Données écrasées : peut on les récupérer ?

Ce que veut dire écraser une donnée

Un plateau de disque dur est recouvert d'une couche magnétique composée de très petits domaines, chacun orienté dans un sens ou dans l'autre. C'est cette orientation, et rien d'autre, qui porte l'information.

Écrire consiste à faire passer un champ magnétique au dessus d'un domaine pour l'orienter. Le domaine n'a pas de mémoire : il prend la nouvelle orientation, et l'ancienne n'existe plus nulle part.

C'est en cela que l'écrasement diffère radicalement de la suppression. Supprimer retire une adresse d'un index et laisse le contenu en place, comme l'explique la page sur ce que devient un fichier supprimé. Écraser change la matière elle même.

Un fichier supprimé attend. Un fichier écrasé n'existe plus.

HLes trois idées fausses qui circulent encore

Trois idées reviennent sans cesse, et toutes les trois datent d'une époque révolue.

La méthode Gutmann et ses trente cinq passes. Elle a été publiée en 1996, pour des disques dont la densité se comptait en centaines de mégaoctets et dont l'encodage laissait effectivement des traces exploitables. Son auteur a lui même écrit ensuite que sur un disque moderne, une seule passe suffit et que le reste relève du folklore.

Le magnétisme résiduel lisible au microscope. L'idée vient de travaux de laboratoire menés sur des densités des années quatre vingt dix. Sur un disque actuel, où les domaines sont mille fois plus petits et où les pistes se chevauchent partiellement, aucune publication n'a jamais montré la reconstitution d'un fichier par cette voie.

Les logiciels qui promettent de récupérer des données écrasées. Ils retrouvent en réalité des fichiers supprimés, pas écrasés, et l'amalgame entretient la confusion. Aucun outil ne lit une orientation magnétique qui n'existe plus.

Diskeom ouvre des disques toutes les semaines et ne fait pas exception : ce qui est écrasé n'est pas récupéré, ni ici ni ailleurs.

L'écrasement est presque toujours partiel

C'est la vraie bonne nouvelle, et elle change tout dans la pratique.

Le système n'écrase jamais un fichier entier volontairement. Il réutilise des emplacements devenus disponibles, un par un, au fur et à mesure de ses besoins. Un fichier supprimé la semaine dernière peut donc avoir perdu trois de ses vingt zones et rester complet à quatre vingt cinq pour cent.

Sur les gros fichiers, cette dispersion joue en faveur de la récupération. Une vidéo ou une image dont une fraction a été réécrite reste souvent lisible, avec un défaut visible. Sur les petits fichiers, une seule réutilisation suffit à tout détruire.

Sur les formats compressés, archive ZIP, base de données, document bureautique récent, la tolérance est nulle : quelques octets réécrits au mauvais endroit rendent l'ensemble illisible.

Le détail de ces résultats est sur la page des données perdues sur un disque dur.

Ce qui écrase sans qu'on le décide

Presque tout ce que fait un ordinateur allumé écrit quelque part.

• Les fichiers temporaires des applications, les journaux du système, les miniatures d'images, les fichiers d'échange de la mémoire.
• Les mises à jour du système, qui écrivent des centaines de mégaoctets d'un coup, souvent sans prévenir.
• Les synchronisations en arrière plan vers un espace en ligne, qui écrivent aussi en local.
• L'installation d'un logiciel de récupération sur le support concerné, qui place ses fichiers exactement dans la zone que l'on cherche à lire.

C'est pour cette raison qu'un support se débranche avant toute chose, comme détaillé sur la page que faire en cas de perte de données.

Le cas du disque SSD

Sur un disque SSD, l'écrasement n'est pas la seule menace, et ce n'est même pas la principale.

Une cellule de mémoire flash ne se réécrit pas directement, elle doit être effacée avant. Le contrôleur efface donc en arrière plan les blocs que le système lui a signalés comme libres, sans attendre qu'une écriture les réclame.

Autrement dit, la donnée disparaît même si personne n'écrit rien. Le seul geste utile est de couper l'alimentation. La suite est traitée sur la page récupération de données sur disque SSD.

Il existe une contrepartie : sur un SSD, la répartition d'usure disperse les écritures, et des versions anciennes d'un fichier peuvent subsister dans des blocs que le système ne voit plus. Y accéder demande de lire les puces directement, ce qui n'est possible que si le support ne chiffre pas ses données.

Quand l'écrasement est ce que l'on cherche

Le raisonnement s'inverse quand il s'agit de se séparer d'un disque.

Là, l'impossibilité de récupérer devient l'objectif, et une seule passe d'écriture sur toute la surface y suffit. La méthode est décrite sur la page détruire un disque dur définitivement.

Une réserve toutefois : l'écrasement ne traite que les zones que le disque accepte encore d'adresser. Les secteurs réalloués parce qu'ils devenaient défectueux échappent à l'opération et peuvent contenir des fragments lisibles. Sur un support fatigué, porteur de secteurs défectueux, seule la destruction physique garantit le résultat.

Un formatage, lui, n'écrase rien du tout s'il est rapide. Il vide l'index et laisse les contenus intacts, comme le montre la page récupération de données sur disque dur formaté.

Savoir si vos données ont été écrasées

Cela ne se devine pas, cela se mesure, et l'observation ne suffit jamais.

L'analyse du support établit quelles zones ont été réutilisées depuis la perte, et lesquelles portent encore les données recherchées. Elle se fait sur un clone, jamais sur l'original, selon les méthodes de récupération de données.

Le résultat est une liste de fichiers réellement récupérables, avec pour chacun l'état constaté : complet, partiel, ou perdu. C'est cette liste qui est remise au diagnostic, avant tout engagement, comme décrit sur la page des étapes de la récupération de données.

Un laboratoire qui annonce un résultat sans avoir analysé le support ne peut pas le savoir, quel que soit le prix demandé.

Une partie de vos fichiers a survécu, presque toujours. Reste à savoir laquelle.