Почему удалённые фотографии не всегда восстанавливаются: TRIM, криптография и рутирование

Вы установили приложение, запустили сканирование, и появились крошечные размытые изображения, или же ничего. Это не было ни невезением, ни ошибкой в приложении: так работает память на современном мобильном телефоне. В этом тексте объясняется, почему это происходит, и что еще можно попробовать.

Как и прежде

На жестких дисках и незашифрованных картах памяти удаление файла не приводило к удалению его содержимого. Система лишь помечала это пространство как свободное, и байты оставались там до тех пор, пока что-то их не перезаписывало. Именно поэтому инструменты восстановления работали так хорошо: нужно было просто просканировать область, помеченную как свободная, и собрать файлы, используя сигнатуры каждого формата.

Что изменилось в мобильных телефонах?

1. Шифрование по умолчанию

Современные устройства шифруют данные на накопителях. Данные имеют смысл только после расшифровки системой с использованием правильных ключей. Приложение, пытающееся прочитать необработанные блоки, обнаружит шум, а не фотографии. Это отлично подходит для вашей конфиденциальности, но ужасно для восстановления данных.

2. Очистка флэш-памяти с помощью команды TRIM и сборка мусора.

Флэш-память не перезаписывает блоки напрямую: перед повторным использованием ей необходимо их стереть. Чтобы избежать зависания во время записи, система отправляет соответствующую команду. ПОДРЕЗАТЬ, Это уведомляет контроллер о том, какие блоки больше не используются. Затем контроллер автоматически очищает их в фоновом режиме, без чьего-либо запроса.

Иными словами, вместо того чтобы ждать перезаписи, данные активно сбрасываются сразу после удаления. После этого восстановление становится невозможным — ни с помощью приложений, ни с помощью специализированных сервисов.

3. Область хранения

Начиная с Android 10, приложения больше не имеют свободного доступа к файловой системе. Каждое приложение видит свою собственную область и то, что система предоставляет через контролируемые интерфейсы. Без этого корень, Программа для восстановления данных просто не может просканировать всю память.

Что это означает на практике?

• Сканирование без корней: обычно находит только миниатюры в тайнике — уменьшенные версии, созданные галереей, — и файлы, которые по-прежнему находятся в доступных папках. Это не оригинальная фотография.
• Сканирование корнейПолучение root-прав дает больше преимуществ, но аннулирует гарантию, может отключить банковские приложения и на большинстве устройств требует разблокировки загрузчика, процесс, который... удалить все данные — включая то, что вы хотели восстановить.
• карта памятиЕсли фотографии находились на незашифрованной SD-карте, вероятность гораздо выше. Немедленно извлеките карту, вставьте её в кардридер на компьютере и воспользуйтесь программой для восстановления системы.
• айфонДоступ к исходному хранилищу отсутствует. Восстановление осуществляется исключительно за счет недавно удаленных элементов, iCloud и резервных копий.

Временной интервал

Если вы удалили файл несколько минут назад, возможно, ещё что-то можно сохранить. В таком случае:

1. Включите режим полета и прекратите использование устройства. Фоновые приложения постоянно записывают данные.
2. Ничего не устанавливайте, включая приложение для восстановления, так как оно занимает место и может перезаписать именно то, что вам нужно.
3. Прежде чем что-либо делать, проверьте папку «Корзина» в галерее: в Google Фото резервные копии хранятся 60 дней, а локальные файлы — 30 дней.
4. Поиск по перепискам и облачным резервным копиям.
5. Только если ничего другое не помогло, стоит рассмотреть возможность использования приложения.

Там, где шансы остаются высокими.

• Срок годности мусорного контейнера еще не истек.Полное восстановление в исходном разрешении.
• Активное облачное резервное копированиеФотография по-прежнему там, хотя и была удалена с устройства.
• Файл отправлен в переписке: продолжается в истории на другой стороне.
• SD-карта без шифрованияКлассический сценарий выздоровления с хорошими шансами на успех.
• Компьютер со старым импортнымСтоит поискать в папках с изображениями.

