Восстановление данных – одна из наиболее «таинственных» и обросших мифами сторон IT-индустрии. Это связано как с тем, что большая часть методов и приемов восстановления данных скрыта от большинства пользователей, так и с тем, что до сих пор не существует места, где можно было бы получить образование по специальности «восстановление данных»: практически все специалисты в этой области – самоучки. Перечислим десять наиболее ярких мифов о восстановлении данных.

Миф первый

Существует специальный аппарат, в который можно вставить «блин» от жесткого диска и считать данные.

Опровержение мифа. Некоторые фирмы по восстановлению данных активно используют этот миф в рекламных целях, публикуя на своих сайтах изображения каких-то сложных машин (обычно – медицинских), которые, по их заверениям, и есть тот самый волшебный аппарат. На самом деле такой машины, с определенными оговорками, не существует. Несколько крупных компаний, занимающихся восстановлением данных, вели разработки в этой области, но из-за дороговизны реализации и достаточно скромных результатов эти работы были свернуты. Одна из таких машин – Signal Trace – имеется в двух экземплярах в лабораториях компании Action Front. Я имел счастье познакомиться с этой машиной в Торонто (Канада); ее возможности – считывание информации с «блинов» очень ограниченного количества жестких дисков с низкой плотностью записи. Ни один современный накопитель такая машина считать не может. Проблема в том, что каждый отдельно взятый «блин» уникален, имеется масса таблиц и настроек в самом жестком диске, которые позволяют уверенно читать с него данные, пропускать дефекты и строить в итоге файлы и каталоги; читая «блины» поодиночке, мы получим бессвязный набор байтов, соединить которые в реальные данные может только микропрограмма конкретного жесткого диска.

Миф второй

Данные с жесткого диска можно восстановить даже после стирания, с помощью сканирующего туннельного микроскопа.

Опровержение мифа. Действительно, некоторое время назад бытовала легенда о том, что даже после стирания данных их можно восстановить по так называемой «остаточной намагниченности», для чего магнитные слои следует исследовать послойно с помощью сканирующего туннельного микроскопа. Именно поэтому был разработан так называемый английский стандарт стирания данных, который, по задумке его разработчиков, полностью исключает возможность восстановления информации по остаточной намагниченности (жесткий диск подвергается процедуре перезаписи с использованием разного заполнения сектора от трех до девяти раз). Между тем сканирующий туннельный микроскоп предназначен не для снятия магнитных характеристик поверхности, а для определения его нанорельефа: он применяется для получения двумерных и трехмерных изображений на молекулярном и надмолекулярном уровне (кристаллическая решетка и т.п.) и никак не может применяться для поиска остаточных явлений намагниченности.

Миф третий

Внутри жесткого диска вакуум

Опровержение мифа. Вакуум – это безвоздушная среда; согласно устоявшемуся мифу, только с помощью вакуума можно добиться абсолютно чистой среды внутри гермоблока жесткого диска. На самом деле это не так. Во-первых, если из диска откачать весь воздух, то будет создана разница давлений, которая не скажется благотворно на прочности устройства. Во-вторых, головки внутри жесткого диска парят с использованием аэродинамических сил, для этого им нужна атмосфера. Современные жесткие диски содержат внутри либо полностью очищенный воздух, и компенсация разницы давлений осуществляется через специальный «дыхательный клапан», закрытый тонким фильтром (в корпусе жесткого диска имеется отверстие, рядом с которым обычно имеется надпись «Do not cover any drive holes» или подобная), либо имеют гелиевое заполнение (для уменьшения последствий рения); в последнем случае диски герметически закрыты.

Миф четвертый

Восстановление данных с флешек намного проще, чем с жестких дисков

Опровержение мифа. Флешки и любые устройства хранения информации, основанные на NAND-памяти, имеют ограниченный ресурс службы, связанный с конечным количеством записей данных в ячейку памяти. Если использовать сектора NAND-микросхем также, как используется жесткий диск – напрямую – то наиболее часто используемые ячейки памяти неизбежно будут изношены намного быстрее тех ячеек, в которые запись осуществляется намного реже. Для того, чтобы избежать преждевременного износа, производители флеш-устройств используют различные механизмы перераспределения данных. Упрощенно говоря, информация на флеш-карте распределяется таким образом, чтобы по возможности все ячейки микросхемы использовались примерно одинаково. Поэтому данные во флеш-карте и любом другом устройстве, работающем на NAND-памяти, обычно распределены более-менее равномерно по максимально большому массиву ячеек памяти, и по мере их износа перемещаются в другие ячейки. Восстановление данных с таких устройств заключается в том, чтобы определить, по какому алгоритму (или алгоритмам, если их несколько) распределены данные внутри ячеек, каким образом ячейки памяти организованы в сектора, те – в страницы, страницы в блоки и блоки – в банки памяти; после определения алгоритма производится обратная сборка данных для того, чтобы получить пригодный для извлечения данных образ устройства (обычно – раздел). Кроме того, в NAND-памяти для исправления постоянно возникающих из-за процессов переноса данных ошибок, реализованы механизмы коррекции ошибок, которые также нужно учитывать при восстановлении данных. И, наконец, в любой микросхеме памяти имеются области сбойных ячеек, которые при восстановлении данных из анализа следует исключить. Все это в совокупности делает восстановление данных с флеш-устройств значительно более трудоемким, чем восстановление информации с обычных жестких дисков.

