TALLINNA ÜLIKOOL Haapsalu Kolledž Rakendusinformaatika õppekava

Transcription

1 TALLINNA ÜLIKOOL Haapsalu Kolledž Rakendusinformaatika õppekava TULEMUSLIK ANDMETAASTE AVATUD LÄHTEKOODIGA TARKVARA VAHENDITEGA Juhendaja: MA Rainer Aus Haapsalu

2 TALLINNA ÜLIKOOL Haapsalu Kolledž Õppekava: Rakendusinformaatika Töö pealkiri: Tulemuslik andmetaaste avatud lähtkoodiga tarkvara vahenditega Teadusvaldkond: Infotehnoloogia Uurimuse tasand: Kuu ja aasta: Lehekülgede arv: Mai, 56 lk + 2 lisa (2 lk) Referaat: Elame infoühiskonnas ning meie maailm pöörleb digitaalsete andmete ümber. Kogu meie digitaalne elu asub tegelikult elektroonilistel andmekandjatel. Tõsiasi on aga see, et elektroonilised või elektromehhaanilised seadmed riknevad loomuliku kulumise tulemusena paratamatult. Andmekadu võib tabada igatüht. Küsimus pole kas, vaid millal. Probleemiks on asjaolu, et andmetaaste teemal ei leidu ühtegi avalikku ja eestikeelset juhendit. eesmärgiks on luua metoodiline juhend, mis annaks läbi praktiliste näidete ülevaate avatud lähtekoodiga andmetaastevahendite kasutamisest. Eesmärgi täitmiseks kaardistati levinumad rikked andmekandjatega, selgitati välja millistel puhkudel on andmetaaste võimalik tarkvaraliste vahenditega ning tutvustati andmetaastet võimaldavaid vaba tarkvara vahendeid. Käesoleva diplomitöö raames loodi avalik ja eestikeelne metoodiline juhend, mis annab läbi praktiliste näidete ülevaate, millistel juhtudel missugust meetodit rakendada ja anda hinnang rakenduste tulemuslikkusele kas andmekandja saab taas täielikult töökorda või kui suur osa failidest õnnestub taastada. Võtmesõnad: andmekadu, andmetaaste, andmekandja, tõmmisfail Säilitamise koht: i raamatukogu Töö autor: Allkiri: Kaitsmisele lubatud: Juhendaja: MA Rainer Aus Allkiri: (allkirjastatud digitaalselt)

3 TALLINN UNIVERSITY Haapsalu College Curriculum: Applied Computer Science Title: Successful data recovery with open source utilities Science area: Computer Sciences Level: Year and month: Number of pages: Diploma thesis May, 56 p + 2 appendix (2 p) Summary: We are living in the information society and our whole world is revolving around digital data. Our digital lives depend on electronic data storage equipment which are merely man-made electromechanical devices that eventually wear out resulting in data loss. Data loss may happen to anyone the question is not if, but when. The problem is topical as there are no publicly available guides in Estonian on that subject. The purpose of the thesis was to compose a methodical guide, which would present an overview and usage examples of open source data recovery utilities. In order to accomplish the goal, it was necessary to clarify the most common failures of data storage devices, to research under which circumstances it would be possible to recover lost data by software utilities, and present the overview of open source utilities' ability to recover data. As a result of this thesis, a methodical online guide has been published in Estonian. It presents through practical examples, which recovery method to apply in a certain situation, and also evaluates success of each application if the data storage device was completely fixed, or how many of the lost files were recovered. Key words: data loss, data recovery, data storage device, image file Deposition: The Library of Haapsalu College of Tallinn University Author of the thesis: Signature: Approved for dissertation: Academic advisor: MA Rainer Aus Signature: (digitally signed)