Где нечего делать

• Удаление старых данных из внутренней памяти, зашифрованных с помощью TRIM, уже выполнено.
• Устройство отформатировано или сброшено до заводских настроек без резервной копии.
• Фотография удаляется из корзины по истечении срока хранения.
• Файл, которого никогда не существовало на устройстве, — восстановить несохранённые данные невозможно.

В таких случаях ни одно приложение не решит проблему, и любой, кто обещает обратное, лжет. Существуют и работают на аппаратном уровне службы цифровой криминалистики, но они дороги, требуют отправки устройства и также сталкиваются с проблемами шифрования.

Карта памяти: где по-прежнему работает классическое восстановление.

Это важное исключение, и стоит уточнить, поскольку оно полностью меняет шансы на успех. Карта, используемая в качестве портативное хранилище Обычно устройство не шифрует этот файл и не получает команду TRIM таким же образом. Другими словами, условия, препятствующие восстановлению из внутренней памяти, в данном случае не действуют.

Если фотографии были на карте памяти, правильная процедура другая:

1. Немедленно извлеките SIM-карту из телефона. И больше не используйте это. Каждая новая фотография может перезаписать то, что вы хотите вернуть.
2. Читать на компьютере, С помощью адаптера — а не через мобильный телефон. Инструменты для восстановления данных с компьютера намного превосходят любые мобильные приложения.
3. Сначала сфотографируйте карту., Если возможно: сделайте побитовую копию. Таким образом, вы сможете работать с копией, а оригинал останется нетронутым для второй попытки.
4. Восстановить на другой диск, никогда не возвращаться к карте.
5. Не форматировать, даже если система настаивает на том, чтобы задать вопрос.

Остерегайтесь ловушки: если карта была настроена следующим образом внутренняя память принята, он é Зашифрованная и сопряженная с этим устройством, она в этом случае не может быть прочитана компьютером, и вероятность ее чтения возвращается к той же, что и в случае с внутренней памятью.

Где может находиться фотография, и вы об этом даже не вспомните.

Прежде чем сделать вывод, что вы заблудились, стоит поискать не только в галерее, но и в шести других местах:

• Переписка в мессенджере. Если вы отправили кому-то фотографию, она останется в истории его переписки — и получатель сможет отправить её повторно в исходном качестве, если сохранит её как документ.
• Черновик электронного письма или сообщение, которое так и не было отправлено.
• Приложение для редактирования. Многие оставляют себе экспонаты с последнего сеанса или отдельный экземпляр работы из галереи.
• Второй облачный сервис. Нередко бывает так, что настроено два устройства, и пользователь об этом не помнит, причём одно из них использует более старый метод синхронизации.
• Полное резервное копирование устройства Сделано до обновления телефона, сохранено на компьютере.
• Общий альбом с членами семьи, у которых обычно есть свой собственный экземпляр.

На практике этот список позволяет восстановить больше фотографий, чем любое приложение для сканирования, — потому что в этих местах файл всё ещё существует в реальности, а не просто как остаточные данные.

Что нужно сделать, чтобы никогда от этого не зависеть.

1. Включите автоматическое резервное копирование уже сегодня. Это делается в одно касание, и это единственное, что действительно обеспечивает защиту. Если у вас небольшой тарифный план, настройте отправку через Wi-Fi.
2. Проверьте резервную копию еще раз. Откройте учетную запись на своем компьютере и проверьте, соответствует ли количество элементов действительности. Резервная копия, которую вы никогда не проверяли, не является резервной копией.
3. Две копии на случай, если что-то не подлежит восстановлению. Свадьбы, рождения детей, выпускные заслуживают второго экземпляра в другом месте — одно облачное хранилище является единственной точкой отказа, даже если учетная запись заблокирована.
4. Будьте осторожны с мусорным ведром. Это ваша страховка, но у неё есть срок годности. Опустошение её по привычке, чтобы “освободить место”, на самом деле сводит на нет эту защиту.
5. Перед форматированием или сменой устройства, Пожалуйста, проверьте каждый товар по отдельности, что было загружено. Именно сейчас большинство людей теряют всю свою коллекцию.

