Récupérabilité des données perdues

Récupération de données physiques et logiques

Nous voulons distinguer deux procédures très différentes :

Récupération physique des données : Extraction des données brutes des médias concernés
Récupération logique des données : Reconstitution des fichiers

Il est possible de subir des pertes de données purement logiques. Par exemple, la suppression de fichiers, le formatage de disques ou les attaques de virus ne nécessitent qu'une reconstruction logique. En revanche, un disque dur présentant une défaillance mécanique qui a été réparé avec succès ne nécessitera pas de reconstruction logique.

En réalité, de nombreux problèmes physiques nécessiteront par la suite une reconstruction logique, car toutes les données n'ont pas pu être récupérées.

Disque dur mort

Un disque dur peut être considéré comme « mort » s'il n'est accessible par aucun moyen logiciel, par exemple le BIOS, la gestion des disques de Windows ou des utilitaires de disque tels que GetDataBack de Runtime Software. Un disque dur défectueux présente souvent d'autres symptômes. Il ne tourne pas, ou alors il « cliquette », ou encore il émet d'autres bruits étranges.

Ces disques peuvent présenter une carte électronique endommagée, des têtes de lecture endommagées, un moteur endommagé ou un support magnétique endommagé. Les entreprises de récupération de données disposant de salles blanches peuvent souvent ressusciter le disque dur en remplaçant les pièces défectueuses. Ils vont ensuite créer une image du disque et effectuer une reconstruction logique des fichiers.

Cette approche est parfois couronnée de succès et vaut alors largement son coût, qui peut atteindre plusieurs centaines, voire plusieurs milliers de dollars ; cependant, elle échoue assez souvent.

La récupération physique n’est pas toujours possible

Tout d'abord, le succès dépend de l'étendue des dégâts. Il n'est pas possible, même en théorie, de récupérer des données à partir d'un plateau qui a été chauffé à la « température de Curie » (qui est de 770 °C pour le fer). Cette température démagnétise complètement les plateaux. Il semble peu probable que quelqu'un puisse récupérer les données d'un disque dur tombé sur un sol dur. Si les plateaux étaient déséquilibrés en raison d'une déformation ou d'un choc, ils vibraient pendant leur rotation. Supposons que l'amplitude verticale de cette vibration soit supérieure à la distance à laquelle la tête de lecture se déplace (50 µm). Le disque subira un choc de tête permanent, rendant impossible la lecture des informations magnétiques et détruisant davantage la surface. Les vibrations horizontales rendront impossible que la tête reste sur la piste, qui est plus fine que 1μm.

Nous savons que les magasins de pneus appliquent des poids sur la roue pour équilibrer le pneu, mais nous ne connaissons pas de technologie comparable pour les plateaux déséquilibrés.

La seule technologie susceptible de surmonter ce problème est la photographie au microscope à force magnétique (MFM), car cette technique ne nécessite pas la rotation du plateau. Cependant, la technologie MFM nécessite de balayer toute la surface du plateau. Le MFM se déplace de région en région, chaque région produisant une image. Ce processus prendra à lui seul plusieurs mois. Ensuite, toutes ces images doivent être assemblées. Un disque dur de 20 Go contient 160 000 000 000 bits, voire 300 000 000 000 bits si l'on inclut les frais généraux. Chaque bit est représenté par une variation de flux magnétique. Une image affichant ce changement de flux utilisera probablement 100 octets, gonflant chaque bit d'un facteur 1000. Vous devrez analyser 40 téraoctets de données. On ignore si cette technologie est utilisée. Ce n'est certainement pas « disponible dans le commerce et abordable », car une récupération des données coûterait des centaines de milliers de dollars.

Le succès dépend également du type de disque dur. De nombreuses entreprises de récupération de données peuvent « traiter » certains types de disques durs, mais pas d'autres. Les disques durs modernes sont conditionnés après leur assemblage pour fonctionner parfaitement avec les composants intégrés : têtes, plateaux, etc. Il est souvent impossible d'utiliser des composants d'un autre disque, même si les deux disques portent le même numéro de modèle.

