PhotoRec

Les systèmes de fichiers FAT, NTFS, ext2/ext3/ext4 enregistrent les fichiers dans des blocs de données (ou sous Windows en anglais cluster). La taille d'un bloc de données est un nombre constant de secteurs défini lors du formatage du système de fichiers. En général, la plupart des systèmes d'exploitation essaient de stocker les données de manière contiguë de façon à minimiser la fragmentation. Le temps de recherche (en anglais seek time) des disques mécaniques est significatif lors des opérations de lecture depuis ou d'écriture vers un disque dur, c'est pourquoi il est important de maintenir la fragmentation à un niveau minimum.

Quand un fichier est supprimé, les méta-informations (nom de fichier, date/heure, taille, emplacement du premier bloc de données…) sur ce fichier sont perdus. Par exemple, sur un système de fichiers ext3 ou ext4, le nom des fichiers effacés reste présent, mais l'emplacement du premier bloc de données est perdu. Cela signifie que les données sont toujours présentes sur le système de fichiers, mais seulement jusqu'au moment où tout ou partie de ces données seront écrasés par les données d'un nouveau fichier.

Pour récupérer ces fichiers perdus, PhotoRec commence par déterminer la taille des blocs de données. Si le système de fichiers n'est pas corrompu, cette information peut être lue depuis le superblock (ext2/ext3/ext4) ou du secteur de boot (FAT, NTFS). Sinon, PhotoRec lit le support, secteur par secteur, à la recherche des dix premiers fichiers à partir des emplacements desquels il calcule la taille des blocs. Une fois la taille des blocs connue, PhotoRec lit le support bloc par bloc (ou cluster par cluster). Les données de chaque bloc sont comparées par rapport à une base de signatures. Cette base de signatures native au produit n'a cessé de s'étoffer avec chaque nouvelle version depuis la création du logiciel. Cette technique de récupération de données est appelée en anglais file carving.

Par exemple, PhotoRec identifie un fichier JPEG lorsqu'un bloc de données commence par :

• SOI (Start Of Image) + APP0: 0xff, 0xd8,0xff, 0xe0
• SOI (Start Of Image) + APP1: 0xff, 0xd8,0xff, 0xe1
• ou SOI (Start Of Image) + Comment: 0xff, 0xd8, 0xff, 0xfe

Si PhotoRec est déjà en train de récupérer un fichier, il arrête sa récupération, vérifie si possible sa cohérence et commence à sauvegarder ce nouveau fichier qu'il a déterminé à partir de la signature qu'il a trouvée. Il arrive cependant qu'un nouveau fichier soit détecté de façon erronée du fait de la présence dans le flux de données d'une fausse signature correspondant à un fichier d'un autre type : dans ce cas le fichier précédent est tronqué ou corrompu au-delà de ce point, alors même qu'il était enregistré de façon séquentielle et donc récupérable en totalité (dans un tel cas, on peut tenter d'extraire manuellement le fichier au moyen d'un éditeur hexadécimal en utilisant le nom du fichier, comportant toujours une lettre suivie du numéro du premier secteur[6]).

Si les données ne sont pas fragmentées, le fichier récupéré doit être identique à l'original ou avoir une taille potentiellement plus grande que le fichier original. Dans certains cas, PhotoRec peut apprendre la taille du fichier original à partir de l'en-tête du fichier, le fichier récupéré est alors tronqué à la bonne taille. Si le fichier sur le point d'être récupéré s'avère plus petit que la taille déterminée à partir de l'en-tête, ce fichier est ignoré car invalide (sauf si l'on a sélectionné l'option « Keep broken files » avant de lancer l'analyse, auquel cas même les fichiers partiels sont extraits, certains peuvent être quand même lisibles jusqu'au point de rupture, d'autres non, lorsque des informations essentielles se trouvent en fin de fichier, ce qui peut être le cas par exemple des fichiers vidéo en conteneur MP4). Certains fichiers comme les MP3 sont constitués de flux de données, dans ce cas, PhotoRec analyse les données récupérées et arrête la récupération avec l'arrêt du flux.

Quand un fichier est récupéré avec succès, PhotoRec vérifie à nouveau les blocs de données précédents pour le cas où la signature d'un fichier aurait été trouvée sans que le fichier puisse être récupéré avec succès (par exemple, si le fichier était trop petit par rapport à la taille spécifiée dans son en-tête), et essaie à nouveau de le compléter. De cette façon, certains fichiers fragmentés sont récupérés avec succès[7].

TestDisk et PhotoRec ont été téléchargés plus de 150 000 fois en juillet 2008 depuis le site internet principal. En fait, ces utilitaires sont mêmes plus populaires car ils se retrouvent dans divers Live CD Linux :

• Recovery Is Possible, un dérivé Slackware
• Knoppix STD
• GParted Live CD
• Iloog
• Parted Magic
• PLD Live CD et PLD RescueCD, basé sur la distribution Linux PLD
• Slax-LFI, une distribution dérivée de Slax
• SystemRescueCd
• Trinity Rescue Kit
• Ubuntu Rescue Remix, un dérivé de Ubuntu

Ils sont aussi disponibles pour de nombreuses distributions Linux :

• ALT Linux[8]
• ArchLinux Extra Repository[9]
• Debian contrib[10]
• Fedora Extras[11]
• Red Hat Entreprise Linux/CentOS via EPEL[12]
• FreeBSD ports[13]
• Gentoo[14] et Gentoo Portage[15]
• Mandriva contrib
• PLD Linux Distribution
• Source Mage GNU/Linux[16]
• Ubuntu[17]

• Page française de PhotoRec
• (en) Adrian Crenshaw, Data Carving with PhotoRec to retrieve deleted files from formatted drives for forensics and disaster recovery. Cette vidéo introduit le concept de recherche directe de données/fichiers pour récupérer des fichiers effacés à l'aide de PhotoRec, même si le disque a été reformaté.
• (en) Seth Fogie - InformIT, Stealing Your Family Vacation: Memories of a Media Card Les risques liées à la revente ou au recyclage de cartes mémoires et autres supports informatiques usagés, il reste souvent des données que PhotoRec peut récupérer.
• (en) Kaspersky Lab, Recovering files encrypted by Virus.Win32.Gpcode.ak using PhotoRec Après avoir chiffré les fichiers, le virus efface l'original mais PhotoRec peut les récupérer.