Почему блок движется сам по себе?

Внутри микросхемы памяти находится слой, который почти никогда не упоминается в объяснениях: контроллер, который преобразует адрес, запрошенный системой, в физический адрес фактического местоположения данных. Он осуществляет ротацию ячеек, поскольку каждая из них может обрабатывать лишь ограниченное количество операций записи.

Последствия очевидны для любого, кто пытается что-либо спасти: Вы не контролируете, куда устройство будет записывать данные.. Приём с заполнением памяти большими файлами для “перезаписи” удалённых данных не работает, как обещано, — и обратный процесс тоже не удаётся, потому что оставшееся пространство не мешает контроллеру очистить тот самый блок, где находилась ваша фотография. Кроме того, часть чипа зарезервирована производителем, и система её даже не видит: ни одно приложение не может получить доступ к этой области, ни с root-доступом, ни без него.

Удалите ключ, а не данные.

Обратите внимание на деталь, которая часто остается незамеченной: сброс настроек мобильного телефона до заводских занимает считанные секунды, в то время как полное удаление десятков гигабайт данных займет гораздо больше времени. Устройство не удаляет содержимое — оно уничтожает ключ, который расшифровывает это содержимое. Без ключа на чипе остается бессмысленная последовательность.

Это объясняет две вещи. Ни один инструмент не восстанавливает фотографии “после форматирования” на зашифрованном устройстве, независимо от того, что говорится в рекламе. И миф об удалении файлов с многократным перезаписыванием, унаследованный от эпохи жестких дисков, здесь неуместен. Ключ заложен в самом оборудовании и его пароле экрана: извлечение компонента и его чтение на другом устройстве возвращает шум, а не изображения.

Что в итоге получается, когда приложение “находит” фотографию?

Прежде чем радоваться, проверьте, что вы получили. Изображение, извлеченное из кэша, приходит в уменьшенном, пересжатом виде и без данных, которые камера записывает вместе с файлом — дата, время, местоположение, модель устройства:

• Откройте изображение в полноэкранном режиме и увеличьте масштаб. Если при малейшем увеличении изображение распадается на блоки, это миниатюра.
• Проверьте размеры в свойствах и сравните их с недавней фотографией, сделанной той же камерой.
• Обратите внимание на дату. Без исходных данных файл отображается с сегодняшней датой, и коллекция теряет свой хронологический порядок.

Когда проблема не в исключении: устройство, которое не включается.

Существует сценарий, который всегда ставит один и тот же вопрос: фотографии не были удалены, устройство просто перестало работать. Здесь правила меняются, и к лучшему — файлы остаются целыми, отсутствует лишь доступ. При разбитом экране и работающей системе адаптер, подключающий мышь или клавиатуру, обычно восстанавливает достаточный контроль, чтобы разблокировать устройство и отправить все данные в облако. Если устройство намокло, не пытайтесь его включать или заряжать: ток с влагой внутри выводит плату из строя. Если устройство перезагружается в цикле, сервисный центр часто заменяет деталь с неповрежденным хранилищем. Ограничение остается тем же: без пароля к экрану шифрование неизбежно.

Мифы, которые только мешают.

