Avec les nombreux logiciels de récupération de données qui permettent de récupérer vos fichiers supprimés en quelques minutes, vous êtes-vous déjà demandé comment cela fonctionne exactement et pourquoi c’est possible ? Dans cet article, nous allons voir ce que fait Windows lorsqu’un fichier est supprimé et comment ces outils permettent d’annuler cette opération.
Contenu
- Comment Windows supprime les fichiers
- L’essor des outils de récupération de fichiers supprimés
- Récupération fondée sur le contenu
- La récupération de données est impossible sur les disques SSD
Comment Windows supprime les fichiers
Lorsqu’un fichier est supprimé — par vos soins dans l’Explorateur Windows, par une autre application ou directement par le système d’exploitation — Windows ne remplace pas immédiatement son contenu par des zéros et ne le détruit pas d’une autre manière. Une telle opération prendrait en effet beaucoup de temps. Essayez de supprimer un fichier volumineux dont vous n’avez plus besoin, par exemple un film que vous avez déjà regardé. Supprimez ensuite un raccourci de très petite taille. Vous constaterez que le temps nécessaire à la suppression est exactement le même dans les deux cas. Si Windows effaçait réellement le contenu de chaque fichier supprimé, la suppression de ce gros film prendrait beaucoup plus de temps. En d’autres termes, l’effacement du contenu de chaque fichier supprimé ralentirait considérablement votre ordinateur. (Cette remarque ne s’applique toutefois plus aux disques SSD ; nous y reviendrons plus loin.)
Si Windows n’efface donc pas réellement le fichier, que fait-il lorsqu’il le supprime ? En réalité, il effectue une opération très simple : il marque comme « supprimée » l’entrée du système de fichiers qui pointe vers ce fichier. Cette entrée n’est alors plus considérée comme existante. Elle est vide, ne pointe plus vers rien. Par conséquent, le CONTENU de votre fichier se trouve toujours quelque part sur le disque (s’il ne s’agit pas d’un SSD), mais l’ENTRÉE DU SYSTÈME DE FICHIERS qui pointe vers ce fichier n’existe plus (FAT32) ou est marquée comme libre (NTFS). Bien entendu, cette explication simplifie considérablement le fonctionnement réel, mais nous n’avons pas besoin de davantage de détails techniques pour le moment. Passons maintenant à la récupération des données.
L’essor des outils de récupération de fichiers supprimés
Nous avons donc établi que le fichier existe toujours quelque part sur le disque, mais que l’entrée correspondante du système de fichiers le marque comme « supprimé ». Ne suffit-il pas de supprimer cette marque ?
C’était précisément le principe de fonctionnement de l’un des premiers outils de récupération de données destinés à Microsoft DOS. Cet outil s’appelait « undelete » et faisait exactement cela : il analysait le système de fichiers pour rechercher les fichiers marqués comme « supprimés », puis réinitialisait l’indicateur correspondant. (À cette époque, le premier caractère du nom des fichiers supprimés était perdu : après la récupération, on obtenait donc « ~ocument.txt » au lieu de « document.txt ».)
Quel était le problème de cette méthode ? Ils sont nombreux. Tout d’abord, le système de fichiers d’un système d’exploitation moderne multitâche évolue en permanence. De nouveaux fichiers temporaires sont créés, tandis que les journaux et les fichiers du Registre sont constamment modifiés par les nombreuses tâches système et applications exécutées en arrière-plan. Les entrées d’origine du système de fichiers qui pointaient vers le fichier supprimé deviennent donc rapidement obsolètes : certaines ou toutes peuvent être réutilisées par le système d’exploitation pour enregistrer les informations relatives aux nouveaux fichiers.
À ce stade, le fichier supprimé peut toujours se trouver sur le disque, et l’espace disque qui lui était attribué peut rester disponible, alors que l’entrée du système de fichiers qui pointait vers ce fichier peut ne plus exister.
Voyez-vous le problème ? C’est la raison pour laquelle nous en sommes aujourd’hui à la deuxième génération des outils de récupération de données.
Récupération fondée sur le contenu
La génération suivante d’outils de récupération de données ne dépend plus des informations fournies par le système de fichiers. Les logiciels modernes analysent toujours le système de fichiers et récupèrent volontiers les fichiers supprimés lorsque les informations les concernant sont encore disponibles, mais ils peuvent également utiliser d’autres sources pour identifier les fichiers supprimés. Voici la récupération fondée sur le contenu !
Les logiciels modernes de récupération de données, tels que RS File Recovery ou RS Partition Recovery, mettent en œuvre des techniques avancées pour récupérer vos données. Ils analysent l’intégralité de la surface du disque à la recherche de traces de données supprimées. Que recherchent-ils exactement ? Voici comment fonctionne cette méthode.
