Comment récupérer des fichiers fscrypt chiffrés supprimés et des partitions EXT4
-
Auteur:
Abdelhamid Balti
-
Éditeur:
Mykhailo Miroshnychenko
La suppression de fichiers d’une partition EXT4 ne signifie pas toujours qu’ils sont définitivement perdus. Toutefois, la récupération des données devient plus complexe s’ils ont été chiffrés avec fscrypt. Ce mécanisme de chiffrement au niveau du système de fichiers protège le contenu des fichiers et des répertoires ; les méthodes de récupération standard peuvent donc ne pas produire le résultat attendu. Dans cet article, nous examinerons comment les données fscrypt sont stockées et chiffrées dans EXT4, ce qui arrive aux fichiers après leur suppression, et quelles méthodes peuvent être utilisées pour les localiser et les récupérer.
- Fonctionnement de fscrypt
- Comment récupérer des fichiers fscrypt chiffrés supprimés depuis une partition EXT4
- Conclusion
- Questions fréquemment posées
- Commentaires
La perte d’accès aux données chiffrées survient le plus souvent en raison d’une corruption du système de fichiers EXT4 lui-même. Par exemple, à la suite d’une défaillance matérielle ou logicielle de l’ordinateur. La suppression accidentelle de dossiers chiffrés est également fréquente. Sur les clés USB, cela devient un véritable problème, car les fichiers sont supprimés instantanément, en contournant la Corbeille du système.
Un autre scénario typique consiste à connecter le lecteur à un autre système. Sans environnement configuré et sans la clé requise, fscrypt verrouille simplement le dossier, en affichant un ensemble de caractères incompréhensible à la place des noms de fichiers réels. Cela s’ajoute aux cas de corruption des enregistrements de métadonnées des inodes et de suppression accidentelle de partitions logiques entières.
Il est important de bien comprendre ceci : les outils de Hetman Software ne sont pas destinés au cassage de mot de passe et ne déchiffrent pas les données protégées. L’objectif principal du programme est de rechercher et de récupérer en toute sécurité les fichiers chiffrés supprimés dans leur forme d’origine. Pour accéder ensuite au contenu, vous aurez toujours besoin de la clé ou du mot de passe d’origine.
La démonstration suivante de ce processus prendra Windows comme exemple, mais les algorithmes du programme permettent une récupération tout aussi efficace des données chiffrées sur des supports fonctionnant sous Linux et macOS.
Comment récupérer des fichiers chiffrés fscrypt supprimés sur une partition EXT4
Fonctionnement de fscrypt
Bien que le chiffrement soit une norme de sécurité, la récupération de fichiers verrouillés exige des solutions techniques spécifiques. La prise en charge native du mécanisme de chiffrement fscrypt est intégrée au noyau Linux depuis la version 4.1 pour EXT4, et elle est également activement utilisée dans des distributions modernes telles qu’Ubuntu, Debian, Arch Linux et Fedora.
Contrairement au chiffrement intégral du disque, fscrypt fonctionne exclusivement au niveau du système de fichiers. L’utilitaire protège uniquement les répertoires sélectionnés : le contenu des fichiers est chiffré de manière sécurisée avec l’algorithme AES-256-XTS, tandis que les noms de fichiers sont masqués à l’aide de AES-256-CTS. Toutefois, les informations de service de base restent non chiffrées.
C’est cette particularité architecturale qui permet aux algorithmes de Hetman Partition Recovery d’analyser les descripteurs d’index non chiffrés et d’obtenir des données précises sur la taille des fichiers et leur fragmentation. En conséquence, le programme localise avec succès toutes les données et reconstruit entièrement la structure de répertoires d’origine, prête pour un déverrouillage ultérieur à l’aide de votre clé d’accès.
En ce qui concerne le stockage du mot de passe : le système ne conserve pas votre mot de passe en texte clair. Les clés maîtresses chiffrées sont stockées directement sur le disque, généralement dans un dossier système caché spécial appelé .fscrypt. Lorsqu’un répertoire est déverrouillé, votre mot de passe personnel ou les informations d’identification du système sont utilisées pour déchiffrer cette clé maîtresse, qui est ensuite chargée de manière sécurisée dans le stockage de clés du noyau Linux, le keyring.
| Étape | Fonctionnement de fscrypt | Ce qui arrive aux données |
|---|---|---|
| 1. Activation du chiffrement | Une stratégie de chiffrement fscrypt est configurée pour un répertoire ou un système de fichiers EXT4. | Les paramètres de chiffrement et la méthode d’accès à la clé sont définis. |
| 2. Création de la clé | fscrypt utilise une clé de chiffrement pour protéger le contenu des fichiers. | La clé n’est pas stockée sur le disque sous forme de fichier texte en clair. |
| 3. Chiffrement des fichiers | Les données des fichiers sont chiffrées avant d’être écrites sur le disque. | Le contenu chiffré est stocké sur le disque. |
| 4. Chiffrement des noms | fscrypt peut chiffrer non seulement le contenu des fichiers, mais aussi les noms de fichiers et de répertoires. | Les noms d’origine sont remplacés par des valeurs chiffrées. |
| 5. Accès aux fichiers | Après le déverrouillage de la clé, le système d’exploitation déchiffre automatiquement les données lors de l’accès. | L’utilisateur voit les fichiers sous leur forme normale et peut les utiliser. |
| 6. Suppression de fichiers | Après la suppression, l’entrée du fichier peut être supprimée du système de fichiers, bien que ses données puissent encore rester sur le disque. | La récupération devient plus difficile en raison du chiffrement et de la nécessité d’accéder à la clé correspondante. |
| 7. Récupération | Le système de fichiers EXT4 est analysé et les restes des fichiers supprimés sont recherchés. | Sans la clé requise, les données chiffrées trouvées peuvent être inutilisables pour le déchiffrement. |
Comment récupérer des fichiers fscrypt chiffrés supprimés depuis une partition EXT4
ÉTAPE 1. Suppression des fichiers chiffrés
Pour une démonstration claire, nous avons préparé un environnement de test spécial. Deux scénarios de pire cas ont été simulés sur une clé USB.