Миф пятый

Твердотельные диски намного надежнее жестких дисков

Опровержение мифа. В отличие от жестких дисков, в твердотельных накопителях нет движущихся частей (шпиндельного двигателя, магнитных пластин и блока магнитных головок), однако это не выводит их на новый уровень надежности. Проблема твердотельных дисков – конечный ресурс ячейки памяти, которая не может перезаписываться практически бесконечно, как сектор жесткого диска. Как было показано исследованиями, проведенными в университете Торонто (Канада), время жизни твердотельного накопителя конечно и в целом не зависит от того, был он в использовании или нет: по прошествии определённого времени, даже если накопитель не использовался и просто лежал на полке, он выйдет из строя. И это случится примерно в тех же временных рамках, как выйдет из строя другой такой диск, активно использующийся все это время. Другая сторона этой медали – сложности, связанные с восстановлением данных с твердотельных накопителей. Здесь применимы все те нюансы, которые описаны в четвертом мифе, а бонусом идет шифрование данных многих современных SSD. Даже если специалисту по восстановлению данных удастся вычитать NAND-микросхемы и собрать правильный образ, он встретится с глухой стеной стойкого шифрования, преодолеть которую в подавляющем большинстве случаев могут только спецслужбы очень высокого уровня (подробнее тут.

Миф шестой

Восстановление данных – всегда очень дорого

Опровержение мифа. На самом деле большинство ситуаций, когда пользователь теряет доступ к своим данным, лежат в плоскости разного типа логических проблем: форматирование, переразметка раздела, удаление файлов и каталогов, шифрование. Физические неисправности накопителей — лишь вторая по распространенности причина потери доступа к данным, причем и физические неисправности бывают разными. При необходимости замены головок или переноса магнитных пластин в другой гермоблок цена будет достаточно высокой, если же у диска возникли проблемы с микропрограммой или платой электроники – цена меньше. Средний ценник восстановления данных в большинстве компаний не превышает 200 долларов США. Конечно, бывают и очень дорогие восстановления (иногда – сотни тысяч долларов), но делаются они в основном для крупных предприятий и крупными компаниями по восстановлению данных; последние, к слову, стараются не восстанавливать данные дешевле чем за 500 долларов, поэтому, обращаясь в такую компанию, следует быть готовым к высокой цене работ.

Миф седьмой

Если диск стучит, значит нужно менять головки

Опровержение мифа. Действительно, если ваш диск застучал, это обычно означает выход из строя блока магнитных головок или микросхемы предусилителя-коммутатора. Однако это не всегда так. В отдельных случаях диск может стучать при ошибках микропрограммы – если в силу какой-то ошибки в дефект-листы накопителя добавился дефект из несуществующей области диска и накопитель время от времени пытается «увести» туда головки (это сопровождается ударом ограничителя головки об упор позиционера); «циклические» ошибки оверлеев, когда диск многократно перезапускает процесс старта; срыв рекалибровки (например, при сильных вибрациях или нестабильном чтении каких-то областей диска), при этом диск начинает процесс старта заново; дефекты поверхности, на которых происходит «срыв» чтения и головки производят аварийную парковку; и т.п. Поэтому, даже если ваш диск вдруг начал стучать – это еще не значит, что вас ожидает дорогостоящая процедура замены головок, возможно, что проблему удастся решить дешевле.

Миф восьмой

Любой сисадмин может восстановить данные

Опровержение мифа. Системные администраторы – это своеобразная каста IT-специалистов, которым часто приписывают функции, которым они на самом деле не обучены. Основная функция сисадмина, как следует из названия его профессии – администрирование систем, то есть поддержание их в рабочем и функциональном состоянии, а также решение проблем на уровне операционной системы или ПО. Ремонт компьютерных комплектующих – совершенно другая работа, которая требует значительного погружения в мир электроники и специальных знаний. Восстановление данных, кроме умений ремонтника, требует специального оборудования, которое в подавляющем большинстве случаев недоступно системным администраторам. Конечно, многие из них в силу хорошего знания ПО и принципов функционирования операционных систем могут восстанавливать данные в простейших случаях, однако когда дело касается вмешательства в работу микропрограммы накопителей или алгоритмов вычитывания и сборки данных, реализованных в специальных инструментах, системные администраторы бессильны.

