So stellen Sie gelöschte, mit fscrypt verschlüsselte Dateien und EXT4-Partitionen wieder her
-
Autor:
Glib Khomenko
-
Editor:
Alexandr Shafarenko
Das Löschen von Dateien von einer EXT4-Partition bedeutet nicht immer, dass sie dauerhaft verloren sind. Die Datenwiederherstellung wird jedoch komplexer, wenn sie mit fscrypt verschlüsselt wurden. Dieser Verschlüsselungsmechanismus auf Dateisystemebene schützt den Inhalt von Dateien und Verzeichnissen, sodass herkömmliche Wiederherstellungsmethoden möglicherweise nicht das erwartete Ergebnis liefern. In diesem Artikel untersuchen wir, wie fscrypt-Daten in EXT4 gespeichert und verschlüsselt werden, was nach dem Löschen mit Dateien geschieht und welche Methoden zum Auffinden und Wiederherstellen verwendet werden können.
- Wie fscrypt funktioniert
- Wie gelöschte verschlüsselte fscrypt-Dateien von einer EXT4-Partition wiederhergestellt werden
- Fazit
- Häufig gestellte Fragen
- Bemerkungen
Ein Verlust des Zugriffs auf verschlüsselte Daten tritt meist auf, wenn das EXT4-Dateisystem selbst beschädigt ist. Dies kann beispielsweise infolge eines Hardware- oder Softwarefehlers des Computers geschehen. Auch das versehentliche Löschen verschlüsselter Ordner ist häufig. Auf USB-Flash-Laufwerken wird dies zu einem echten Problem, da Dateien sofort gelöscht werden und den Systempapierkorb umgehen.
Ein weiteres typisches Szenario ist das Anschließen des Laufwerks an ein anderes System. Ohne eine konfigurierte Umgebung und den erforderlichen Schlüssel sperrt fscrypt den Ordner einfach und zeigt statt der tatsächlichen Dateinamen eine unleserliche Zeichenfolge an. Hinzu kommen Fälle von beschädigten Inode-Metadatensätzen und das versehentliche Löschen ganzer logischer Partitionen.
Es ist wichtig, Folgendes klar zu verstehen: Die Werkzeuge von Hetman Software sind nicht für das Knacken von Passwörtern vorgesehen und entschlüsseln keine geschützten Daten. Der Hauptzweck des Programms besteht darin, gelöschte verschlüsselte Dateien zu finden und sicher in ihrer ursprünglichen Form wiederherzustellen. Um später auf die Inhalte zuzugreifen, benötigen Sie weiterhin den ursprünglichen Schlüssel oder das Passwort.
Die folgende Demonstration dieses Prozesses verwendet Windows als Beispiel, die Algorithmen des Programms ermöglichen jedoch eine ebenso effektive Wiederherstellung verschlüsselter Daten von Medien unter Linux und macOS.
So stellen Sie gelöschte fscrypt-verschlüsselte Dateien von einer EXT4-Partition wieder her
Wie fscrypt funktioniert
Obwohl Verschlüsselung ein Sicherheitsstandard ist, erfordert die Wiederherstellung gesperrter Dateien spezielle technische Lösungen. Die native Unterstützung des Verschlüsselungsmechanismus fscrypt ist seit Version 4.1 im Linux-Kernel für EXT4 implementiert und wird auch aktiv in modernen Distributionen wie Ubuntu, Debian, Arch Linux und Fedora verwendet.
Im Gegensatz zur vollständigen Datenträgerverschlüsselung arbeitet fscrypt ausschließlich auf Dateisystemebene. Das Dienstprogramm schützt nur ausgewählte Verzeichnisse: Dateiinhalte werden mit dem Algorithmus AES-256-XTS sicher verschlüsselt, während Dateinamen mit AES-256-CTS verborgen werden. Die grundlegenden Serviceinformationen bleiben jedoch unverschlüsselt.
Gerade diese architektonische Eigenschaft ermöglicht es den Algorithmen von Hetman Partition Recovery, unverschlüsselte Indexdeskriptoren zu analysieren und präzise Daten über Dateigrößen und Fragmentierung zu ermitteln. Dadurch findet das Programm alle Daten erfolgreich und rekonstruiert die ursprüngliche Verzeichnisstruktur vollständig, bereit für die weitere Entsperrung mit Ihrem Zugriffsschlüssel.
