Que se passe-t-il avec les fichiers que je supprime d’un smartphone? Est-il possible de les récupérer après une réinitialisation complète d’usine? Et quand allez-vous enfin écrire un outil de récupération de données pour mon smartphone? Avec la prolifération massive des smartphones, nous recevons de plus en plus de questions de ce genre chaque semaine. Nous avons donc décidé d’écrire l’article définitif (espérons-le) pour répondre à la plupart de ces questions.
Contenu
- Les smartphones sont différents
- Récupération de données iPhone: une légende urbaine
- Récupération de données BlackBerry: un mythe
- Récupération de données Android: Nous progressons!
- Windows Phone 8 et 8.1: Un mélange des deux
Les smartphones sont différents
Si vous utilisez un smartphone, vous savez peut-être déjà qu’il existe plusieurs écosystèmes de plateformes majeures. Android et Apple iOS se partagent la plus grande part du gâteau, Microsoft Windows Phone se bat ardemment pour trouver sa place au soleil, tandis que BlackBerry tente de survivre avec son système d’exploitation BlackBerry OS.
Dire que ces plateformes gèrent les données supprimées différemment ne dit rien. Android et iOS sont littéralement aux pôles opposés en ce qui concerne la suppression (et la récupération) des informations. Dans cet article, nous examinerons comment ces plateformes très différentes suppriment les informations, si elles peuvent être récupérées ou non, et ce qu’il est possible de faire pour récupérer des données importantes si vous en avez besoin.
Commençons par Apple iOS.
Récupération de données iPhone: une légende urbaine
Cela va être court. Je vais le dire clairement: il n’est pas techniquement possible de récupérer des informations supprimées à partir des smartphones et tablettes Apple (iPhones et iPads). Même si vous le jailbreakez. Même en théorie. Les forces de l’ordre ne peuvent pas le faire même en utilisant un kit d’investigation de 10 000$ . Apple elle-même ne peut pas le faire, même si on lui donne l’appareil et le code d’accès. Si vous supprimez un fichier d’un smartphone Apple, il est perdu à jamais. Si vous effectuez une réinitialisation d’usine, il n’y a absolument aucun moyen pour quiconque, y compris le FBI, de récupérer ces informations. Pourquoi est-ce ainsi?
La réponse réside dans le chiffrement. À partir d’iOS 5, tous les appareils Apple utilisent un chiffrement complet du disque. Cependant, il y a un truc. Chaque bloc de données sur le disque utilise une clé de déchiffrement unique. Apple a mis en place un chiffrement complet du disque de manière à ne conserver que les clés de déchiffrement des blocs de données occupés (alloués) et à supprimer immédiatement les clés des blocs de données non alloués (libérés) appartenant aux fichiers supprimés. Les données réelles (chiffrées) peuvent encore être présentes, mais il n’y a absolument aucun moyen de les déchiffrer car Apple utilise un chiffrement extrêmement fort.
En conséquence, si vous avez jailbreaké votre iPhone et que vous avez vu cet outil de « récupération de données » dans Cydia, sachez simplement que c’est un faux. Les fichiers supprimés ne peuvent pas être récupérés, et tout outil ou service proposant une récupération de données iPhone est une arnaque (nous parlons uniquement des fichiers supprimés ici; des services légitimes existent qui peuvent extraire le contenu d’un iPhone, y compris toutes les données de l’utilisateur, à l’exception des fichiers supprimés).
Les smartphones et tablettes Apple n’ont jamais utilisé de cartes SD, il n’y a donc aucune chance de retirer une carte et de lire son contenu.