4 SISUKORD MÕISTED JA KASUTATAVAD LÜHENDID...3 SISSEJUHATUS TEOREETILINE OSA Andmetaaste mõiste Lühiülevaade andmekandjate ehitusest Kõvaketas Pooljuht-andmekandjad Levinuimad rikked Lühiülevaade failisüsteemidest Andmekadude põhjused Andmetaaste keerukuse hindamine Andmetaaste tulemuslikkuse hindamine Andmetaaste strateegia valik Partitsiooni ja failisüsteemi parameetrite automaatne taastamine Failide taastamine heuristilise otsingu teel UURIMUS ANDMETAASTETEENUST PAKKUVAS ETTEVÕTTES Uurimismetoodika Valimi moodustamine ja kirjeldus Tulemused ning analüüs RAKENDUSTE VÕRDLUS LÄBI PRAKTILISTE KATSETE Ülevaade avatud lähtekoodiga tarkvara vahenditest Informatsioon seadme kohta Alglaaduri rike Partitsioonitabeli puudumine Partitsioonitabeli taastamine TestDisk'iga Partitsioonitabeli taastamine GNU Parted'iga Failide taastamine andmekandjalt Tõmmisfaili loomine

5 3.5.2 Failide taastamine tõmmisfailist TestDisk'iga Failide taastamine tõmmisfailist ntfsundelete'iga Failide taastamine tõmmisfailist PhotoRec'iga Failide taastamine tõmmisfailist Foremost'iga Failide taastamine tõmmisfailist recoverjpeg'iga Tulemuste analüüs ja hinnang kasutatud rakendustele...43 KOKKUVÕTE...46 ALLIKAD...48 LISA 1. ALGSETE FAILIDE MD5 KONTROLLSUMMAD LISA 2. TESTKESKKONNA PARAMEETRID 2

6 MÕISTED JA KASUTATAVAD LÜHENDID Nii siinse autori kui teiste autorite arvates ei anna eestikeelsed vasted sektsioon ja jaotis partitsiooni sisu piisavalt üheselt edasi. Lisaks sellele on hinnangute järgi eestikeelses ruumis mõiste partitsioon suhteliselt laialt levinud. (Taurus, 2007) ATA (Advanced Technology bus Attachment) - Kettaajami liidesestandard (ANSI). Esimene ATA versioon oli IDE, mis toetas kaht kõvakettaajamit. (Vallaste, s.a.) FAT (File Allocation Table) - Failipaigutustabeliks nimetatakse tabelit, mida operatsioonisüsteem hoiab kõvakettal selleks ettenähtud kaitstud piirkonnas ja kus kirjeldatakse failide füüsilist paigutust kõvakettal. (Vallaste, s.a.). GNU (GNU s Not UNIX!) - FSF (Free Software Foundation) poolt tasuta levitatav, UNIX iga ühilduv tarkvarasüsteem. Linux i süsteemid toetuvad suures osas GNU tarkvarale. (Vallaste, s.a.) GUI (Graphic User Interface) - Arvuti graafikakuvamise võimalusi kasutav tarkvaraliides, mis teeb programmide kasutamise lihtsamaks. (Vallaste, s.a.) HDD (Hard Disk Drive) - programmide ja failide hoidmiseks kasutatav hermeetilisse kesta monteeritud magnetketas, enamasti mitme salvestuspinnaga (Vallaste, s.a.). JPG/JPEG (Joint Photographic Experts Group) populaarne graafikafailide tihendamise meetod (Vallaste, s.a.) IDE (Integrated Drive Electronics) - IDE on standardne elektrooniline kettaliides, mis ühendab arvuti emaplaati kettaajamiga. (Vallaste, s.a.) MBR (Master Boot Record) - "sektsioneeritud kõvaketta esimene sektor (nullsektor), mis kujutab endast 512-baidist buutsektorit ja mida nimetatakse ka jaotussektoriks" (Vallaste, s.a.). MD5 - MD5 on ühesuunaline räsifunktsioon, s.t ta teeb sõnumist teatud kindla numbrite jada, mida kutsutakse ka sõnumi kokkuvõtteks (Vallaste, s.a.) MFT (Master File Table) - MFT on oma olemuselt spetsiaalne fail. See fail sisaldab 1KB 3