Il n'existe pas de machines « magiques » capables de récupérer les données de n'importe quel type de disque dur. Si les données brutes peuvent être récupérées, une reconstruction logique ultérieure des fichiers doit être effectuée.

Disques durs présentant des « secteurs défectueux »

Ces disques sont toujours reconnus par le BIOS ou des logiciels tels que GetDataBack, mais ils présentent des erreurs de lecture à un ou plusieurs endroits. Après avoir obtenu une image disque, vous devrez reconstruire les fichiers à partir de cette image à l'aide de GetDataBack.

Créer une image

Vous pouvez créer une image à l'aide d'utilitaires de disque, tels que DiskExplorer de Runtime ou GetDataBack. Vous ne devez pas tenter de créer l'image si le lecteur émet des bruits inhabituels, car le processus de création de l'image pourrait endommager davantage le support. Vous pourriez alors la confier à une société de récupération de données.

Bien sûr, la question est de savoir ce que les sociétés de services de récupération de données feront d'autre que d'essayer de créer une image. Il serait utile que vous leur demandiez. Enfin, c'est à vous de décider si vous souhaitez l'essayer vous-même.

Avant de commencer, vous devez être bien préparé. Vous devez avoir installé le logiciel d'imagerie sur un ordinateur en état de marche et savoir comment l'utiliser. Vous devriez disposer d'un espace disque suffisant pour stocker l'image du disque défectueux. Vous devez vous concentrer sur cette tâche et observer son avancement. Il serait préférable de ne rien faire d'autre simultanément sur cet ordinateur, comme jouer à des jeux ou surfer sur Internet. Il est difficile de prédire combien de temps il faudra réellement pour créer l'image. Cela dépend principalement du nombre de secteurs défectueux sur le disque et peut prendre de 30 minutes à plusieurs jours.

Connectez des disques durs externes directement au port SATA de votre carte mère.

Si vous disposez d'un disque dur externe, par exemple une clé USB, vous devez le retirer de son boîtier et le connecter au câble SATA de l'ordinateur en tant que disque dur supplémentaire. Une fois que vous avez obtenu une image, vous pouvez lancer GetDataBack et récupérer les fichiers.

Reconstruction logique d'un disque formaté en FAT avec GetDataBack

DiskExplorer for FAT : entrée de répertoire pour le fichier IMG_2379.JPG

DiskExplorer for FAT : Entrée de répertoire pour le IMG_2379.JPG

GetDataBack analyse votre disque dur ou une image et tente de reconstituer l'état d'origine de tous les fichiers du système de fichiers. GetDataBack peut le faire, même si certaines structures du système de fichiers sont manquantes, telles que la table de partition ou les enregistrements d'amorçage.

Examinons en détail comment GetDataBack récupère un fichier :

Un fichier dans un système de fichiers FAT est entièrement décrit par

son entrée dans le répertoire^*),
son entrée dans la table d'allocation des fichiers^*) (FAT),
les clusters alloués^*) contenant le contenu du fichier.

^*) Les couleurs ci-dessus correspondent aux couleurs des régions dans le graphique ci-dessous.

Fichier dans FAT : chaîne FAT, entrée de répertoire et allocation

L’entrée du répertoire est captée lors du scan initial du disque lorsque GetDataBack examine chaque secteur. Elle contient le nom du fichier, sa taille, sa date, l’heure et le premier cluster de ses données.

Le premier cluster pointe directement vers le cluster initial alloué au fichier. Il renvoie également à une entrée FAT qui décrit les clusters contenant les parties restantes du fichier. Il s’avère que IMG_2379.JPG utilise les clusters 4-529.

Les informations sur un fichier dans un système FAT sont réparties entre trois emplacements différents. L’entrée du répertoire contient son nom et l’endroit où le fichier commence sur le disque. Le FAT sait où le fichier se poursuit. Enfin, les clusters alloués contiennent le contenu du fichier.

GetDataBack utilise ces informations pour reconstruire les fichiers. Comme les informations concernant un fichier sont stockées à trois endroits différents, cela posera problème si l’un d’eux manque ou est incomplet.

Matrice de récupération FAT

La matrice suivante vous informe sur la possibilité de récupérer un fichier en fonction de la présence d'une allocation, d'une entrée de répertoire ou d'une FAT.