Миф девятый

Нельзя потерять данные в облаке

Опровержение мифа. Конечно, облачные сервисы – весьма надежные хранилища информации, однако вероятность потерять данные в облаке все же имеется. В первую очередь, это связано с возможностью потери контроля над учетной записью вашего облачного хранилища – причем не важно, потеряли вы пару логин-пароль, или их украл и изменил злоумышленник. Вторая вероятность – просроченная оплата хранилища, если вы пользуетесь ее платной версией (соответственно, используете больший объем, чем предлагает тот же сервис бесплатно). Какое-то время при просроченной оплате сервис хранит ваши данные, по истечении этого времени ваше место уходит другому владельцу, а данные уничтожаются. Это полностью автоматический процесс. Наконец, время от времени в дата-центрах провайдеров облачных сервисов случаются аварии, что приводит ко временным проблемам с доступом к данным; крайне редко, но такие аварии приводят и к полной потере части данных пользователей этих сервисов.

Миф десятый

Восстановление данных с физически неисправного жесткого диска невозможно без чистой комнаты

Опровержение мифа. Большинство людей не знают, что между чистой комнатой и чистым боксом (ламинарный шкаф) огромная разница, и считают чистой комнатой именно ламинарный шкаф. Между тем чистая комната, в отличие от шкафа – это именно помещение, которое отвечает определенному классу чистоты. Для работы с жесткими дисками принят класс 100 – то есть в одном кубометре воздуха не должно содержаться больше 100 частиц пыли. Естественно, чем ниже класс чистоты, тем лучше для работы. Оборудование чистой комнаты – очень дорогое удовольствие: необходимо покрыть пол, потолок и стены специальной краской, которая не продуцирует пыль; необходимо проложить окна специальными прокладками, через которые не может проходить пыль; необходимо оборудовать специальный шлюз, в котором инженеры будут переодеваться в специальную (не производящую пыли) одежду, и откуда будет откачиваться пыльный воздух, привнесенный снаружи; необходимо, наконец, наладить систему фильтрации поступающего воздуха. В отличие от чистой комнаты, ламинарный шкаф стоит намного дешевле и при этом дает тот же уровень чистоты. Работа в ламинарном шкафу намного комфортнее, так как не требует одевания специального костюма. Действительно, зачем очищать весь воздух помещения, если можно очистить только ту его часть, в которой находится жесткий диск?

Станислав Корб, ©2018

Голь на выдумки хитра, гласит народная мудрость. Намедни прикатил к нам из провинции жесткий диск, хозяин которого решил самостоятельно заглянуть вовнутрь и отремонтировать устройство – ведь это, как говорят разные гуру на ютьюбе, так просто… Итог на фотографиях. Поверхность диска зацарапана вся, а головки, дабы не попадали на поверхность при транспортировке и не царапали диск дальше (хотя – куда уж дальше??? итак достаточно…) проложены куском ваты. Вердикт печален: данные не восстановить, и в этом не виноват никто, кроме владельца диска.

Мы не хотим умалить умений доморощенных мастеров, но очень важно помнить, что, открывая жесткий диск, вы впускаете в него джинна под именем пыль. Ну а если вы еще решили, что можно потрогать поверхность диска руками (правда, резонен вопрос – для чего?), то к джинну Пыль прибавляется еще шайтан Отпечатки Пальцев. При попытке включить диск с этими гостями внутри, вы почти наверняка получите размазанные по поверхности ошметки ваших отпечатков и конкретные царапины на поверхности. Отчего?

Во-первых, пыль. Диски вращаются с дикой скоростью (5400 – 7200 и даже больше оборотов в минуту). На такой скорости вращения в диске создается постоянный и довольно ощутимый поток воздуха, попадание в который любых частиц приводит к их разгону до диких скоростей с последующим соударением то с головками, то с поверхностями, то со стенками гермоблока. Естественно, что такие удары, пусть даже и микроскопических частиц, но на большой скорости, ничего хорошего не сулят: появляются следы ударов на поверхности, что приводит к потере данных в этих местах; прилетает и головкам. При этом частица пыли, попавшая между головкой и пластиной, нещадно царапает и то и другое, а с условием огромных скоростей вращения, такие микроцарапины очень быстро превращаются в полновесные запилы, которые плодят уже металлическую пыль, которая в свою очередь начинает свой деструктивный полет внутри диска. Как видим, это цепная реакция – достаточно одному небольшому предмету попасть в гермозону, и начинается необратимый процесс разрушения пластин и головок.