7 suuruseid kirjeid ning iga kirje identifitseerib üheseltühe kettaseadmele salvestatud faili. MFT tabelis 16. esimest faili nimetatakse metafailideks (Tabur, 2001). Partitsioon kõvaketta loogiline osa. Harilikult on igal jaotusel oma failisüsteem. UNIX kipub jaotusi käsitlema nii, nagu oleksid need iseseisvad füüsilised kettad (Vallaste, s.a.) SATA (Serial ATA) - IDE-liidese edasiarendus, kus rööparhitektuur (paralleelarhitektuur) on muudetud jadaarhitektuuriks (järjestikarhitektuuriks) ning ülem-alluv süsteem kakspunktsüsteemiks (Vallaste, s.a.) SSD (Solid State Drive) - "mälukiipidel realiseeritud kõvaketta analoog, mida kasutatakse kiireks andmepöörduseks või mehaaniliste kõvaketaste jaoks kahjulikus keskkonnas" (Vallaste, s.a.). Tõmmisfail - identne koopia andmekandjast. Selles on informatsioon kõikide partitsioonide kohta ning lisaks sisaldab see alglaadesektorit, failipaigutustabelit, operatsioonisüsteemi kui ka paigaldatud tarkvarasid (Webopedia, s.a). USB (Universal Serial Bus) USB lubab välisseadmeid külge ja lahti ühendada ilma, et arvutit oleks vaja välja lülitada (Vallaste, s.a.) UX (User experience) kasutajakogemus, mis toetub neljale põhikomponendile: funktsionaalsus (functionality), ilu (beauty), atraktiivsus (affinity) ning lugu (story) (Rinde, 2014). 4

8 SISSEJUHATUS Elame infoajastul kogu maailm pöörleb digitaalsete andmete ümber. Andmetest sõltuvad inimesed, ettevõtted ja riigid. Kogu meie digitaalne elu - identiteet, finantsandmed, meelelahutus ja mälestused - asub tegelikult elektroonilistel andmekandjatel. Elektroonilised või elektromehhaanilised seadmed aga riknevad loomuliku kulumise tulemusena paratamatult. Küsimus pole kas, vaid millal. Buffalo Technology (2010) hinnangul jääb oma andmetest igal aastal ilma ligi 6% arvutikasutajatest, seega küsimus võimalikest vastumeetmetest näib igati asjakohane ja aktuaalne. Probleemiks on asjaolu, et antud teemal ei leidu ühtegi avalikku ja eestikeelset juhendit. Samuti puudub korrektne andmetaaste definitsioon vallaste.ee IT-sõnastikust. Käesoleva diplomitöö käigus läbi viidava analüüsi eesmärgiks on selgitada, kas andmetaaste on ainult kulukas, laboritingimustes teostatav protsess või leidub selleks ka arvutiteadlikumale tavakasutajale käepäraseid laiatarbevahendeid. eesmärgiks on luua avalik ja eestikeelne metoodiline juhend (asub aadressil mis annaks läbi praktiliste näidete ülevaate, millistel juhtudel missugust meetodit rakendada ja anda hinnang iga programmi tulemuslikkusele kas andmekandja saab taas täielikult töökorda või kui suur osa failidest õnnestub taastada. Vahendite valikul on lähtutud eelkõige juhendi jätkusuutlikkuse eesmärgist avatud lähtekoodiga tarkvara on tänu piirangute puudumisele elujõulisem jäädes kasutajatele alatiseks vabalt kättesaadavaks. Töö läbivaks jooneks on soovitused andmekao riski maandamiseks, et vähendada vajadust andmetaaste järele. Eesmärgi täitmiseks püstitatakse järgmised ülesanded: 1. Kaardistada igapäevapraktikas levinumaid andmekandjatega esinevaid rikkeid, uurides veebimaterjale ning küsitledes Eesti selle valdkonna asjatundjaid. 2. Selgitada, millistel juhtudel on andmetaaste võimalik tarkvaraliste vahenditega ja millal mitte. 5

9 3. Tutvustada andmetaastet võimaldavaid vaba tarkvara vahendeid, nende võimalusi, eeliseid ning puudusi. koosneb kolmest osast. Esimeses osas antakse ülevaade andmetaaste mõistest, andmekandjate ülesehitusest ning tutvustatakse andmekao tekkimise riske ja kaitsemeetmeid. Töö teises osas tutvustatakse andmetaastet pakkuvas ettevõttes läbi viidud uurimuse tulemusi. Kolmandas osas tutvustatakse praktilise osa metoodikat, kirjeldatakse töös kasutatavate programmidega andmetaastusprotsessi, analüüsitakse saadud tulemusi ning võrreldakse kasutatud programmide tõhusust. Töös on neli tabelit ja 34 joonist. Allikate loetelus on 38 kirjet, millest 31 on ingliskeelsed. 6