Zur Passwortspeicherung: Das System selbst speichert Ihr Passwort nicht im Klartext. Verschlüsselte Master-Keys werden direkt auf dem Laufwerk gespeichert, in der Regel in einem speziellen versteckten Systemordner namens .fscrypt. Beim Entsperren eines Verzeichnisses werden Ihr persönliches Passwort oder Ihre Systemanmeldedaten verwendet, um diesen Master-Key zu entschlüsseln, der anschließend sicher in den Schlüsselspeicher des Linux-Kernels, den sogenannten keyring, geladen wird.
| Phase | Funktionsweise von fscrypt | Was mit den Daten geschieht |
|---|---|---|
| 1. Verschlüsselung aktiviert | Für ein EXT4-Verzeichnis oder Dateisystem wird eine fscrypt-Verschlüsselungsrichtlinie konfiguriert. | Verschlüsselungsparameter und die Methode für den Schlüsselzugriff werden festgelegt. |
| 2. Schlüsselerstellung | fscrypt verwendet einen Verschlüsselungsschlüssel zum Schutz des Dateiinhalts. | Der Schlüssel wird nicht als reguläre Klartextdatei auf dem Datenträger gespeichert. |
| 3. Dateiverschlüsselung | Dateidaten werden vor dem Schreiben auf den Datenträger verschlüsselt. | Der verschlüsselte Inhalt wird auf dem Datenträger gespeichert. |
| 4. Namensverschlüsselung | fscrypt kann nicht nur Dateiinhalte, sondern auch Datei- und Verzeichnisnamen verschlüsseln. | Die ursprünglichen Namen werden durch verschlüsselte Werte ersetzt. |
| 5. Dateizugriff | Nach der Entsperrung des Schlüssels entschlüsselt das Betriebssystem die Daten beim Zugriff automatisch. | Der Benutzer sieht die Dateien in ihrer normalen Form und kann mit ihnen arbeiten. |
| 6. Dateilöschung | Nach dem Löschen kann der Dateieintrag aus dem Dateisystem entfernt werden, obwohl die Daten möglicherweise noch auf dem Datenträger vorhanden sind. | Die Wiederherstellung wird durch die Verschlüsselung und die Notwendigkeit des Zugriffs auf den entsprechenden Schlüssel erschwert. |
| 7. Wiederherstellung | EXT4 wird analysiert und nach Resten gelöschter Dateien gesucht. | Ohne den erforderlichen Schlüssel können die gefundenen verschlüsselten Daten für die Entschlüsselung unbrauchbar sein. |
Wie gelöschte verschlüsselte fscrypt-Dateien von einer EXT4-Partition wiederhergestellt werden
SCHRITT 1. Löschen verschlüsselter Dateien
Für eine klare Demonstration haben wir eine spezielle Testumgebung vorbereitet. Auf einem USB-Flash-Laufwerk wurden zwei Worst-Case-Szenarien simuliert.
- Die erste Partition enthält einen mit fscrypt verschlüsselten Ordner, aus dem wir absichtlich einige Dateien gelöscht haben.
- Die zweite Partition enthielt dieselben verschlüsselten Daten, die wir vollständig mit Disks in Ubuntu gelöscht haben.
Sehen wir uns an, wie Hetman Partition Recovery mit diesen Aufgaben umgeht.
SCHRITT 2. Erstellen und Verwenden von Images
Um das physische Laufwerk nicht zu gefährden, haben wir vorab ein exaktes virtuelles Image davon erstellt und arbeiten mit diesem Image.
Das Erstellen einer solchen Kopie für jedes beliebige Gerät ist sehr einfach. Schließen Sie das Medium an den Computer an und starten Sie das Programm — es wird automatisch erkannt und auf dem Hauptbildschirm angezeigt.
Wählen Sie anschließend das gewünschte Laufwerk aus und klicken Sie im oberen Bereich auf Laufwerk speichern.
Geben Sie im angezeigten Fenster den Speicherpfad an. Hier gilt eine strenge Regel: Speichern Sie die Image-Datei ausschließlich auf einem anderen Laufwerk und nicht auf dem Laufwerk, das Sie gerade kopieren.
Nach Abschluss des Vorgangs führen Sie alle weiteren Such- und Wiederherstellungsoperationen mit dieser erstellten Datei durch.