Правда, внутри диска есть фильтры – один «дыхательный», призванный уравнивать давление внутри диска и снаружи (банально чтоб не сплющило или не разнесло диск), второй – для задержки посторонних предметов. Довольно часто второй фильтр нивелирует воздейтсвие привнесенной пыли, но надеяться на это совсем не стоит: во-первых, это аварийная системa, и ее работа может оказаться неэффективной, а во-вторых, зачем усугублять, если можно сделать все аккуратно и не допустить пыль внутрь?

Во-вторых, отпечатки пальцев и прочая грязь. Головки парят над поверхностью диска на очень небольшом расстоянии (несколько нанометров). Если мы добавляем на поверхность нанометры жира и грязи, головки неминуемо туда попадут, и как минимум испачкаются. Конечно же, они разнесут эту грязь по всей поверхности или как минимум по той ее части, в которой работали; может статься, что головки потеряют аэродинамические свойства, упадут на поверхность и начнется ее запиливание.

Поэтому, если данные вам действительно важны, никогда не открывайте диск в домашних условиях. Как бы вам ни казалось, что воздух кристально чист и прозрачен, поверьте – содержание пыли в нем зашкаливает любые пределы, допустимые для гермозоны HDD. Просто открыв и тут же закрыв диск, вы впускаете в него несколько десятков, сотен, а иногда – и тысяч потенциальных убийц ваших данных, и чем больше впустили – тем выше шансы того, что диск получит необратимые повреждения. Не доверяйте и тем компьютерным «гениям», которые предлагают вам открыть диск на столе для того, чтобы его «проверить». Такая «проверка» не даст ничего хорошего, и неминуемо приведет к проблемам. Помните: вероятность вытащить данные с невскрытого диска больше в разы, а иногда и на порядки, чем с диска вскрытого неизвестно где и кем.

Еще одно важное замечание. Некоторые деятели от системного администрирования не имеют необходимых инструментов для открывания дисков. Банально может не быть отвертки нужного образца. В этом случае они пытаются раскрутить диск тем, что есть – например, вместо примнения отвертки типа Т5 будут использовать Т6 с сильным нажимом. Это может привести к деформации крышки гермоблока; кроме того, будут сбиты шлицы крепежного шурупа и вполне может статься, что так, что его не будет цеплять уже и родная отвертка. Ну а если шуруп изготовлен с защитой (имеется выпуклость в середине, или форма прорези для отвертки нестандартная, или что-то еще), то тут могут вообще проявиться таланты по подбору несуществующей отвертки, которые видно невооруженным взглядом (истыканная крышка вокруг шурупа, разбитые напрочь шлицы и т.п.). Обычно это все приводит к тому, что приходится срезать такой шуруп или производить довольно сложные манипуляции по его откручиванию с использованием разного рода зажимов.

Поэтому, если на вышедшем из строя диске лежат данные, которые вы хотите вернуть – обращайтесь только к тем, кто занимается реанимацией данных профессионально. Не доверяйте диски непонятно кому – это может привести к полной потере не только данных, но также и надежд на их восстановление.

Станислав Корб, ©2018

Введение

Ситуации, когда пользователи теряют свою информацию, случаются довольно часто. Но этот термин – «потерять информацию» — неправильный; правильно говорить «потерять доступ к информации». Данные на носителе в подавляющем большинстве случаев все еще присутствует, просто по каким-то причинам они недоступны. Но бывают и такие случаи, когда информация по-настоящему потеряна – то есть, физически на носителе ее уже нет, либо она модифицирована таким образом, что вернуть ее к «нормальному» состоянию невозможно, либо ее никогда на носителе и не было, либо перестал физически существовать или необратимо поврежден сам носитель.

Существует немало мифов о том, что в некоторых случаях данные восстановить уже нельзя. Это верно приблизительно на 30% и в значительной степени зависит от того, куда именно вы обратились за восстановлением данных и, как бы ни банально это ни звучало, сколько вы готовы заплатить за их восстановление. Для многих цена в 300 долларов США за восстановление информации уже является потолком; между тем, мало кто знает, что крупные компании по восстановлению данных обычно даже не работают с такими суммами, и клиенту с такими финансовыми ограничениями дорога только одна – в небольшие компании, которые работают за небольшие деньги и имеют ограниченный набор инструментов и возможностей.

Крайне важно понимать, что небольшие компании не могут восстанавливать информацию в тяжелых случаях, а рекламные обещания «восстановления данных с любых носителей с любыми неисправностями» не более чем рекламные обещания – из таблицы ниже вы увидите, что часть из этих «любых» неисправностей по зубам только компаниям с очень высокими уровнями доступа к технологиям и компетенциями.