- La première partition contient un dossier chiffré avec fscrypt, dont nous avons supprimé intentionnellement certains fichiers.
- La deuxième partition contenait les mêmes données chiffrées, mais nous les avons supprimées complètement à l’aide de Disques dans Ubuntu.
Voyons comment Hetman Partition Recovery traite ces tâches.
ÉTAPE 2. Création et utilisation d’images
Afin d’éviter tout risque pour le disque physique, nous avons préalablement créé une image virtuelle exacte de celui-ci et travaillerons avec cette image.
La création d’une telle copie pour n’importe quel périphérique est très simple. Connectez le support à l’ordinateur et lancez le programme — il le détectera automatiquement et l’affichera sur l’écran principal.
Ensuite, sélectionnez le disque requis et cliquez sur Enregistrer le disque dans le panneau supérieur.
Dans la fenêtre qui s’affiche, indiquez le chemin d’enregistrement. Une règle stricte s’applique ici : enregistrez le fichier image exclusivement sur un autre disque, et non sur celui que vous êtes en train de copier.
Une fois le processus terminé, effectuez toutes les opérations suivantes de recherche et de récupération des données à l’aide de ce fichier créé.
À présent, pour commencer à travailler avec l’image créée, elle doit être montée. Pour ce faire, cliquez sur Monter le disque dans le panneau supérieur du programme et indiquez le chemin du fichier enregistré.
Le programme connectera immédiatement le lecteur virtuel et l’affichera dans la fenêtre principale, à côté des disques physiques. Il est désormais entièrement prêt pour une analyse sûre et la récupération ultérieure de vos données.
ÉTAPE 3. Récupération de fichiers supprimés
Sur l’image montée de notre clé USB, le programme a identifié trois partitions. Toutefois, nous n’en utiliserons que deux. Commençons par analyser la première.
Sélectionnez Analyse rapide. Le programme déterminera automatiquement le système de fichiers précédemment utilisé sur le disque. Lancez ensuite l’analyse.
Pendant l’analyse, l’algorithme détectera le répertoire chiffré et demandera un mot de passe pour accéder à son contenu.
Une fois l’analyse terminée, le programme affichera la structure complète du disque et mettra en évidence le dossier protégé trouvé.
Après l’avoir ouvert, vous pouvez parcourir les fichiers existants ainsi que ceux supprimés précédemment. À l’aide de la fenêtre d’aperçu, vous pouvez facilement vérifier l’intégrité des documents et des vidéos avant de les enregistrer.
Enfin, sélectionnez simplement les éléments requis et cliquez sur Récupérer.
Attention ! N’enregistrez jamais les fichiers récupérés sur le même disque à partir duquel vous les récupérez. Veillez à choisir un autre périphérique de stockage ou un dossier sur le disque dur de votre ordinateur afin d’éviter d’écraser les informations perdues.
ÉTAPE 4. Recherche et récupération d’une partition supprimée
Nous revenons maintenant à la fenêtre principale avec la liste des lecteurs. Notre prochaine étape consiste à travailler avec la deuxième partition.
Remarquez un détail important : cette partition est supprimée. Cependant, l’algorithme du programme la reconnaît avec succès. Et cela fonctionne parfaitement même si la partition a été supprimée dans un système d’exploitation complètement différent.
Sélectionnez-la et lancez Analyse rapide.
Comme dans le cas précédent, l’utilitaire trouvera rapidement le répertoire protégé et vous invitera immédiatement à saisir le mot de passe pour accéder à vos fichiers.
Dès que le processus est terminé, vous pouvez ouvrir le dossier, évaluer l’état des fichiers dans la fenêtre d’aperçu et les enregistrer. Et, comme nous l’avons déjà souligné, veillez à enregistrer les données récupérées sur un autre disque.
Si les résultats de l’analyse rapide sont insuffisants, lancez l’analyse complète. Elle effectue un examen plus détaillé du disque et aide à localiser davantage de fichiers supprimés ainsi que des restes d’une structure de fichiers endommagée.
Conclusion
La récupération de fichiers supprimés chiffrés avec fscrypt à partir d’une partition EXT4 est une tâche plus difficile que la récupération de fichiers ordinaires. Même si certaines données restent physiquement sur le disque après la suppression, l’accès à leur contenu dépend de la structure du système de fichiers, des métadonnées et des clés de chiffrement correspondantes.
Par conséquent, le succès de la récupération dépend non seulement du fait que les données aient été écrasées ou non, mais aussi de la capacité à identifier correctement les objets chiffrés et à obtenir les clés fscrypt requises. Afin d’augmenter les chances de récupération, il est recommandé, après une suppression accidentelle de fichiers, d’arrêter d’écrire de nouvelles données sur la partition EXT4 et d’effectuer la récupération à partir de sa copie ou de son image disque.
