Як відновити видалені зашифровані fscrypt файли та розділи EXT4
-
Автор:
Valery Martyshko
-
Редактор:
Vladyslav Kupriyenko
Видалення файлів із розділу EXT4 не завжди означає їх остаточну втрату, однак відновлення даних стає складнішим, якщо вони були зашифровані за допомогою fscrypt. Цей механізм шифрування на рівні файлової системи захищає вміст файлів і каталогів, тому стандартні методи відновлення можуть не дати очікуваного результату. У цій статті розглянемо, як відбувається зберігання та шифрування даних fscrypt у EXT4, що відбувається з файлами після видалення та які способи можна використати для їх пошуку й відновлення.
- Як працює fscrypt
- Як відновити видалені зашифровані fscrypt файли з EXT4 розділу
- Висновок
- Поширені запитання
- Коментарі
Втрата доступу до зашифрованих даних найчастіше стається через пошкодження самої файлової системи EXT4. Наприклад, внаслідок апаратного чи програмного збою компьютера. Не менш поширене і випадкове видалення зашифрованих папок. На флешках це стає справжньою проблемою, адже файли стираються миттєво, в обхід системного кошика.
Ще один типовий сценарій – це підключення диска до іншої системи. Без налаштованого середовища та потрібного ключа, fscrypt просто блокує папку, відображаючи незрозумілий набір символів замість реальних імен файлів. Доповнюють цю картину ситуації з пошкодженням службових записів inode та випадковим видаленням цілих логічних розділів.
Варто чітко розуміти: інструменти Hetman Software не є засобами для злому паролів і не розшифровують закриті дані. Головне завдання програми – знайти та безпечно відновити видалені зашифровані файли у їхньому оригінальному вигляді. Для подальшого доступу до вмісту вам, як і раніше, знадобиться оригінальний ключ або пароль.
Подальша демонстрація цього процесу відбуватиметься на прикладі ОС Windows, проте алгоритми програми забезпечують таку ж високу ефективність відновлення зашифрованих даних з носіїв під управлінням Linux та macOS.
Як відновити видалені зашифровані fscrypt файли з EXT4 розділу
Як працює fscrypt
Хоча шифрування є еталоном безпеки, відновлення заблокованих файлів вимагає специфічних технічних рішень. Нативна підтримка механізму шифрування fscrypt реалізована на рівні ядра Linux починаючи з версії 4.1 для EXT4, а також активно використовується у сучасних дистрибутивах на кшталт Ubuntu, Debian, Arch Linux та Fedora.
На відміну від повного шифрування диска, fscrypt працює виключно на рівні файлової системи. Утиліта захищає лише вибрані каталоги: вміст файлів надійно шифрується алгоритмом AES-256-XTS, а їхні назви приховуються через AES-256-CTS. Проте базова службова інформація залишається відкритою.
Саме ця архітектурна особливість дозволяє алгоритмам Hetman Partition Recovery проаналізувати незашифровані індексні дескриптори та отримати точні дані про розміри файлів і їх фрагментацію. У результаті програма успішно знаходить усі дані та повністю відтворює оригінальну структуру каталогів, гоову до подальшого розблокування вашим ключем доступу.
Щодо зберігання паролів: сама система не тримає ваш пароль у відкритому вигляді. Зашифровані майстер-ключі зберігаються безпосередньо на накопичувачі, зазвичай у спеціальній прихованій системній папці .fscrypt. Під час розблокування директорії ваш особистий пароль або облікові дані системи використовуються для розшифрування цього майстер-ключа, який потім безпечно завантажується у захищене сховище ключів ядра Linux – так званий keyring.
| Етап | Як працює fscrypt | Що відбувається з даними |
|---|---|---|
| 1. Увімкнення шифрування | Для каталогу або файлової системи EXT4 налаштовується політика шифрування fscrypt. | Визначаються параметри шифрування та спосіб доступу до ключа. |
| 2. Створення ключа | fscrypt використовує ключ шифрування для захисту вмісту файлів. | Ключ не зберігається на диску як звичайний відкритий файл. |
| 3. Шифрування файлів | Дані файлів шифруються перед записом на диск. | На диску зберігається зашифрований вміст. |
| 4. Шифрування імен | fscrypt може шифрувати не тільки вміст файлів, а й назви файлів і каталогів. | Початкові імена замінюються зашифрованими значеннями. |
| 5. Доступ до файлів | Після розблокування ключа операційна система автоматично розшифровує дані під час доступу. | Користувач бачить файли у звичайному вигляді та може з ними працювати. |
| 6. Видалення файлу | Після видалення запис про файл може бути вилучений із файлової системи, хоча його дані ще можуть залишатися на диску. | Відновлення ускладнюється шифруванням та необхідністю доступу до відповідного ключа. |
| 7. Відновлення | Проводиться аналіз EXT4 і пошук залишків видалених файлів. | Без необхідного ключа знайдені зашифровані дані можуть бути непридатними для розшифрування. |
Як відновити видалені зашифровані fscrypt файли з EXT4 розділу
КРОК 1. Видалення зашифрованих файлів
Для наочної демонстрації ми підготували спеціальне тестове середовище. На USB флешці змодельовано дві найгірші ситуації.