Ces informations sont disponibles

Cette information n'est pas disponible.

* Fragmentation

Une situation courante, causée par la suppression de fichiers, le formatage ou la suppression de partitions, est la perte d'une entrée FAT. Tant que la taille du fichier est inférieure à la taille du cluster (par exemple, 32 Ko, selon la taille du disque), vous obtiendrez un fichier parfaitement récupéré, car vous n'avez pas réellement besoin de l'entrée FAT.

Si le fichier est plus volumineux, il est généralement alloué en clusters consécutifs. Par conséquent, la stratégie de récupération de données la plus prometteuse consiste à supposer des clusters continus lors de la reconstruction d'un fichier sans entrée FAT. Cette méthode fonctionne pour la plupart des fichiers, mais elle rencontre des problèmes pour les fichiers dont le volume augmente avec le temps. Ces fichiers seront nécessairement fragmentés s'ils ne peuvent pas être alloués consécutivement, car d'autres données utilisent entre-temps ces clusters. Malheureusement, de nombreux fichiers importants entrent dans cette catégorie : les fichiers de messagerie, les bases de données, les documents volumineux et les répertoires.

GetDataBack utilise plusieurs techniques pour récupérer correctement même les fichiers fragmentés. Ces techniques comprennent la prise en compte de l'allocation d'autres fichiers. GetDataBack est également capable de réassembler des répertoires fragmentés. Mais ne vous y trompez pas : ces efforts sont voués à l'échec pour les fichiers volumineux et fortement fragmentés.

Aussi ennuyeux que cela puisse être, bien que leur contenu se trouve toujours quelque part sur le disque dur, ces fichiers sont irrécupérables.

Il n'existe aucun logiciel de récupération de données automatisé capable de résoudre de manière satisfaisante le problème de la fragmentation. Si vous souhaitez recombiner un fichier composé de 10 clusters sur un disque de 20 Go, vous devez analyser, étant donné une taille de cluster de 32 Ko, toutes les combinaisons possibles d'un cluster connu avec 9 autres clusters parmi 625 000 possibles. Cela représente 625000^9 combinaisons possibles, un nombre à 52 chiffres.

La seule approche possible et plus intelligente consiste à effectuer une récupération « manuelle » des données pour un fichier particulier. Avec DiskExplorer de Runtime, vous commencez par le cluster connu et effectuez une recherche vers le bas, à la recherche des données que vous savez appartenir à la partie manquante du fichier. Enfin, vous rassemblez toutes vos conclusions dans un nouveau fichier. Les limites de cette approche sont évidentes. Cela ne peut être fait que pour quelques fichiers dont le contenu est connu.

Même les entreprises spécialisées dans la récupération de données n'obtiendront probablement pas de meilleurs résultats. Même s'ils disposent de quelques outils, par exemple pour extraire du texte lisible, ils ne possèdent pas vos connaissances sur le contenu du fichier.

** Entrée manquante dans le répertoire (fichiers perdus)

Si l’entrée du répertoire a été perdue, mais que le contenu du fichier est toujours sur le disque, vous pourriez récupérer le fichier si vous saviez où il se trouve. Ce problème est différent du problème de fragmentation. Vous ne connaissez pas le nom, la taille et le début du fichier. Cette perte se produit si le système d'exploitation a réutilisé l'entrée de répertoire d'origine alors que le contenu du fichier est resté inchangé.

Si vous formatez un disque et y installez des gigaoctets d'un nouveau système d'exploitation Windows, le début de l'ancien système de fichiers, y compris une grande partie des informations de répertoire, sera détruit. En revanche, les fichiers eux-mêmes peuvent encore se trouver à des emplacements situés au-delà de la partie écrasée.

Un logiciel de récupération pour ces « fichiers perdus » non référencés doit analyser chaque secteur du disque et comparer son contenu à une liste de signatures de fichiers connus. D'autres problèmes se posent, comme celui de déterminer la longueur d'un fichier après son identification par la liste des signatures.

D'après notre expérience, la récupération de fichiers perdus est un processus long et fastidieux, aux résultats souvent incertains. On se retrouve avec d’énormes quantités de fichiers anonymes de contenu inconnu et très souvent corrompus.