Кроме того, некоторые из компаний начального уровня могут намеренно портить данные или накопитель с целью «не отпустить» клиента. Обычно такие компании отрабатывают следующий сценарий: поступающий на восстановление данных носитель восстанавливается без согласования с заказчиком, так сказать, авансом; данные оцениваются не по прайсу, а по их очевидной стоимости. После этого заказчику предлагается завышенный ценник, и в случае несогласия заказчика – диск или данные портятся таким образом, что восстановить их становится невозможно (см. п. 12 в таблице). Заказчик забирает носитель, посещает одну или несколько других компаний, где перед ним разводят руками, и в итоге возвращается туда, откуда пришел. Ну а там, в зависимости от фантазии менеджмента, ему могут еще взвинтить прайс («вы же ходили по другим фирмам, там все еще больше испортили, и теперь восстановить стоит уже не 200, а 500 долларов»), накрутить на запчастях («диск окончательно испортили, теперь надо два (три, четыре…) донора на запчасти») и т.п. В любом случае, в таких компаниях восстановление данных после их участия возможно только у них же. К счастью, эти места достаточно легко вычислить по негативным отзывам, в которых будет написано что-то типа «предложили очень высокий прайс, сходил в другое место, но там сказали, что ничего восстановить нельзя» — если не будет ни одного отзыва типа «пришел, увидел, огорошили ценой, ушел и восстановил в другом месте», или таких отзывов будут единицы — значит, там определенно портят данные или носитель с целью возвращения заказчика обратно. Все дело в статистике – в стандартных условиях возможно восстановление данных примерно в 70% случаев, и если после какой-то компании при несхождении в цене процент успешных восстановлений резко падает (как правило, до нуля, в некоторых случаях – до 10–15%), то это серьезный повод задуматься.

Таблица. Когда считается, что данные восстановить невозможно, и реальное положение дел

* Зависит от того, как именно уничтожены данные.

О том, когда можно, и когда нельзя восстановить данные: чуть более расширенно

1. Данные вообще не записывались на диск. Как ни странно, такое случается, хотя и кажется неправдоподобным. В некоторых случаях пользователь просто забывает, что на самом деле не записывал ничего на носитель; в некоторых – запускает задачу записи, но не обращает внимания на ошибки и думает, что все прошло хорошо; в некоторых дает сбой система отложенной записи Windows. Вариантов на самом деле масса, но результат всегда один: с диска физически нечего восстанавливать, со всеми вытекающими последствиями. Рекомендация тут только одна: копируя или перемещая данные на другой носитель, убедитесь, что копирование или перемещение происходят на самом деле, а перемещенные или скопированные файлы на другом диске имеются и работают.

2. Данные на диске полностью переписаны. Например, диск очищен с использованием Security Erase, low-level format, прямой перезаписью (к примеру, при проверке диска с помощью общедоступных программ с включенной опцией «запись»). В этом случае данные, которые были в секторах диска, уже недоступны, и восстановить то, что было на диске до перезаписи, нельзя. Рекомендация: прежде, чем полностью очищать ваш диск, убедитесь, что на нем нет данных, которые могут пригодиться вам в будущем.

3. Вы восстанавливали удаленные данные с помощью скачанной из интернета программы на тот же диск, с которого велось восстановление. При этом происходит частичная (в особо тяжелых случаях – почти полная) перезапись исходных данных. Суть проблемы заключается в том, что программы для восстановления данных создают дерево файлов в памяти, и информация о дереве файлов и о самих файлах берется не с диска, а из памяти. Соответственно, сами файлы программа записывает, руководствуясь данными операционной системы о свободном месте – которое, если вы удалили данные или отформатировали диск, будет именно там, где находились нужные вам данные. Результат: удаленные данные переписываются другими данными (из физически других секторов) в свободное место – и, естественно, совсем не так, как лежали на диске удаленные данные; и чем больше данных переписывается, тем больше «мусора» попадает на диск. В итоге скорее всего работать будет несколько десятков – сотен первых в очереди файлов, а все остальное будет состоять из мешанины наложенных на ваши данные перезаписанных секторов. Рекомендация: если вы решили попробовать самостоятельно восстановить ваши удаленные файлы, копируйте данные на физически другой носитель, но лучше воспользоваться услугами профессионала, который никогда не допустит таких ошибок.

4. Данные на диске зашифрованы, информация о ключах шифрования или паролях утеряна. Если утеряны пароли, ключи шифрования и тому подобная информация, расшифровка возможна только теми специалистами, у которых имеется возможность генерации ключа. Современные алгоритмы шифрования подразумевают бессмысленность прямого подбора в силу огромного количества возможных комбинаций, поэтому обычные сервисы по восстановлению данных с такими задачами справиться не могут. Рекомендация: если у вас возникла необходимость зашифровать ваши данные, сохраните пароли и ключи шифрования и сделайте их резервную копию.