- Перший розділ — тут знаходиться папка, зашифрована fscrypt, з якої ми навмисно видалили частину файлів.
- Другий розділ — містив такі ж зашифровані дані, але ми його повністю видалили за допомогою Disks в системі Ubuntu.
Давайте подивимось, як Hetman Partition Recovery впорається з цими завданнями.
КРОК 2. Створення та використання образів
Щоб не ризикувати фізичним накопичувачем, ми завчасно створили його точний віртуальний образ, з яким і будемо працювати.
Створити таку копію для будь-якого пристрою дуже просто. Підключіть носій до комп’ютера та запустіть програму — програма автоматично розпізнає його і відобразить на головному екрані.
Далі, виділіть потрібний диск і натисніть кнопку Save disk на верхній панелі.
У вікні, що з’явиться, вкажіть шлях для збереження. Тут діє суворе правило: зберігайте файл образу виключно на інший диск, а не на той, який ви зараз копіюєте.
Після завершення процесу всю подальшу роботу з пошуку та відновлення даних виконуйте саме з цим створеним файлом.
Тепер, щоб розпочати роботу зі створеним образом, його необхідно змонтувати. Для цього на верхній панелі програми натисніть кнопку Mount Disk та вкажіть шлях до збереженого файлу.
Програма миттєво підключить віртуальний носій і відобразить його у головному вікні поруч із фізичними дисками. Відтепер він повністю готовий до безпечного сканування та подальшого відновлення ваших даних.
КРОК 3. Відновлення видаленних файлів
На змонтованому образі нашої флешки програма розпізнала три розділи. Проте ми будемо працювати лише з двома з них. Розпочнемо сканування з першого.
Обираємо режим Швидкий аналіз. Програма автоматично визначить файлову систему, з якою попередньо працював носій. Після цього — запускаємо сканування.
Вже в процесі аналізу, алгоритм виявить зашифровану директорію, і запросить пароль для доступу до її вмісту.
Коли сканування завершиться, програма відобразить усю структуру диска, і підсвітить знайдену захищену папку.
Відкривши її, ми можемо переглядати як наявні, так і раніше видалені файли. За допомогою вікна попереднього перегляду, ви зможете легко перевірити цілісність документів та відео, ще до їх збереження.
На завершення – просто виділяємо необхідні елементи, та натискаємо кнопку Відновити.
Зверніть увагу! Ніколи не зберігайте відновлені файли на той самий диск, з якого ви їх відновлюєте. Обов’язково оберіть інший носій, або ж папку на жорсткому диску вашого комп’ютера, щоб не перезаписати втрачену інформацію.
КРОК 4. Пошук та відновлення видаленого розділу
Тепер повертаємося до головного вікна зі списком носіїв. Наш наступний крок — робота з другим розділом.
Зверніть увагу на одну важливу деталь: цей розділ є видаленим. Проте алгоритм нашої програми успішно його розпізнає. І це працює бездоганно, навіть якщо розділ був видалений у зовсім іншій операційній системі.
Виділяємо його, та запускаємо Швидкий аналіз.
Як і в попередньому випадку, утиліта швидко знайде захищену директорію та одразу попросить ввести пароль для доступу до ваших файлів.
Щойно процес завершиться ви зможете відкрити папку, оцінити стан файлів у вікні попереднього перегляду, та зберегти їх. І, як ми вже наголошували раніше, обов’язково зберігайте відновлені дані на інший диск.
Якщо результати Швидкого аналізу виявилися недостатніми, запустіть Повний аналіз. Він виконає більш детальне сканування накопичувача та допоможе знайти більше видалених файлів і залишків пошкодженої файлової структури.
Висновок
Відновлення видалених файлів, зашифрованих за допомогою fscrypt, із розділу EXT4 є складнішим завданням, ніж відновлення звичайних файлів. Навіть якщо після видалення частина даних фізично залишається на диску, для отримання доступу до їхнього вмісту важливі структура файлової системи, метадані та відповідні ключі шифрування.
Тому успішність відновлення залежить не лише від того, чи були дані перезаписані, а й від можливості правильно визначити зашифровані об’єкти та отримати необхідні ключі fscrypt. Щоб підвищити шанси на відновлення, після випадкового видалення файлів рекомендується припинити запис нових даних на розділ EXT4 і виконувати відновлення з його копії або образу диска.