*** L'allocation du fichier a été écrasée

Si l'allocation du fichier a été détruite ou écrasée par d'autres données — comme dans les quatre cas inférieurs de la matrice de récupération — il n'y a absolument aucune possibilité de récupérer ce fichier. Une fois écrasées, il est impossible de récupérer les informations qui y étaient initialement stockées. En théorie, il serait possible de lire la « magnétisation résiduelle » à l'aide d'une technologie avancée telle que le MFM (microscope à force magnétique), mais on ignore si quelqu'un est réellement capable de le faire. Certes, si cette technologie existe bel et bien, elle n'est pas « disponible dans le commerce et abordable ».

Aucun logiciel de récupération de données et aucune société de services de récupération de données ne sera en mesure de récupérer ce fichier, même si vous pouvez toujours voir son nom dans GetDataBack.

Reconstruction logique d'un disque formaté en NTFS avec GetDataBack

DiskExplorer for NTFS : entrée MFT pour le fichier IMG_2379.JPG

DiskExplorer for NTFS : Vue d’entrée MFT

Comme nous le verrons, NTFS est un meilleur système de fichiers en matière de récupération de données. En général, la fragmentation ne pose AUCUN problème.

Examinons en détail comment GetDataBack récupère un fichier :

Un fichier dans un système de fichiers NTFS est entièrement décrit par

son entrée MFT^*) (table de fichiers maîtres),
les clusters alloués^*) contenant le contenu du fichier.

^*) Les couleurs ci-dessus correspondent aux couleurs des régions dans le graphique ci-dessous.

Fichier dans NTFS : entrée MFT et allocation

L’entrée MFT est détectée lors du scan initial du disque lorsque GetDataBack examine chaque secteur. Elle contient le nom du fichier, sa taille, sa date et son heure. Outre l'entrée de répertoire dans FAT, il comprend également la liste complète des clusters utilisés, appelée run-list.

Le run-list pointe directement vers les clusters alloués au fichier. Il s'avère que IMG_2379.JPG utilise les clusters x1F5 (501) à partir du cluster x3F02 (16130).

Nous constatons que les informations relatives à un fichier dans NTFS sont réparties entre deux emplacements différents. Le Entrée MFT contient le nom du fichier et la run-list décrivant le clusters alloués. Les clusters eux-mêmes contiennent le contenu du fichier.

GetDataBack utilise ces informations pour reconstruire les fichiers. Notez que dans NTFS, contrairement à FAT, nous n'avons pas de problème de fragmentation. Dès qu'il y a une entrée MFT, nous savons exactement où le fichier est alloué. Cela permettra d'obtenir de meilleurs résultats en matière de récupération de données pour les fichiers fragmentés.

Matrice de récupération NTFS

Comme les informations relatives à un fichier sont stockées à deux endroits différents, leur absence ou leur incomplétude peut poser des problèmes. Le tableau suivant vous informe sur la récupérabilité d'un fichier en fonction de la présence d'une entrée MFT ou d'une allocation.

Ces informations sont disponibles

Cette information n'est pas disponible.

* Entrée MFT manquante (fichiers perdus)

Si l'entrée MFT a été perdue, mais que le contenu du fichier se trouve toujours sur le disque, vous pouvez récupérer le fichier si vous savez où il se trouve. Cette perte se produit si le système d'exploitation réutilise l'entrée MFT d'origine alors que le contenu du fichier n'a pas été modifié.

Si vous formatez un disque et y installez des gigaoctets d'un nouveau système d'exploitation Windows, le début de l'ancien système de fichiers, y compris de nombreuses entrées MFT, sera détruit. En revanche, les fichiers eux-mêmes peuvent encore se trouver à des emplacements situés au-delà de la partie écrasée.

** L'allocation du fichier a été écrasée

Si l'allocation du fichier a été détruite ou écrasée par d'autres données — comme dans les deux cas inférieurs de la matrice de récupération — il n'y a absolument aucune possibilité de récupérer ce fichier. Une fois écrasées, il est impossible de récupérer les informations qui y étaient initialement stockées. En théorie, il serait possible de lire la « magnétisation résiduelle » à l'aide d'une technologie avancée telle que le MFM (microscope à force magnétique), mais on ignore si quelqu'un est réellement capable de le faire. Certes, si cette technologie existe bel et bien, elle n'est pas « disponible dans le commerce et abordable ».