5. Вы подверглись атаке вирусов-шифровальщиков, для которых не существует общедоступных методов расшифровки. Это не значит, что такое шифрование не может быть расшифровано: как правило, спецслужбы могут контролировать хакеров, чьим бизнесом является накачка Сети вирусами-шифровальщиками и извлечение прибыли из расшифровки файлов, и вполне могут (используя этих самых хакеров) данные расшифровать. К сожалению, помогать с расшифровкой они будут только в тех случаях, когда сами в ней заинтересованы; во всех остальных случаях вам нужно или обращаться к специалистам попроще, или платить злоумышленнику, или смириться с невозможностью расшифровки данных. Рекомендация: осторожно используйте интернет и старайтесь как можно чаще создавать резервные копии ваших данных.

6. Нельзя восстановить данные с флеш-карты, если это переломленная пополам microSD, или один или несколько чипов внутри карты памяти переломлены. При разламывании microSD или NAND-микросхемы происходит необратимое разрушение внутренней структуры, приводящее к невозможности считывания чипа. Однако это не касается карт памяти, у которых сломан или отколот небольшой участок с края; некоторые пользователи подпиливают microSD, когда она не влезает в разъем – такие данные также можно восстановить. Предупреждение: если вы решили почистить карту памяти, или протереть ее контакты в случае потери контакта, или вставить карту памяти в разъем – делайте это аккуратно, мягкими движениями, без нажима, чтобы не повредить.

7. Восстановление данных с флеш-карты или SSD, транслятор которых проинициализирован, а также с HDD с поддержкой технологий моментального стирания (например, Seagate Instant Secure Erase). Физического стирания данных (т.е. очистки секторов области данных) в этом случае не происходит. Накопитель перестраивает систему трансляции таким образом, что для операционной системы он оказывается пустым, и при любом запросе любого сектора этот сектор будет «возвращен» как пустой даже для специальных программ по восстановлению данных.

8. Нельзя восстановить данные с накопителей Seagate начиная с семейства Barracuda 7200.11, с любых накопителей Toshiba форм-фактора 2.5 дюйма (для ноутбуков) и с новейших накопителей производства HGST (Hitachi) (2017 и 2018 гг. производства), если была утеряна их плата электроники. В плате электроники этих накопителей содержатся уникальные для каждого диска настройки (адаптивные параметры); методик расчета этой информации или ее восстановления на настоящее время не существует. Вам смогут помочь только две — три компании, занимающиеся восстановлением данных, имеющие доступ к базам данных заводов-производителей этих жестких дисков. Рекомендация: если плата электроники вашего диска сгорела, не выкидывайте ее – она пригодится для восстановления данных; если вас просят «одолжить» плату электроники с вашего диска для попытки оживления другого диска – откажите, диск почти наверняка не оживет, а риск испортить вашу плату электроники достаточно велик.

9. Нельзя восстановить данные с жестких дисков с разрушенной поверхностью. Если пластины внутри диска разбиты, покрыты запилами на значительной площади, – восстановление данных невозможно. Разрушенная магнитная поверхность – это разрушенные данные; если данные физически уничтожены, их уже не извлечь. Предупреждение: не пытайтесь включать уроненный диск – именно после падения, по статистике, мы видим больше всего запилов и других повреждений поверхности, несовместимых с восстановлением данных; во время диагностики специалист, открыв накопитель, сразу определит, есть ли риск запиливания диска при его включении, или его нет.

10. Нельзя восстановить данные с разломанных на несколько частей оптических дисков. При разламывании происходит деформация треков в области разлома, что делает совмещение этих треков невозможным. Рекомендация: не храните и не используйте оптические диски так, что они могут согнуться и сломаться.

11. Запилы и царапины на поверхности жесткого диска. Неисправности такого типа – не всегда приговор для данных. Конечно, всех данных из такого диска уже не восстановить, ведь участок поверхности уничтожен физически, однако можно восстановить данные из неповрежденных поверхностей или из неповрежденных участков поверхностей. Для восстановления данных с таких дисков, пусть даже и частичного, существует несколько методик, различающихся по цене. Наиболее дорогостоящие методики связаны с применением специальных полимеров, которые затягивают область запила или царапины тонкой пленкой, разравнивают поверхность и не дают завихряться потокам воздуха при вращении диска, оберегая головки от перегрева и выхода из строя. Наименее дорогостоящие методики связаны с физическим удалением поверхности или головок, которые к ней относятся; в этом случае потери данных кратны удаленному участку секторов – например, если у диска повреждена одна поверхность из четырех, то по простой логике, при удалении одной поверхности, будет потеряно 25% всех секторов. На практике процент потерь обычно больше, так как часть файлов будет «вылезать» за пределы этих 25%.

