Wie können gelöschte Daten wiederhergestellt werden, selbst wenn sie überschrieben wurden?

Question

Würde dies dazu führen, dass eine Datei nicht wiederherstellbar ist (Windows-Betriebssystem)?

1. Löschen Sie die Datei (d. h. senden Sie sie in den Papierkorb).
2. Leeren Sie den Papierkorb (d. h. entfernen Sie den Verweis darauf, wo im Speicher die Daten abgelegt sind).
3. Überschreiben Sie den Speicher mit anderen Daten (nehmen Sie an, Sie kennen die verwendeten Speicherblöcke und haben deren Verwendung mit neuen Daten erzwungen).

Ich habe gelesen, dass die Daten erst nach mehrmaligem Überschreiben wirklich nicht wiederherstellbar sind. Stimmt das? Wie könnten die Daten wiederhergestellt werden, wenn im Speicher, in dem sie gespeichert waren, etwas anderes gespeichert ist?

Answer 1

Bei magnetischen Laufwerken besteht jede Festplatte aus einer Partition (großer Container), und jede Partition hat ein Format (kleinere Container). Diese kleineren Container gibt es in unterschiedlichen Größen, eine Partition kann jedoch nur einen kleinen Container einer einzigen Größe haben. Zur Auswahl stehen 512, 1024, 2048, 4096 usw. Bytes.

Jeder kleine Container hat einen Standort (Sektor). Jeder Sektor befindet sich in einem Cluster und jeder Cluster befindet sich auf einer Spur. Jeder dieser Sektoren (ID des kleinen Containers) ist indiziert. Meistens befindet sich dieser Index auf der innersten Spur mit MBR (Master Boot Record).

Wenn man eine Datei löscht, wird die Index-ID als beschreibbar markiert, die Datei wird also nicht wirklich gelöscht, sondern nur vergessen. Nehmen wir zur Spekulation an, man schreibt eine neue Datei und sie hat in diesen Sektor geschrieben, dann wäre das ein (erster Durchgang). Technisch gesehen wird die Datei nicht gelöscht, nur ein Sektor wurde entfernt. Man kann die Datei einfach neu erstellen und die fehlenden Bytes herausfinden, so wie es RAID-Laufwerke tun.

Angenommen, jeder Sektor wurde überschrieben, dann wäre dies ein vollständiger erster Durchgang, da jeder Sektor einmal überschrieben wurde. Jeder Sektor hat eine begrenzte Anzahl an Lese-/Schreibvorgängen. Sobald diese Grenze erreicht ist, wird der Sektor fehlerhaft und durch den Index gesperrt. Ein Sektor wird fehlerhaft, weil sich ein Magnetfeld von positiv auf negativ ändert. Das Setzen eines 1-auf-0-Bits in einem einzelnen Sektor führt schließlich dazu, dass der Bereich auf der Festplatte polarisiert wird und ein nicht lesbarer Sektor entsteht.

Die meisten kommerziellen und öffentlich verfügbaren Datenrettungsprogramme können mehrere Durchgänge tief lesen – man denke nur daran, durch ein Notizbuch hindurch bis zur darunterliegenden Seite zu sehen – und forensische Programme können bis zur Empfindlichkeitsgrenze eines Festplattenkopfes lesen. Professionelle Datenrettungsunternehmen nehmen die Festplatten aus dem Laufwerk und legen sie in eine Maschine mit weitaus empfindlicheren Köpfen und als letztes Mittel einMagnetkraft-Rastertunnelmikroskopiekonnte Feldvariationen von bis zu 10–20 nm ablesen.

All das oben Genannte ist der physische Aspekt der Speicherung einer virtuellen Datei. Es gibt immer noch Dateien, aus denen Betriebssysteme und Programme bestehen. Eines der Betriebssystemprogramme von Microsoft ist die Schattenkopie. Dabei handelt es sich um eine Datenbank, die Sektorendurchläufe Ihrer Daten speichert. Sie können sich in eine Richtung bewegen und zu einem bestimmten Zeitraum zurückkehren, um Dateien wiederherzustellen.

Die Antwort lautet also: Die Datei wird nie gelöscht, sie wird nur vergessen und verschwindet langsam.