10 1. TEOREETILINE OSA 1.1 Andmetaaste mõiste Andmetaaste definitsioone on sama palju kui valdkonnaga seotud osapooli. Kõvakettatootja Seagate mõistab andmetaastet nii: kõrgtehnoloogiline, töömahukas protseduur, mida kasutatakse andmete taastamiseks erinevatelt andmekandjatelt (Seagate Technology, 2012). Vallaste IT ja sidetehnika seletavava sõnaraamatu definitsioon andmetaastest on puudustega: Andmeedastuse käigus või tekkivate konflikti- või veaolukordade lahendamine. IT-spetsiifiline tehnoloogiasõnastik Webopedia mõistab andmetaaste protsessi all andmete päästmist kahjustunud andmekandjalt ( salvaging of data stored on damaged media ). Kuna Seagate ise pakub ka andmetaasteteenust, võib mõista nendepoolset (äri)huvi protsessi võimalikult keerukana näidata - kõrgtehnoloogiline ja töömahukas. Oluline on mainida seda, et nemad tegelevad andmetaaste juhtumitega, kus tarkvarast enam abi pole, vaid tuleb tegeleda seadmekomponentidega füüsiliselt. Autori hinnangul on Webopedia andmetaaste määratlus kõige tabavam. 1.2 Lühiülevaade andmekandjate ehitusest Selleks, et mõista andmetaaste protsessi, on vaja tunda andmekandjate ehituslikku omapära. Järgnevalt on pikemalt peatutud põhilistel andmekandjate tüüpidel: kõvakettal ja välkmälul põhinevatel pooljuht-andmekandjal (SSD) Kõvaketas Ülevaatliku eestikeelse materjali konstruktsioonilistest detailidest annab Rain Haviko (2002) diplomitöö, mida pole antud töö piiratud mahu huvides otstarbekas korrata. Järgnevatel joonistel (joonis 1 ja joonis 2) on võrreldud nii tervet kõvaketast kui ka 7

11 kõvaketast, millel on toimunud peakrahh ja plaadi pind on kahjustada saanud. Joonis 1. Korras kõvaketta sisemus (Yaeger, 2013) Joonis 2. Kõvaketta peakrahhi järel tekkinud kahjustus (Yaeger, 2013) Kõvaketta plussiks on tema soodne ühikuhind - näiteks hinnati aasta novembris, et kõige odavama SSD gigabaidi hind on 0,35 dollarit (Aldershoff, 2014), samal ajal kõvaketta gigabaidi keskmine hind on 0,03 dollarit (Statistic Brain Research Institute, 2014). Miinuseks on kõvaketta puhul tema elektromehaanilisus (töökorra sõltuvus nii elektroonilistest kui ka mehaanilisest komponentidest), SSD-tehnoloogiaga võrreldes aeglased andmeedastuskiirused (hinnangute järgi 2,5 korda aeglasem) (J-D Strong Consulting, 2014) ning ülitundlikkus mehaaniliste mõjutuste suhtes. Kõvaketta plussiks on andmete hoiustamise viis kuna andmed on salvestatud magnetiliste olekutena ketta pinnale, ei kao nad koos elektroonika või mehhaanika rikkega tingimata jäädavalt (erandiks on peakrahh või muu füüsiline vigastus ketta pinnal) ning on riknenud komponendi (mootor, kontroller) asendamisel jätkuvalt kättesaadavad. Siiski on selline võimalus pigem teoreetiline, kuna osutub praktikas tavaliselt ülemäära kulukaks remondi maksumus ületab andmete väärtuse, eeldades erisisseseadega laboriruume ja oskusteavet, mis on sageli olemas vaid andmekandjaid tootvatel ettevõtetel Pooljuht-andmekandjad Pooljuhtkettad on andmekandjad, mis erinevalt kõvaketastest kasutavad liikuvate detailide asemel fikseeritud kiipe välkmälu. Võrreldes magnetiliste andmekandjatega on pooljuhtketastel suurem andmeedastuskiirus, 8