12. Данные уничтожены намеренно. Как правило, уничтожение данных производится так, чтобы восстановить их было уже невозможно (обычно недобросовестными компаниями по восстановлению данных). Однако довольно часто встречаются случаи, когда уничтожение данных производится весьма примитивно (форматирование диска, физическое повреждение диска (удар об стену, например) и т.п.), и восстановить данные после такого уничтожения возможно. Таким образом, возможность восстановления данных после намеренного удаления или порчи накопителя сильно зависит от того, кем были эти данные удалены.

13. Разбитый планшет Apple iPad старше версии 1 или смартфон Apple iPhone старше версии 4S (разбитый так, что работоспособность уже не восстановить), а также то же самое устройство, от которого забыли пароль, или пароль которого «довосстанавливали» до полной блокировки устройства. В этом случае «добраться» до данных напрямую невозможно, так как устройство либо не работает, либо заблокировано (а без пароля оно к «телу» не пустит). Некоторые сервисы будут предлагать вам выпаивание микросхемы NAND и считывание ее NAND-ридером; занятие для всех без исключения компаний начального и многих компаний продвинутого уровня абсолютно бессмысленное, так как расшифровать данные они все равно не сумеют. Apple использует стойкий алгоритм шифрования, ключ генерируется для каждого аппарата уникально. Без знания ключа «взлом в лоб» займет пару миллиардов лет – вы готовы столько ждать? Однако в некоторых крупных компаниях DR и в некоторых профильных спецслужбах имеются необходимые для восстановления данных как минимум с части таких устройств технологии.

14. Планшет Apple iPad или смартфон Apple iPhone, для которого произведено стирание через iCloud или сброс устройства на заводские настройки. При этом устройство стирается полностью специальной командой, данные в устройстве отсутствуют и восстановление данных невозможно.

Уровень компетентности: чем отличаются различные сервисы, или куда обращаться и к чему быть готовым финансово в случае тяжелых потерь данных

Выше, в таблице, вы могли обратить внимание на то, что при части случаев потери данных могут помочь в большинстве компаний восстановления данных, часть – только в крупных компаниях и часть – в профильных спецслужбах. Почему существует такое ранжирование и с чем это связано?

Все дело в уровне доступа к технологиям и информации, а также в уровне полномочий. Все сервисы (включая государственные) восстановления данных можно разделить на следующие типы:

1) Тип доступа «ноль». Не имеющие профильного образования и специального, купленного за деньги, оборудования, пользующиеся исключительно пиратскими программами, псевдо-специалисты. Основная характеристика таких людей: «он что-то понимает в компьютерах, значит может и данные восстановить». Уровень доступа к информации: только то, что находится в открытом доступе в Сети. Основные клиенты: частные лица, которые ищут, как бы восстановить данные «по знакомству» и «подешевле». Весьма опасный тип сервисников, так как они в 90% случаев не понимают, что делают, абсолютно легко по незнанию уничтожают данные или носители, и не несут за это никакой ответственности. Восстановление данных после работы таких «специалистов» довольно часто просто невозможно в силу необратимости повреждений, сгенерированных их активностью. Данный тип сервисников мы не включили ни в таблицу, ни в анализ, так как настоятельно не рекомендуем пользоваться их услугами – это слишком большой риск для ваших данных.

2) Начальный тип. Основная масса сервисов, в которых осуществляется восстановление данных. Как правило, это небольшие компании, ориентированные на обслуживание одного города или небольшой страны. Имеют весьма ограниченный набор оборудования: только то, что можно купить на рынке восстановления данных (продукция компаний ACE Lab, Salvation Data, BVG и некоторых других), ламинарный шкаф (довольно часто – самодельный, т.е. не сертифицированный), паяльное оборудование и стандартные средства тестирования электроники (осциллографы, мультиметры и т.п.). Уровень доступа к информации: техническая документация и форумы используемых продуктов, конференции специалистов восстановления информации. Основные клиенты: частные лица, реже – небольшие или средние компании. Крупные компании или государственные структуры обращаются в такие фирмы только в том случае, если в регионе нет сервисов более высокого уровня.

3) Продвинутый тип. Международные компании и некоторые крупные компании восстановления данных. Как правило, ориентированы на обслуживание страны или нескольких стран. Имеют довольно широкий набор оборудования; кроме того, что можно купить на рынке, обычно обладают собственными разработками и продуктами. Уровень доступа к информации: кроме того, что доступно на начальном типе, имеют доступ к внутренней документации некоторых производителей, к их базам данных, а также к разработкам некоторых других компаний продвинутого типа. Часто производят обмен информацией внутри конгломерата компаний продвинутого типа для расширения возможностей. Примеры таких компаний: ACE Data Recovery, Seagate Data Recovery, IT-Doctor, и др. Основные клиенты таких компаний: платежеспособные частные лица, различные по величине и обороту компании, государственные структуры.