Um mit dem erstellten Image zu arbeiten, muss es nun eingebunden werden. Klicken Sie dazu im oberen Bereich des Programms auf Laufwerk einbinden und geben Sie den Pfad zur gespeicherten Datei an.
Das Programm verbindet das virtuelle Laufwerk sofort und zeigt es im Hauptfenster neben den physischen Datenträgern an. Es ist nun vollständig für das sichere Scannen und die weitere Wiederherstellung Ihrer Daten bereit.
SCHRITT 3. Wiederherstellung gelöschter Dateien
Auf dem eingebundenen Image unseres Flash-Laufwerks hat das Programm drei Partitionen erkannt. Wir werden jedoch nur mit zwei davon arbeiten. Beginnen wir mit dem Scannen der ersten.
Wählen Sie Schnellanalyse. Das Programm bestimmt automatisch das Dateisystem, das zuvor auf dem Laufwerk verwendet wurde. Starten Sie anschließend den Scan.
Während der Analyse erkennt der Algorithmus das verschlüsselte Verzeichnis und fordert ein Passwort an, um auf dessen Inhalt zuzugreifen.
Nach Abschluss des Scans zeigt das Programm die gesamte Datenträgerstruktur an und hebt den gefundenen geschützten Ordner hervor.
Nach dem Öffnen können Sie sowohl vorhandene als auch zuvor gelöschte Dateien durchsuchen. Mit dem Vorschaufenster können Sie die Integrität von Dokumenten und Videos vor dem Speichern einfach überprüfen.
Wählen Sie abschließend einfach die erforderlichen Elemente aus und klicken Sie auf Wiederherstellen.
Hinweis! Speichern Sie wiederhergestellte Dateien niemals auf demselben Laufwerk, von dem Sie sie wiederherstellen. Wählen Sie unbedingt ein anderes Speichermedium oder einen Ordner auf der Festplatte Ihres Computers, um das Überschreiben verlorener Informationen zu vermeiden.
SCHRITT 4. Suchen und Wiederherstellen einer gelöschten Partition
Nun kehren wir zum Hauptfenster mit der Laufwerksliste zurück. Unser nächster Schritt ist die Arbeit mit der zweiten Partition.
Beachten Sie ein wichtiges Detail: Diese Partition ist gelöscht. Der Algorithmus des Programms erkennt sie jedoch erfolgreich. Und dies funktioniert fehlerfrei, selbst wenn die Partition in einem völlig anderen Betriebssystem gelöscht wurde.
Wählen Sie sie aus und starten Sie die Schnellanalyse.
Wie im vorherigen Fall findet das Dienstprogramm schnell das geschützte Verzeichnis und fordert Sie unmittelbar auf, das Passwort für den Zugriff auf Ihre Dateien einzugeben.
Sobald der Vorgang abgeschlossen ist, können Sie den Ordner öffnen, den Zustand der Dateien im Vorschaufenster prüfen und sie speichern. Und wie bereits betont, speichern Sie die wiederhergestellten Daten unbedingt auf einem anderen Laufwerk.
Wenn die Ergebnisse der Schnellanalyse nicht ausreichen, führen Sie eine Vollanalyse aus. Sie führt einen detaillierteren Scan des Laufwerks durch und hilft dabei, weitere gelöschte Dateien und Reste einer beschädigten Dateistruktur zu lokalisieren.
Fazit
Die Wiederherstellung gelöschter Dateien, die mit fscrypt auf einer EXT4-Partition verschlüsselt wurden, ist anspruchsvoller als die Wiederherstellung gewöhnlicher Dateien. Selbst wenn nach dem Löschen physisch noch einige Daten auf dem Datenträger vorhanden sind, hängt der Zugriff auf deren Inhalt von der Dateisystemstruktur, den Metadaten und den zugehörigen Verschlüsselungsschlüsseln ab.
Der Erfolg der Wiederherstellung hängt daher nicht nur davon ab, ob die Daten überschrieben wurden, sondern auch davon, ob verschlüsselte Objekte korrekt identifiziert und die erforderlichen fscrypt-Schlüssel ermittelt werden können. Um die Chancen auf eine Wiederherstellung zu erhöhen, wird nach einem versehentlichen Löschen von Dateien empfohlen, das Schreiben neuer Daten auf die EXT4-Partition zu stoppen und die Wiederherstellung von ihrer Kopie oder einem Laufwerk-Image aus durchzuführen.