12 kuid piiratud arv kirjutamiskordi. Selleks, et seadme eluiga pikendada, on kasutusel eraldi meetodid (wear levelling), mille abil üritatakse andmete kirjutamisel andmekandja kõiki plokke võimalikult ühtlaselt kasutada. (Seagate, 2010.) Pooljuhtkettad kasutavad andmete hoiustamiseks elektriliste olekute salvestamist mikrokiipides, mille riknemisel tekkiv andmekadu on tehnoloogia suhtelise ebaküpsuse (magnetiliste andmekandjatega võrrelduna) tõttu suurema tõenäosusega pöördumatu Levinuimad rikked Vigased sektorid on ühed sagedasemad andmekandja kulumisest tingitud vead. Selle tulemusena ei ole kõvakettasektor võimeline vastu võtma lugemis- ja kirjutamispäringuid. Vigased sektorid võivad ilmneda nii kaasaegsetel pooljuhtketastel (SSD-d) kui ka traditsioonilistel magnetandmekandjatel ning neid on kahte tüüpi. Ühed tekivad füüsilise vigastuse või kulumise tagajärjel ning sellest ka nimetus füüsiline. Need sektorivead on parandamatud. Teist tüüpi on loogilised vigased sektorid, mis on põhjustatud tarkvaralistest probleemidest. Selliseid sektoreid on tihti võimalik ka tarkvaraliselt parandada. (Quinton,.) Füüsilised vigased sektorid võivad tekkida: Kõvaketta lugemis-kirjutuspea kraabib plaatide pinda (mille tagajärjel võib tekkida ka peakrahh, mille tagajärge on näidatud peatükis 1.2.1). kõvaketta plaadile on sattunud tolmuosakesed; SSD mälukiibi tööiga (maksimaalsete kirjutuskordade arv) ammendub; muud andmekandja komponentide loomulikust kulumisest tingitud vead; Andmekandjate tootjad arvestavad vigaste sektorite tekkevõimalustega juba oma toodete disainis ja enamasti on andmekandjal olemas mõningane lisaruum (väike hulk tavaolukorras kasutamata sektoreid), mille arvelt juhtelektroonika suudab iseseisvalt üksikuid vigaseid sektoreid asendada. Tavapärasel asukohal asetsev sektor märgitakse andmekandja poolt vigaseks ja seda kettakontroller enam andmete salvestamiseks ei 9

13 kasutata. Selle asemele võetakse uus sektor varupinnalt. Kui aga varud ammenduvad, vigaseid sektoreid enam ümber adresseerida ei õnnestu, siis kettavead hakkavad süsteemi tööd reaalselt mõjutama. Andmekandjate oodatava eluea kohta on erinevaid andmeid. Näiteks andmete varundamisteenust pakkuva firma Backblaze tehnik Brian Beach (2013) viis läbi uuringu nende hallatava kõvaketta peal, mis töötavad ööpäevaringselt. Uuringu tulemusena tõdeti, et 78% andmekandjatest töötasid ka pärast nelja-aastast kasutamist. Seega 22% kõvakettaid riknesid nelja aasta jooksul. Esimese 18 kuu jooksul oli kõvaketta tõrkesagedus 5%. Analüüsis öeldakse, et andmekandja defektid tulevad kolmest faktorist: tootmisdefektist, mis päädib varase rivist välja langemisega; juhuslikest riketest; pikaajalise kasutamise tagajärjel, mille tõttu osad kuluvad ning tekivad rikked. Beach'i (2013) analüüsis viidatakse ka Google'i uurimusele, mis leidis, et kõvaketta töökeskkonna temperatuur ei oma nii suurt rolli tema eluea pikkuse juures. Viidatud on ka Carnegie Melloni Ülikooli uuringule, milles tõdeti, et kõvakettatootjate poolt väidetavad keskmise tõrgeteta tööea (MTBF Mean Time Between Failures) määrad on ülepakutud. Rikkeid on rohkem kui MTBF-i hinnang lubaks arvata. Veebilehe The Tech Report ajakirjanik Geoff Gasior () viis läbi 18-kuulise uuringu, viies läbi erinevaid koormusteste kuue SSD peal. Kolm neist pidasid vastu ühe petabaidi (1000 terabaiti) andmete kirjutamist, enne kui nad lõplikult riknesid. Enim pidas eksperimendi algusest vastu üks Samsungi toodetud SSD, millele õnnestus kirjutada 2,4 petabaiti (2400 terabaiti). Analüüsid on näidanud, et SSD-d tulevad väga halvasti toime just ootamatu toitekatkestusega. Näiteks 2013 uurimuse andmetel elasid ainult üksikud SSD mudelid voolukatkestuse üle andmekaota. (Analysis of SSD Reliability ) 1.3 Lühiülevaade failisüsteemidest Käesoleva diplomitöö seisukohalt on palju olulisem saada aru failisüsteemide olemusest, 10