• “Очистка кэша через режим восстановления восстановит фотографии”.” Это ничего не меняет. В лучшем случае, ничего не меняется; в худшем — удаляет кэш миниатюр, что и было последней подсказкой.
• “Существуют приложения, которые автоматически укореняют ваши корни без использования компьютера”.” Существуют приложения, которые обещают это, а показывают только рекламу, или того хуже.
• “Восстановить его можно, используя номер телефона”.” Восстановление через вашу учетную запись означает доступ к вашей собственной резервной копии, и вы делаете это через свой браузер. Сервисы, которые запрашивают ваш номер телефона для “поиска файлов”, на самом деле ищут именно этот номер.
• “Профессиональная версия обходит шифрование”.” Платной версии, которая отменяет эти вычисления, не существует. Оплата расширяет поддержку различных форматов и удаляет рекламу; она не меняет содержимое карты памяти.

Остались технические вопросы

Если я перестану пользоваться мобильным телефоном, прекратится ли автоматическая очистка?

Процесс замедляется, но не останавливается. Контроллер продолжает организовывать блоки, даже когда устройство находится в режиме ожидания, особенно во время зарядки. Поэтому рекомендуется выключать телефон сразу после поломки, а не просто “меньше им пользоваться”.

Вызовет ли это проблемы, если я оставлю его на зарядке, пока буду пытаться восстановить данные?

Да, это возможно. Благодаря питанию от батареи и сетевому подключению система использует это для синхронизации, обновления приложений и проведения технического обслуживания — и всё это записывается на накопитель. Если вы решите попробовать, делайте это в режиме полёта и с отключенными автоматическими обновлениями.

Поможет ли извлечение микросхемы памяти и её считывание другим устройством?

Нет, не во внутренней памяти: она припаяна и зашифрована ключом, прикрепленным к этому оборудованию. Эта идея работает только для карт, используемых в качестве портативных накопителей, — и даже в этом случае не работает, если карта используется в качестве внутренней памяти.

Я очистил корзину облачного сервиса. Есть ли способ отменить это?

Через сам сервис, обычно не после истечения срока хранения. Остается еще одна копия: старое устройство с отключенной синхронизацией, компьютер, на котором вы однажды импортировали фотографию, переписка, в которой она была отправлена.

Часто задаваемые вопросы

Почему приложение обнаружило только миниатюры?

Потому что без прав root она видит только то, что отображает система, — а галерея хранит уменьшенные версии изображений в кэше для формирования сетки просмотра. Эти миниатюры сохраняются после удаления исходного файла, но имеют гораздо более низкое разрешение. Они служат для того, чтобы запомнить момент, а не для печати или редактирования.

Стоит ли платить за полную версию приложения?

Платная версия обычно удаляет рекламу и поддерживает больше типов файлов, но она не обходит шифрование или TRIM. Если бесплатное сканирование обнаружило только миниатюры, платная версия вряд ли изменит результат.

А что насчет профессиональных реабилитационных услуг?

Они существуют и работают на аппаратном уровне, но они дороги, требуют отправки устройства в сервисный центр, а также сталкиваются с проблемой шифрования данных при хранении. Они более целесообразны в случаях с высокой стоимостью, таких как криминалистический анализ, чем в случаях случайного удаления личных фотографий.

Заключение

Восстановление фотографий стало сложнее именно потому, что мобильные телефоны стали более защищенными. Шифрование, TRIM и масштабирование хранилища защищают ваши данные от кражи устройства — и по той же причине защищают вас от попыток восстановить удаленные данные.

Поэтому настоящая защита — это профилактика: включено автоматическое резервное копирование, проверка корзины перед очисткой и создание второй копии вне телефона. После применения функции TRIM ни одно приложение не сможет восстановить фотографию.

Прочтите тоже

• Восстановление потерянных фотографий на мобильном телефоне: порядок действий, который действительно работает.
• Приложение для восстановления фотографий с мобильного телефона: вопросы и ответы.
• Фотография удалена навсегда: что еще можно сделать на мобильном телефоне?
• Удаленные фотографии с телефона: как их восстановить и как никогда больше их не потерять.
• Восстановление фотографий на Android и iPhone: чем они отличаются?
• Восстановление удалённых сообщений: что законно, а что является преступлением.