Cependant, iOS dispose d’une fonctionnalité merveilleuse et vraiment pratique appelée « sauvegarde iCloud ». Grâce à cette fonctionnalité, votre smartphone peut sauvegarder automatiquement l’intégralité de son contenu (y compris vos applications et toutes leurs données, vos bureaux, vos photos, votre musique et vos vidéos) dans le cloud chaque jour, chaque fois que vous chargez votre iPhone à la maison. (D’accord, une façon techniquement correcte de le dire serait « quotidiennement une fois que votre iPhone est connecté à un chargeur, verrouillé et se trouve à proximité d’un réseau Wi-Fi connu ». En d’autres termes, chaque jour où vous le chargez à la maison.) Le cloud conserve les trois dernières copies de sauvegarde de tous les fichiers stockés dans votre iPhone, vous avez donc un certain temps pour changer d’avis, réinitialiser votre téléphone et le restaurer à partir de la dernière sauvegarde. Une fois que vous l’avez fait, tous les fichiers que vous aviez dans votre iPhone seront automatiquement restaurés à partir de la sauvegarde.
Il existe des outils sur le marché qui peuvent télécharger de telles sauvegardes sur votre ordinateur (par exemple, Elcomsoft Phone Breaker); cependant, ceux-ci sont principalement utilisés par la police et sont donc accompagnés d’un prix correspondant. Votre meilleure option est donc de sauvegarder tout depuis votre iPhone sur votre ordinateur avec iTunes (vous pouvez même faire une sauvegarde complète hors ligne au cas où), de réinitialiser votre appareil et de récupérer à partir d’iCloud. Assurez-vous simplement de ne pas « charger votre iPhone en état verrouillé à proximité d’un réseau Wi-Fi connu », sinon il peut produire une nouvelle sauvegarde iCloud, écrasant la copie précédente.
Récupération de données BlackBerry: un mythe
Les smartphones BlackBerry ont été conçus dans un seul but: être sécurisés. Les BlackBerry ont utilisé le chiffrement complet du disque dès le début. Les smartphones BlackBerry ne peuvent généralement pas être jailbreakés. Même l’extraction d’une image brute décryptée d’un appareil BlackBerry n’est pas techniquement possible à l’heure actuelle (une puce retirée du téléphone peut lire les données de la puce flash, mais toutes les informations seront cryptées de manière sécurisée et ne pourront pas être décryptées). Cependant, même si quelqu’un parvenait à extraire une image, il ne serait pas en mesure de la décrypter. Le modèle de sécurité BlackBerry est sans doute encore plus strict que celui d’Apple, il n’y a donc aucune chance de récupérer des fichiers supprimés à partir d’un smartphone BlackBerry (à moins qu’ils n’aient été stockés sur une carte SD, que vous pouvez retirer et récupérer comme d’habitude).
Récupération de données Android: Nous progressons!
Comme nous l’avons dit, Android est à bien des égards l’opposé d’iOS. Tout d’abord, de nombreux appareils Android permettent d’utiliser des cartes micro SD comme stockage secondaire. Il est facile de configurer le téléphone pour stocker les photos et vidéos sur une carte SD plutôt que dans la mémoire principale. Si vous avez supprimé un fichier d’une carte SD, il vous suffit de retirer cette carte, de l’insérer dans un lecteur de carte USB connecté à votre ordinateur, et d’utiliser RS Photo Recovery pour récupérer les photos ou RS Partition Recovery pour récupérer tous types de données de cette carte mémoire. C’est aussi simple que ça.
Cependant, si les fichiers que vous avez supprimés étaient stockés dans la mémoire principale du téléphone, leur récupération devient plus compliquée. À quelques exceptions près, les smartphones Android n’utilisent pas le chiffrement complet du disque par défaut (vous pouvez l’activer dans les paramètres, mais à l’exception des appareils Nexus, peu de fabricants définissent cette option par défaut).
Par conséquent, lorsque vous supprimez un fichier d’un smartphone Android, son contenu peut rester récupérable – du moins pendant un certain temps. Si vous parvenez à créer une image de votre smartphone Android rapidement, ou si vous avez un appareil rooté et utilisez un outil de récupération de données pour les téléphones rootés, vous pourrez peut-être récupérer les données… ou peut-être pas.
Voyons ce qui se passe avec les informations lorsque vous supprimez un fichier d’un appareil Android.