14 kuna vaadeldud on siiski tarkvaralisi vahendeid, mitte riistvaralisi. Tänapäevane tarkvara ei suhtlekõvakettaga otse, vaid talletab andmeid failide kujul failisüsteemi vahendusel. Failisüsteem on see osa operatsioonisüsteemist, mis kontrollib failide talletamist ja manipuleerimist andmekandjal, nagu näiteks kõvaketastel (Kahanwal jt, 2012). Samuti on failisüsteemi ülesanneteks: failide struktureerimine, andmetele ligipääsuõiguste tagamine, (Saar, 2011) Oluline on ka aru saada, mis moel faile failisüsteemi abil talletatakse. Esiteks on andmekandjal sektorid. Sektor on väikseim ühik, mida andmekandjalt saab lugeda või sinna kirjutada. Failisüsteemi roll on grupeerida need sektorid failideks ja kataloogideks ning hallata millised sektorid kuuluvad mingite failide juurde (samas). Järgnev joonis (joonis 3) illustreerib andmete struktuuri tüüpilistel andmekandjatel (kõvakettad, CD-d, DVD-d, mälukaardid, jne). Joonis 3: Illustratsioon andmestruktuurist andmekandjatel (Data Recovery Systems Ltd., 2010) Partitsioonid on "kõvaketta loogilised osad" (Vallaste, s.a.) - andmekandja osad, mis on kaetud failisüsteemiga, võimaldades andmekandja loogilise jaotamise väiksemateks osadeks. Seda, kuidas partitsioonid andmekandjal paigutuvad, näitab andmekandja alguses asuv partitsioonitabel, mis laetakse arvuti alglaadimisel mällu põhialglaadekirjest (master boot record edaspidi MBR). MBR sisaldab lisaks partitsioonitabelile väikest programmi, mis loeb partitsioonitabelit, leiab aktiivse partitsiooni (see on märgitud alglaaditavaks) ja alustab vastavalt partitsioonilt operatsioonisüsteemi käivitamist. MBR asub standardselt füüsilise andmekandja alguses, et arvuti BIOS selle laadimisprotsessi käigus üles leiaks ning seal asuva koodi käivitaks. (Vain, 1998.) 11

15 Andmetaaste seisukohast vaadates on väga oluline failide metaandmete mõiste. Metaandmed on failidega kaasas käivad andmed, mis ei sisaldu alati otseselt faili enda sees, aga kirjeldavad antud faili. Metaandmed võivad sisaldada muuhulgas: faili suurust, viimast muutmise kuupäeva, faili loomise kuupäeva, faili omanikku, ligipääsuõigusi. (Veeremaa, 2010.) Failisüsteemi töös võib eristada järgmisi loogilisi tasemeid, nagu on oma loengus ka lektor Meelis Roos (2014) Tartu Ülikoolist (joonis 4). Joonis 4. Failisüsteemi loogilised tasemed 12

16 Tööpõhimõtted on kõigil failisüsteemidel sarnased, tihti on erinevus komponentide eristamiseks kasutavates nimetustes. Kaasajal olulised failisüsteemid on: Fourth Extended File System (ext4), Hierarchical File System Extended (HFS+) Extended File Allocation Table (exfat), New Technology File System (NTFS), (Anjoy & Chakraborty, 2009). Microsoft'i poolt loodud operatsioonisüsteemides on vaikimisi failisüsteemiks NTFS. Linux'i distributsioonide valdavaks failisüsteemiks on ext4 (Feldman, 2014). Apple'i OS X kasutab HFS+'i. exfat (mis on FAT32 järeltulija) on populaarseim mälukaarte kasutava olmeelektroonika koosseisus digifotoaparaadid, MP3-mängijad, GPS-seadmed, nutitelefonid. (Anjoy & Chakraborty, 2009.) Linux'is ja Unix'is faile hallates puhverdab operatsioonisüsteem alati osa andmetest. Windows'i kirjutatakse fail enamasti kohe andmekandjale. Selline erinevus annab Linux'ile eelise jõudluse osas ning võimaldab vältida failide fragmenteerumist. (Feldman, 2014.) Samas kasvab andmekao risk elektritoite kadumisel, kuna osa failidest asub puhverdatult arvuti operatiivmälus (RAM), mis ei ole püsiv (Moyer, 2011). Riski aitab maandada asjaolu, et kõik kaasaegsemad operatsioonisüsteemid kasutavad žurnaaliga failisüsteeme (journaling filesystem). Nii Windows'il NTFS, Linux'il alates ext3-st ja OS X-il HFS+ (Cowen & Seyer, 2013). Sellistes failisüsteemides on kõik tehtavad muudatused hoiul metaandmetes, seega kui toimub süsteemi kokkujooksmine, siis on võimalik kiirelt taastada failisüsteemi olukord krahhi eel. (Feldman, 2014). 1.4 Andmekadude põhjused Andmekao puhul võib eristada kolme tüüpi juhtumeid: inimlik eksimus, süsteemirike või 13

