Pourquoi les données « supprimées » sont-elles souvent encore récupérables ?
Réponse courte
Parce que « supprimer » n'efface normalement pas les données. Cela enlève les métadonnées du système de fichiers (le pointeur/l'entrée de répertoire) et marque les blocs comme libres, mais les octets d'origine restent sur le disque jusqu'à ce que le système d'exploitation réutilise ces blocs pour de nouvelles données. Tant que cette réécriture n'a pas eu lieu, des outils forensiques peuvent extraire le contenu directement.
Le sens courant de « supprimer » — c'est parti — est le piège. Les candidats supposent que l'enlèvement équivaut à la destruction. L'examinateur veut le modèle mental de la façon dont les systèmes de fichiers libèrent réellement l'espace, car ce modèle sous-tend à la fois la forensique et la mise au rebut sécurisée.
Ce que « supprimer » fait vraiment
Un système de fichiers suit les fichiers avec des métadonnées : une entrée de répertoire plus un enregistrement (inode, entrée MFT, etc.) qui pointe vers les blocs de données. Quand vous supprimez un fichier, le système d'exploitation se contente généralement de délier ce pointeur et de marquer les blocs sous-jacents comme disponibles pour réutilisation. Il ne nettoie pas les blocs. Les octets d'origine restent là, intacts, jusqu'à ce que le système d'exploitation alloue plus tard ces mêmes blocs à un autre fichier et écrive par-dessus. Jusqu'à ce moment, les données sont rémanentes.
Pourquoi la récupération fonctionne
Deux techniques exploitent cela. Si les métadonnées sont encore partiellement présentes, les outils de récupération (undelete) les relient. Si les métadonnées ont disparu, le file carving parcourt le disque brut à la recherche de signatures de fichiers connues (en-têtes/pieds, comme les octets magiques d'un JPEG) et reconstruit les fichiers sans aucune aide du système de fichiers. C'est une routine en DFIR, et un risque réel lors de la mise au rebut des supports.
Les nuances à mentionner
- Les SSD compliquent cela : TRIM et le nivellement d'usure font que le contrôleur peut effacer ou déplacer les blocs de manière proactive, donc le comportement diffère des disques mécaniques.
- La suppression sécurisée signifie réécrire les données (ou, plus fiable, l'effacement cryptographique : détruire la clé de chiffrement pour que le texte chiffré soit irrécupérable).
Ce que recherchent les recruteurs
La distinction pointeur/données, l'expression « jusqu'à réécriture », et idéalement la mention du carving plus la raison pour laquelle le SSD/le chiffrement change la donne. Cela montre une intuition forensique, pas une croyance populaire.
Questions de suivi probables
- Comment le file carving récupère-t-il des données sans les métadonnées du système de fichiers ?
- Pourquoi la suppression sécurisée est-elle plus difficile sur les SSD que sur les disques mécaniques ?
- Quelle est la différence entre supprimer, effacer (wipe) et effacement cryptographique ?