Récupération de données à partir d'une image suite à un problème physique (secteurs défectueux)

Lorsque vous exécutez GetDataBack sur une image obtenue à partir d'un disque physiquement endommagé, vous obtiendrez généralement de bons résultats de récupération, à condition que cette image ne contienne que « quelques » secteurs irrécupérables.

Plusieurs facteurs contribuent à cette perspective optimiste :

Un disque dur comportant des secteurs défectueux n'est généralement pas trop altéré par les tentatives de l'utilisateur pour « réparer » le problème.
S'il s'agit d'un disque FAT, la table d'allocation des fichiers et sa copie sont toujours présentes et peuvent être utilisées par GetDataBack.
La plupart des structures de systèmes de fichiers sont disponibles.

Bien sûr, le succès dépend de votre capacité à obtenir cette image. Les fichiers situés dans les zones endommagées seront également endommagés après la récupération.

Récupération des données après suppression ou recréation d'une partition

Lorsque vous supprimez une partition, seuls la table de partition et l'enregistrement d'amorçage sont affectés. Les structures importantes, telles que MFT et FAT, sont généralement intactes.

Même la recréation de la partition — tant que vous ne formatez pas le volume — ne devrait pas modifier les structures de données importantes.

Avec GetDataBack, vous devriez pouvoir effectuer une récupération de données presque parfaite.

Récupération des données après formatage

En FAT, Le formatage d'un volume efface les deux tables d'allocation de fichiers et supprime le répertoire racine. De nombreux fichiers sont toujours là, mais vous avez perdu :

Toutes les entrées dans le répertoire racine : les fichiers ne peuvent être récupérés qu'en tant que « fichiers perdus ». Les sous-répertoires du premier niveau ne comporteront que des numéros au lieu de leur nom d'origine. Les sous-répertoires des niveaux plus profonds affichent leur nom d'origine.
Les tables d'allocation des fichiers : cela entraînera le « problème de fragmentation » abordé dans le chapitre « Reconstruction logique d'un disque formaté en FAT avec GetDataBack ».

Dans les limites mentionnées ci-dessus, vous obtiendrez une récupération de données « acceptable ». La plupart des fichiers devraient être intacts. Vous devrez rechercher vos fichiers dans les répertoires numérotés. Les fichiers fragmentés, tels que les fichiers de messagerie Outlook ou les bases de données, seront corrompus et probablement inutilisables.

Dans NTFS, le formatage d'un volume crée une nouvelle table MFT. Cependant, cela ne concerne que les 25 premières entrées environ. Il ne touche généralement pas aux entrées MFT des fichiers utilisateur précédents.

Cela signifie que vous pouvez vous attendre à une « bonne » récupération des données. La quasi-totalité des fichiers devraient être correctement récupérés.

Vos résultats seront encore meilleurs si vous formatez un disque précédemment formaté en FAT avec NTFS ou vice versa. Dans ce cas, la FAT ou la MFT d'origine ne seront probablement pas endommagées car ces structures sont situées dans des zones différentes du disque.

Récupération des données après l'installation d'un nouveau système d'exploitation Windows

C'est là que les problèmes commencent vraiment. L'installation d'un nouveau système d'exploitation peut facilement occuper 10 Go ou plus.

Tous les fichiers contenus dans ces 10 Go seront irrémédiablement perdus. De plus, les entrées de répertoire (FAT) et les entrées MFT (NTFS) qui s'y trouvent seront perdues, laissant les fichiers sans référence (« fichiers perdus »), même s'ils occupent plus de 10 Go.

Dans FAT, cela détruira également les FAT, causant ainsi des problèmes de fragmentation.

Comme expliqué précédemment, aucune technologie capable de récupérer des données à partir de la « magnétisation résiduelle » n'est disponible dans le commerce. Tout ce que vous pourrez récupérer proviendra de la zone qui n'a pas été écrasée.