Dans un premier temps, l’outil de récupération fondée sur le contenu analyse le système de fichiers. Même si aucune information n’est disponible concernant le fichier supprimé, cette analyse permet d’établir une cartographie des blocs du disque attribués aux autres fichiers (existants) et de les exclure de l’analyse suivante. Cette approche est efficace : un disque dur grand public est généralement rempli à plus de moitié, et les quelques secondes nécessaires à l’analyse du système de fichiers peuvent ainsi éviter une heure, voire davantage, d’analyse du disque lui-même.
Ensuite, l’outil commence à lire le disque et analyse, bloc après bloc, les secteurs qui ne sont pas marqués comme occupés par d’autres fichiers. Chaque bloc lu est comparé à une base de données contenant de nombreuses signatures caractéristiques permettant d’identifier le début d’un type de fichier donné. Par exemple, les images JPEG commencent toujours par « JFIF », tandis que les fichiers PDF contiennent « %PDF% » au tout début. (Cette explication reste bien entendu simplifiée, car les signatures réellement utilisées sont de nature binaire.)
Lorsqu’une signature correspondante est trouvée, l’outil effectue une vérification supplémentaire afin de déterminer s’il s’agit d’une simple occurrence aléatoire ou si la signature indique réellement le début d’un fichier. Cette vérification consiste essentiellement à valider l’en-tête du fichier dans un format donné. Si le contrôle est concluant, le logiciel de récupération de données analyse l’en-tête afin de déterminer la taille du fichier. Après avoir calculé cette taille, l’outil lit sur le disque le nombre de blocs requis et les enregistre dans un nouveau fichier sur un autre disque.
Cette méthode semble idéale, mais voyez-vous le problème ? Elle fonctionne parfaitement lorsque tous les fichiers du disque sont stockés dans des blocs contigus. Mais que se passe-t-il lorsqu’ils sont répartis en plusieurs petits fragments sur le disque ? Autrement dit, lorsqu’ils sont fragmentés ? Dans ce cas, la récupération fondée sur le contenu peut échouer. Pour en savoir plus sur la récupération des fichiers fragmentés, consultez notre autre article : Récupération des fichiers fragmentés.
La récupération de données est impossible sur les disques SSD
Vous vous souvenez lorsque je vous ai expliqué que Windows supprimait les fichiers sans réellement remplacer leur contenu par des zéros ? Ce n’est pas tout à fait vrai. Le contenu des fichiers supprimés reste effectivement intact, mais uniquement sur les disques durs traditionnels (magnétiques) et certains supports de stockage à mémoire flash, comme les cartes mémoire et les clés USB. Mais qu’en est-il des disques SSD ultrarapides ? C’est une autre histoire.
Lorsque vous supprimez un fichier d’un SSD, Windows n’efface toujours pas directement son contenu, même si ce type de disque est beaucoup plus rapide qu’un disque dur magnétique. Le protocole est exactement le même, avec une différence : Windows envoie au disque une commande « TRIM », indiquant à son contrôleur que certains blocs de données ne sont plus utilisés. À partir de ce moment, le SSD peut gérer ces blocs comme il le souhaite. Il peut les effacer afin d’accélérer les écritures suivantes, les échanger avec d’autres blocs de données logiques pour répartir uniformément l’usure (« wear leveling » ou nivellement de l’usure), voire les déplacer vers une zone spéciale non adressable contenant des blocs réservés (toujours dans le but de répartir l’usure).
Par conséquent, le contenu complet d’un fichier supprimé d’un SSD est pour ainsi dire perdu dès sa suppression. Il peut certes rester quelque temps à un emplacement quelconque du SSD. Toutefois, le contrôleur du SSD renverra toujours des zéros si vous essayez de lire ce bloc. Il n’existe aucun moyen de contourner ce problème, quel que soit le niveau d’analyse utilisé. Même le matériel spécialisé d’imagerie employé dans de nombreux laboratoires de criminalistique numérique ne permet pas de récupérer les données traitées par la commande TRIM.
Tout est-il définitivement perdu ? Pas nécessairement. Certains SSD ne prennent pas en charge la commande TRIM et, même lorsqu’ils la prennent en charge, il arrive que le SSD ne soit pas correctement configuré pour l’accepter. Si votre SSD est formaté en FAT32 (ou exFAT) plutôt qu’en NTFS, Windows n’enverra pas la commande TRIM. De même, si le système de fichiers est endommagé, les données perdues ne seront pas traitées par TRIM. Il reste donc utile d’exécuter un logiciel fiable de récupération de données sur votre SSD, tel que Partition Recovery, afin de vérifier quelles données peuvent encore être récupérées.