4) Полный тип доступа. Лаборатории некоторых спецслужб (ЦРУ, ФСБ и пр.). Ориентированы на решение определенных государственных задач; могут сотрудничать с компаниями восстановления данных продвинутого типа, изредка – с компаниями начального типа. Обладают полным арсеналом необходимого оборудования, при необходимости любое оборудование может быть приобретено. Уровень доступа к информации: практически любая информация о той или иной технологии может быть получена по запросу (включая ключи и технологии шифрования). Клиенты таких лабораторий: государственные структуры, редко – крупные компании восстановления данных, еще реже – частные лица (обычно в тех случаях, когда интересы частных лиц и интересы государства или профильных лабораторий лежат в одной плоскости).

Соответственно этим типам ранжируется и порядок цен. В лабораториях начального типа стоимость восстановления данных редко превышает 1000 долларов США; средняя стоимость составляет 300 долларов. Лаборатории продвинутого типа редко работают дешевле 1000 долларов США; средняя цена 2000 – 2500 долларов. В лабораториях с полным типом доступа восстановление данных возможно только по знакомству или через компанию продвинутого типа; в любом случае, стоимость работ составит не менее 5000 долларов.

Естественно, что на стоимость работ главным образом будет влиять не столько сложность, сколько эксклюзивность задачи. Скажем, восстановление данных с диска с зацарапанной одной поверхностью в том случае, если восстанавливаются пользовательские фотографии из недавнего отпуска – это 500–1000 долларов, при этом существует немалая вероятность того, что данные вообще не будут восстановлены; если это такой же диск и та же неисправность, но восстанавливается крупная база данных государственной структуры, то ценник может легко превысить 5000 долларов, но при этом данные будут восстановлены с близкой к 90% вероятностью.

Заключение

Эта статья написана не с целью напугать вас, дорогие читатели, а с целью проинформировать: если где-то вам сказали, что восстановить данные с вашего устройства нельзя, то это далеко не всегда именно так, как вам сказали. Приведенные выше сведения должны дать вам пищу для размышлений и точные сведения о том, когда именно все-таки данные восстановить нельзя; исходя из этих сведений и озвученного вам диагноза вы можете хотя бы приблизительно оценить, насколько ваши данные на самом деле невосстановимы, и в какую сумму в случае серьезной необходимости может вылиться вам восстановление «невосстановимых» данных.

Важным дополнением к этой статье будет то, что не все диагнозы одинаково достоверны – другими словами, не всегда диагноз сервисного центра будет правильным. К сожалению, менталитет большинства пользователей «настроен» таким образом, что, получив негативный результат (хотя, конечно, это не результат, а лишь его прогноз), пользователь принимает траурный вид и производит внутричерепные похороны своих данных. Этого делать ни в коем случае нельзя: не факт, что вам сделали правильную диагностику; возможно, где-то в другом месте новости по вашим данным окажутся гораздо более радужными. В любом случае, при условии бесплатной диагностики – вы (теоретически; это уже зависит от порядочности компании, куда вы обратились) ничем не рискуете. Однако, в любом случае, вам нужно четко указывать в приемном документе, что именно с накопителем не так, и, если компания, делавшая диагностику, будет возвращать вам диск в состоянии, отличающемся от первоначального – тут же бить тревогу и требовать возмещения убытков (если, конечно, это изменение не было в целях диагностики вами санкционировано).

Благодарность

Авто сердечно признателен Сергею Антипину ака @Haos за критическое прочтение рукописи данной статьи и ряд ценных замечаний и дополнений, позволивших ее улучшить.

Станислав Корб, ©2018

Этому диску не повезло. Вообще, высокооборотистые накопители, как этот (Seagate Cheetah, 10000 RPM) очень чувствительны к механическим воздействиям. Достаточно небольшого толчка – и привет, концентрический запил и прощайте, данные!

Однако неисправности такого типа – не всегда приговор для данных. Конечно, всех данных из такого диска уже не восстановить, ведь участок поверхности уничтожен физически, однако можно восстановить данные из неповрежденных поверхностей или из неповрежденных участков поверхностей.

Для восстановления данных с таких дисков, пусть даже и частичного, существует несколько методик, различающихся по цене. Наиболее дорогостоящие методики связаны с применением специальных полимеров, которые затягивают область запила или царапины тонкой пленкой, разравнивают поверхность и не дают завихряться потокам воздуха при вращении диска, оберегая головки от перегрева и выхода из строя. Наименее дорогостоящие методики связаны с физическим удалением поверхности или головок, которые к ней относятся; в этом случае потери данных кратны удаленному из трансляции участку секторов – например, если у диска повреждена одна поверхность из четырех, то по простой логике, при удалении одной поверхности, будет потеряно 25% всех секторов. На практике процент потерь обычно больше, так как часть файлов будет «вылезать» за пределы этих 25%.

Станислав Корб, ©2018