Évaluation des dommages

Exemple Supposons que vous disposiez initialement d'un disque dur de 20 Go formaté en FAT, dont 10 Go étaient utilisés pour 50 000 fichiers répartis dans 2 000 répertoires.

Vous avez installé un nouveau système d'exploitation de 2 Go sur ce disque.

Vous perdez 10 % de toutes les données présentes sur le disque (2 Go sur 20 Go).
Vous perdez 20 % de vos données sur le disque (2 sur 10 Go, en supposant que vos données soient concentrées sur les 10 premiers Go du disque de 20 Go).
Vous perdez 20 % de vos fichiers qui étaient alloués dans la zone écrasée.
Comme la plupart des entrées du répertoire se trouvent dans les 2 premiers Go, vous perdez 30 % supplémentaires de vos fichiers (« fichiers perdus »).
Vous perdez 10 % supplémentaires de tous les fichiers en raison de la fragmentation et du chevauchement entre les deux zones.

Vous pourrez récupérer environ 40 % de vos fichiers intacts. Les 60 % restants seront endommagés, perdus ou irrécupérables.

Si vos fichiers sur le disque dépendaient d'autres fichiers, par exemple des tables pour des bases de données, ce nombre diminue encore davantage :

Si vos fichiers dépendent les uns des autres deux à deux, par exemple, vous avez un document Word pour les « Contrats » et un autre pour les « Annexes », il ne reste que 0,4 * 0,4 * 100 = 16 % de toutes les paires (projets).
Si vous avez des projets de 5 fichiers chacun uniquement sur le disque dur (0,4)^5*100 = 1 % de ces projets sont récupérés sans dommage.

Important Notez que dans l'exemple ci-dessus, la perte de 10 % des données brutes peut entraîner la perte de 99 % de vos projets.

Si vous travaillez avec un disque dur précédemment formaté en NTFS, vos chances de succès sont meilleures :

Vous perdrez moins de fichiers à cause de la fragmentation et du chevauchement, seulement 5 % au lieu de 10 %.
Vous perdrez également moins d'entrées MFT que d'entrées de répertoire dans FAT, soit 10 % au lieu de 30 %. NTFS a tendance à répartir la MFT sur l'ensemble du disque.

Vous récupéreriez 65 % de vos fichiers intacts.

Vous récupéreriez 42 % de vos projets à 2 fichiers, soit près de trois fois plus qu'avec FAT.

Vous récupéreriez 12 % de vos projets à 5 fichiers, soit douze fois plus qu'avec FAT.

Récupération des données après la création d'une image ou d'un « ghost » d'un disque dur

Les conséquences de l'imagerie d'un disque dur, par exemple avec Norton Ghost, sont similaires à celles que vous rencontrez après avoir installé un nouveau système d'exploitation dessus. Si l'image était assez grande, les chances que vous récupériez beaucoup de fichiers sont assez minces.

Récupération de données après suppression de fichiers

Bien que cela puisse paraître simple, la récupération de fichiers supprimés peut s'avérer plus compliquée que la récupération de fichiers sur un disque présentant des secteurs défectueux, ou après un formatage ou l'utilisation de Fdisk.

La suppression de fichiers est le sujet le moins bien compris. Ironiquement, ce qui rend la récupération des fichiers supprimés si difficile, c'est le fait que l'utilisateur peut toujours utiliser son disque dur. Ses tentatives pour récupérer les fichiers qui viennent d'être supprimés ruinent souvent ses chances.

Voyons comment le système d'exploitation supprime un fichier.

Suppression de fichiers dans FAT

Un seul fichier est supprimé par

en marquant son entrée dans le répertoire avec E5,
libérant l'entrée FAT associée.

Des répertoires entiers sont supprimés par

marquer l'entrée du répertoire avec E5. Les entrées du répertoire des fichiers contenus dans le répertoire supprimé restent généralement inchangées.
libérer les entrées FAT pour le répertoire et les fichiers qu'il contient.

Après la suppression, un problème de fragmentation peut survenir car les informations d'allocation stockées dans la FAT sont irrémédiablement perdues.

Suppression de fichiers dans NTFS

Un fichier est supprimé en marquant son entrée MFT comme inutilisée. La MFT contient toujours l'allocation du fichier. Le fichier est donc plus facile à récupérer que son équivalent FAT.

