパーティション (大きなコンテナ) で構成され、各パーティションにはフォーマット (小さなコンテナ) があります。これらの小さなコンテナのサイズはさまざまですが、パーティションには 1 つのサイズの小さなコンテナしか含められません。選択肢は、512、1024、2048、4096 バイトなどです。
各小さなコンテナには場所 (セクター) があり、各セクターはクラスター内に存在し、各クラスターはトラック上に存在します。これらのセクター (小さなコンテナ ID) のそれぞれにはインデックスが付けられ、ほとんどの場合、このインデックスは MBR (マスター ブート レコード) の最も内側のトラックに存在します。
ファイルを削除すると、インデックス ID が書き込み可能としてマークされますが、ファイルは実際には削除されず、忘れられるだけです。推測として、新しいファイルを書き込み、そのセクターに書き込んだとします。これは (最初のパス) であり、技術的にはファイルは削除されず、1 つのセクターが削除されただけです。RAID ドライブと同じように、ファイルを簡単に再構築して、失われたバイトを見つけることができます。
すべてのセクターが上書きされたとすると、各セクターが 1 回上書きされたため、これは完全な最初のパスと見なされます。各セクターには読み取り/書き込みの制限があり、この制限に達するとセクターは不良となり、インデックスによってロックされます。セクターが不良になるのは、磁場を正から負に変更し、1 つのセクターで 1 ビットを 0 に設定すると、ディスク上の領域が最終的に分極化され、読み取り不可能なセクターになるためです。
市販されているデータ復旧ソフトウェアのほとんどは、数回のパスで読み取りが可能です。ノートの下にあるページを透かして読み取るのと同じようなものです。また、法医学ソフトウェアは、ハードドライブのヘッドの感度の限界まで読み取ります。専門的なデータ復旧作業では、ディスクをドライブから取り出し、はるかに感度の高いヘッドを備えたマシンに挿入し、最後の手段として磁力走査トンネル顕微鏡最大10～20nmのフィールド変動を読み取ることができます。
上記はすべて、仮想ファイルを保存する物理的な側面です。オペレーティング システムとプログラムを構成するファイルは依然として存在します。Microsoft の OS プログラムの 1 つにシャドウ コピーがあります。これは、データのセクターのパスを保存するデータベースです。これを使用すると、一方向に移動したり、特定の期間に戻ったりしてファイルを回復できます。
つまり、ファイルは削除されることはありません。忘れ去られて徐々に消えていくだけです。