Tous les smartphones et tablettes Android récents sortis depuis Android 2.3 Gingerbread utilisent la mémoire flash eMMC pour leur stockage permanent. Contrairement aux puces flash « classiques », les eMMC sont une combinaison de mémoire flash NAND et d’un contrôleur de stockage intégré. Ce contrôleur de stockage est responsable de toutes les opérations de lecture et d’écriture, ainsi que de la maintenance de la puce flash en bon état.
Sans entrer dans les détails techniques, la mémoire flash présente plusieurs propriétés uniques. Tout d’abord, vous ne pouvez écrire de nouvelles données que dans une cellule de mémoire flash vide. En d’autres termes, les cellules flash doivent être effacées avant de pouvoir accepter de nouvelles données. Deuxièmement, la mémoire flash NAND est beaucoup plus lente pour effacer les cellules que pour écrire des informations, ce qui a conduit les fabricants de mémoire flash à mettre en œuvre des algorithmes intelligents de collecte des déchets pour effacer les cellules vides en arrière-plan tout en mappant des cellules déjà vides à des adresses logiques contenant des données supprimées. Enfin, les cellules flash ont un nombre limité d’écritures qu’elles peuvent supporter; le rôle du contrôleur intégré est de répartir l’usure de manière égale entre les cellules flash (ce qui peut nécessiter le déplacement des informations existantes d’une cellule à une autre, l’effacement et la réutilisation d’une cellule de mémoire qui contenait auparavant des données valides).
Tous ces algorithmes intelligents rendent la récupération… délicate. Ce qui rend la récupération incertaine, c’est le fait que chaque module eMMC a plus de stockage physique par rapport à la capacité de stockage annoncée. En d’autres termes, il existe certaines cellules qui n’ont pas d’adresses logiques qui leur sont assignées. Ces blocs ne sont PAS accessibles à aucun programme ou application de récupération de données. Ils ne feront PAS partie d’une image brute si vous sauvegardez ou copiez son contenu. Ces zones ne seront pas visibles même lors d’une acquisition JTAG ou chip-off – simplement parce que les demandes JTAG et chip-off sont toujours transmises par le contrôleur!
Alors, que se passe-t-il lorsque vous supprimez un fichier? Le système d’exploitation effectue une modification du système de fichiers, libérant des secteurs qui ne sont plus utilisés. En même temps, le système d’exploitation envoie une commande « trim » au contrôleur eMMC pour indiquer que certains blocs logiques ne sont plus utilisés. Le contrôleur eMMC reçoit cette commande et attribue à ces blocs le statut « ne pas prendre en compte ». Jusqu’à présent, tout semble assez simple.
La partie intéressante se produit ensuite. Afin de garantir que le système peut écrire de nouvelles données dans le bloc physique qui vient d’être libéré, le contrôleur eMMC peut remapper l’adresse logique vers un autre bloc physique (vide)! En conséquence, si vous êtes le système d’exploitation, vous « verrez » que les secteurs que vous venez de libérer sont soudainement vides – même si vous savez qu’en réalité, les vider (les effacer) prend beaucoup de temps.
Alors où vont les blocs qui contiennent des données supprimées? Ils sont remappés vers d’autres adresses logiques ou (plus probablement) poussés hors de l’espace adressable vers la zone dite de surprovisionnement, où ils seront effacés en arrière-plan lorsque le microcontrôleur n’est pas occupé à effectuer d’autres tâches telles que le traitement des demandes de lecture et d’écriture.
Si tout cela était un peu trop technique, je peux simplement dire que dans Android (contrairement à Apple iOS), les fichiers supprimés peuvent être récupérables – du moins pendant un certain temps. De nombreux téléphones Android effectueront un « trim » des partitions lors de l’arrêt, donc si vous agissez rapidement, vous pourrez peut-être récupérer ce fichier supprimé après tout.
