Удалено не значит уничтожено — так звучит мантра всех специалистов по восстановлению данных. Для вас у этого факта есть как достоинства, так и недостатки. В первом случае представьте, например, вы случайно стерли нужный файл и очистили Корзину. Несмотря на то что с помощью собственных средств Windows восстановить информацию не удастся, специальные программы справятся с этой задачей. Недостаток проявляется тогда, когда вы собираетесь подарить, продать или утилизировать старый носитель. В таких случаях необходимо следовать принципу всех «уничтожителей» данных: только перезапись гарантирует надежное удаление. Для этого вам потребуется особое ПО, исключающее последующее восстановление информации.

Восстановление и удаление взаимосвязаны

Эти процедуры тесно связаны друг с другом. Если знать принцип действия программ при реанимации данных, можно понять, какие способы удаления следует применять. Ответы на многие вопросы — например, поможет ли обычное ПО, в какой момент следует прибегнуть к помощи специалистов по восстановлению и насколько сложно будет надежно удалить все личные данные — зависит от типа накопителя.

Все дело в цифровых носителях

В случае с магнитными жесткими дисками прежде всего необходимо справиться с «коварством» файловой системы. На твердотельных решениях и других типах накопителей, созданных на базе флеш-памяти, конструкция оборудования не позволяет осуществлять прямой доступ к данным, что в первую очередь затрудняет процесс удаления. Особые сложности ожидают владельцев смартфонов и планшетов на базе Android, поскольку сброс настроек до заводского состояния на этих устройствах не означает автоматическое переписывание данных. Для удаления необходимо обращаться к внутренней памяти, а сделать это из Windows не так то просто.

Многие компании предлагают сервисы включающие в себя восстановление данных с жесткого диска. В Москве такие услуги предоставляет сервис-центр "Хардмастер".

Жесткий диск

невидимая информация

Исчезнувшие разделы и скрытые данные усложняют восстановление информации на магнитных дисках, но все же это выполнимо.

Магнитные носители — прекрасный материал для специалистов по восстановлению и удалению информации, поскольку в случае с ними существует возможность прямого доступа к физически записанным битам и байтам. В этих целях задействуется файловая система, которая ведет центральную таблицу, где записаны место размещения и тип сохраненных файлов. В системе FAT она называется File Allocation Table (таблица размещения файлов), а в NTFS — Master File Table (MFT — главная файловая таблица). При удалении файла Windows не избавляется от его записи, а лишь отмечает его как удаленный. Таким образом, сам файл не стирается.

Возврат данных

Такие бесплатные программы для восстановления, как Recuva, после клика по кнопке «Анализ» начинают поиск в таблице MFT и создают список всех записей, отмеченных как удаленные. И это только первый этап поиска. Если даже Windows удалила запись о файле из таблицы, Recuva может провести RAW-сканирование («глубокий анализ»), которое доступно из раздела «Настройки». При этом утилита ищет в битовом потоке заголовки файлов, отмечающие их начало. У каждого типа файла они похожи. К примеру, файл JPEG всегда будет начинаться значениями битов для букв JFIF. Если жесткий диск сильно фрагментирован и фотография разбита на множество отдельных блоков, обычные утилиты для восстановления, как правило, не справляются. А вот у программы Recuva есть еще одна возможность: если она не находит запись в актуальной MFT, то начинает поиск следов предыдущей таблицы. Они сохраняются даже в случае переформатирования жесткого диска. При этом создается новая, пустая MFT, однако старая не перезаписывается. Бесплатная утилита Test-Disk обнаруживает все прежние таблицы благодаря поиску исчезнувших разделов. Recuva использует информацию из ранних MFT, если установлен флажок напротив записи «Поиск неудаленных файлов».

Надежное удаление

Уничтожение данных — не слишком сложный процесс, поскольку один раз переписанные биты и байты не смогут восстановить даже специалисты. Однако существует проблема:необходимо перезаписать абсолютно все данные. Такие программы, как Eraser, не способны на это. Всегда существует риск сохранения связанной скрытой информации: альтернативные потоки данных (Alternate Data Streams), обязательные для NTFS, Windows создает каждый раз при загрузке из Сети исполняемого файла. Эти потоки можно стереть лишь в том случае, если полностью перезаписать утилитой для удаления неиспользуемое пространство раздела на диске («Unused disk space»).

Флеш-память

Чтением и записью на флеш-накопителях управляет не Windows, а контроллер SSD. Он «знает» и команду на удаление.

С появлением твердотельных накопителей изменились правила восстановления и удаления файлов, поскольку ОС больше не имеет прямого доступа к битам и байтам. Контроллер SSD сам решает, какие флеш-ячейки заполнять и очищать. В случае с восстановлением данных мало что изменилось, однако такие утилиты для удаления, как Eraser, больше не могут целенаправленно переписывать информацию. Вместо этого подлежащий перезаписи файл помечается в таблице MFT как удаленный, а контроллер заполняет другие ячейки флеш-памяти случайными значениями, получаемыми от программы Eraser. Таким образом содержимое файла остается нетронутым.

Восстановление информации

При реанимации данных с твердотельных накопителей действуют те же правила, что и в случае с магнитными дисками. Такие утилиты, как Recuva, легко восстанавливают всю удаленную, но не переписанную информацию. Только к одной области у них нет доступа: у дисков SSD существует резервная память, Spare Area, невидимая для операционной системы. Ее размер можно оценить при изучении информации о типах установленных Flash-модулей и их количестве. В среднем резервная область занимает 7% от общего объема памяти. Она используется контроллером, к примеру, для замены испорченных блоков. Специалисты лабораторий по восстановлению данных без проблем получают доступ к Spare Area, так как для этой операции они эмулируют контроллер SSD, определив его образ действия с помощью принципа обратной разработки (Reverse Engineering). Другим препятствием для восстановления является функция TRIM, которая поддерживается Windows начиная с седьмой версии. С помощью этой команды операционная система сообщает, какие файлы действительно удалены, чтобы контроллер также знал, какие ячейки он должен очистить.

Надежное стирание

SSD-накопители можно лишь полностью переписать, лучше всего вместе с резервной областью Spare Area. Для этого необходимо передать АТА-команду «Secure Erase» фирменному ПО контроллера. Поскольку речь идет об АТА-команде, твердотельный накопитель должен быть подключен по интерфейсу SATA. Внешние USB-диски обязаны поддерживать преобразование SCSI-команд (использующих USB) в АТА. Для выполнения «Secure Erase» подходит утилита Live-USB Parted Magic на базе Linux. Систему Parted Magic можно создать на USB-накопителе с помощью программы для Windows под названием Unetbooting. После этого загрузите компьютер с данного носителя и на рабочем столе запустите Disk Eraser. Выберите вариант «Interal: Secure Erase command», а в следующем диалоговом окне — SSD-накопитель.