La corbeille

Ce que nous avons décrit ci-dessus s'applique à la « suppression définitive » des fichiers. Si vous ne les supprimez pas définitivement, ils sont déplacés vers la « Corbeille » et peuvent être récupérés à partir de là.

Lors du déplacement des fichiers vers le Bac de recyclage, elles sont renommées (pour une raison ou une autre) en numéros tout en conservant leur extension. Par exemple, Mon vacation.doc aura un nouveau nom comme d24.doc dans le dossier Corbeille. Ces détails internes n'ont pas d'importance tant que ces fichiers se trouvent encore dans la corbeille. Le système d'exploitation vous fournira le nom correct lorsque vous choisirez de restaurer ces fichiers supprimés.

Si vous « videz » la corbeille, cependant, les processus de suppression décrits ci-dessus sont effectués pour ces fichiers renommés. Si vous souhaitez récupérer ultérieurement le fichier Mes vacances.doc, vous devrez en fait rechercher un nom de fichier inconnu avec l'extension doc.

Chances de récupérer avec succès des fichiers supprimés

Les emplacements des fichiers supprimés ne sont plus protégés par le système de fichiers. Ces emplacements pourraient être réutilisés la prochaine fois que le système d'exploitation créera un nouveau fichier. C'est pourquoi le fait que l'utilisateur continue à travailler avec le disque dur concerné pose un tel problème.

Des fichiers sont créés en permanence. Les processus écrivent des fichiers journaux, les imprimantes mettent en file d'attente les travaux d'impression, le navigateur Internet crée de nombreux fichiers temporaires. Même le démarrage et l'exécution de Windows à partir du disque concerné peuvent écraser les zones critiques.

Pour protéger ces fichiers supprimés, l'utilisateur doit immédiatement cesser d'utiliser le disque dur et le connecter à un autre ordinateur en tant que disque dur supplémentaire.

Nous avons testé pendant combien de temps un fichier supprimé était récupérable avant que le système d'exploitation ne recycle l'entrée du répertoire, le MFT ou l'allocation du fichier supprimé. Cela s'est produit presque instantanément. Cela nous conduit à être très pessimistes quant aux chances de récupérer « quelques » fichiers supprimés.

En revanche, si vous avez supprimé — disons 1 Go composé de 1 000 fichiers — et que vous ne continuez pas à utiliser ce disque, les chances de récupérer la plupart de ces fichiers sont assez bonnes. Si vous travaillez avec FAT, vous risquez de rencontrer un problème de fragmentation.

Récupération des données dans les délais impartis

La dimension temporelle est souvent sous-estimée lorsqu'il s'agit de récupération de données. Perdre des données pendant une semaine peut être aussi grave que les perdre définitivement.

Cela souligne l'importance d'un logiciel de récupération de données tel que GetDataBack de Runtime. Faire appel à une société de récupération de données implique toujours un délai de traitement de plusieurs jours. Pour le faire vous-même, il faut un peu de préparation, et après quelques heures, la récupération des données est terminée.

Si vous devez faire appel à un professionnel pour les disques durs physiquement endommagés, la plupart des pertes de données sont dues à des corruptions logiques du système de fichiers. Les services de récupération n'utiliseront pas de meilleurs outils que les vôtres.

Alloc	Dir	FAT	Récupérabilité
			Le fichier sera parfaitement récupéré.
			Le fichier sera probablement récupéré. Problème avec les fichiers fragmentés.*
			Le fichier n'a pas de nom. Il est possible de le récupérer en tant que « fichier perdu ».**

			Le fichier n'est pas récupérable, bien que son nom soit toujours visible.***

			Le fichier est irrécupérable. Il n'en reste aucune trace.***

Alloc	MFT	Récupérabilité
		Le fichier sera parfaitement récupéré.
		Le fichier n'a pas de nom. Il est possible de le récupérer en tant que « fichier perdu ».*
		Le fichier n'est pas récupérable, bien que son nom soit toujours visible.**
		Le fichier est irrécupérable. Il n'en reste aucune trace.**

Connaissance

Analyse approfondie de différents scénarios de perte de données