Que faut-il exactement pour la récupération de données Android? Tout d’abord, vous aurez besoin d’un appareil rooté. Sans accès root, un outil de récupération de données ne pourra pas lire le stockage du téléphone à un niveau suffisamment bas pour pouvoir récupérer les fichiers. Vous aurez également besoin d’un outil de récupération de données pour les appareils rootés (je ne peux pas recommander d’outil spécifique, mais j’en ai vu quelques-uns sur Google Play Market). Enfin, vous devrez insérer une carte SD, une clé USB OGS ou simplement connecter l’appareil à votre ordinateur, car l’outil de récupération de données ne doit pas enregistrer les fichiers récupérés sur le même support à partir duquel ils sont récupérés (ou cela pourrait écraser des données appartenant à d’autres fichiers en attente de récupération).
De nombreux clients nous demandent si nous prévoyons de sortir un outil de récupération de données pour Android. Nous n’en avons pas l’intention, et nous n’avons rien en préparation. La raison est simple: le marché pour cela est extrêmement restreint. Il y a TRÈS peu d’appareils Android rootés. Le rootage des dernières versions d’Android est extrêmement difficile et rarement possible. Habituez-vous simplement à effectuer régulièrement des sauvegardes de votre appareil, activez la sauvegarde dans le cloud pour votre pellicule photo, et vous n’aurez jamais besoin d’un outil de récupération de données en premier lieu.
Windows Phone 8 et 8.1: Un mélange des deux
Windows Phone est un système d’exploitation pour smartphone relativement récent. C’est un système bien équilibré qui a emprunté beaucoup à la fois à Android et à iOS. Il a de nombreuses similitudes avec iOS (y compris l’espace de données d’application privée et l’absence de résidus après la désinstallation d’une application), tout en offrant un accès aux fichiers partagés (par exemple, musique, vidéos ou livres électroniques que vous n’avez pas besoin d’importer dans une application spécifique pour les utiliser – avec cette application uniquement). Windows Phone n’autorise généralement pas l’installation d’applications provenant d’autres sources que le Windows Store (sauf si elles sont déverrouillées par le développeur).
Contrairement aux smartphones iOS, les appareils Windows Phone peuvent être déverrouillés gratuitement par les développeurs pour l’installation d’applications non signées. Cependant, contrairement à Android, les applications n’auront pas un accès de niveau administrateur car les appareils Windows Phone ne peuvent pas être rootés ou jailbreakés.
Par conséquent, il n’est pas possible d’avoir (ou d’écrire) une application pour récupérer des fichiers supprimés. Une application de ce type ne fonctionnerait pas en raison de privilèges insuffisants et de l’absence d’API permettant d’accéder au disque à un niveau suffisamment bas.
Théoriquement, un Windows Phone peut être extrait via une acquisition JTAG ou par puce. Vous pouvez ensuite exécuter un outil de récupération de données tel que RS Partition Recovery sur l’image extraite. Étant donné que Windows Phone est un système d’exploitation basé sur Windows, il utilise NTFS comme système de fichiers, les outils de récupération de données standard fonctionneraient donc sur les images extraites. Notez cependant que de nombreux problèmes spécifiques à l’eMMC que nous avons discutés dans les sections Android s’appliqueront également aux appareils Windows Phone, rendant la récupération possible mais non garantie.
Il est à noter que de nombreux smartphones Windows Phone (avec quelques exceptions) prennent en charge les cartes micro SD. Windows Phone permet non seulement de stocker de la musique et d’enregistrer des photos et des vidéos sur les cartes SD, mais prend également en charge l’installation d’applications sur les cartes SD. Par conséquent, et surtout si vous utilisez un appareil d’entrée de gamme avec une capacité de stockage principale limitée, vous pouvez simplement retirer la carte SD, la connecter à votre ordinateur via un lecteur de cartes et récupérer les fichiers supprimés de la carte SD. Vous pouvez utiliser RS Photo Recovery pour récupérer des photos ou RS File Recovery pour récupérer tous types de données.