17 mõni muu ettenägematu õnnetusjuhtum. Inimliku eksimuse näideteks on andmete juhuslik ülekopeerimine, kustutamine või ka tahtmatute muudatuste tegemine. Süsteemirikke võib jaotada kahte kategooriasse: süsteemikomponendi ja/või andmekandja rikked, üksikute failide vead (file errors) või andmelaostus (data corruption). Ja lõpuks on ka ettenägematud õnnetusjuhtumid, mis päädivad andmete asupaiga füüsilise hävinguga. Ainus viis, kuidas sellise katastroofi puhul andmetest ilma jäämist vältida, on hoida varukoopiaid ka väljaspool põhikoopia geograafilist asukohta. (Spencer, 2005, 44.) Andmetaastega tegelev ettevõte Kroll Ontrack küsitles aastal 1066 inimest üle maailma, kes on kasutanud hiljuti andmetaasteteenust. 66% juhtudest oli tegu riistvaralise veaga (ka andmekandja elektroonika rike), 14% inimlik eksimus, 6% tarkvaraviga, 3% toiteprobleem. Järgnev joonis esitleb öeldut graafiliselt (joonis 5). Muud põhjused 11% Toiteprobleemist tingitud rike 3% Tarkvaraviga 6% Inimlik eksimus 14% Riisvaraline viga 66% Joonis 5. Andmekao põhjused (Kroll Ontrack, 2014) Järgnev tabel (tabel 1) võtab kokku andmekao tekkimise riskid ja kaitsemeetmed. 14

18 Tabel 1. Andmekao tekkimise riskid ja neid maandavad kaitsemeetmed (Spencer, 2005) Riski tüübid Näited Kaitsemeetmed Inimlik eksimus Soovimatu muudatuse tegemine Regulaane varundamine Andmekandja tõrge Andmekandja elektroonika Andmekandjate dubleerimine, rike regulaarne varundamine Andmelaostus Vigane riist- või Regulaarne varundamine tarkvarakomponent põhjustab andmelaostuse; ebakorrektne faili sulgemine rikub faili Asupaiga häving Tulekahju hävitab kodu 1.5 Asukohast eemal olev varukoopia Andmetaaste keerukuse hindamine Ajakirjas Information Week on Serdar Yegulalp (2008) andmetaaste liigitanud neljaks "lihtne taastamine" (simple recovery), "keerukas taastamine" (complex recovery), irdkandjalt taastamine (removable storage or optical media) ja andmete taastamine krüpteeritud andmekandjalt (encrypted media recovery). Antud diplomitöö seisukohast on oluline kirjeldada neist kahte esimest. Lihtsa taastamise puhul on tegemist olukorraga, kus fail on värskelt kustutatud - tavaliselt kogemata, kuna just kogemata kustutamine on Yegulalpi (2008) hinnangul suurim põhjus andmekao puhul. Suuremal osal juhtudest on võimalik andmed taastada need prügikastist. Keeruka taastamise puhul on kaduma läinud failisüsteemi elemendid alglaadur (boot loader) või partitsioonitabel. 1.6 Andmetaaste tulemuslikkuse hindamine Andmetaastetarkvara tootev Runtime Software () on oma materjalides toonud ühe võimaluse, kuidas andmetaaste tulemuslikkust hinnata. Näiteks on toodud olukord, kus 90% kaduma läinud andmetest on edukalt taastatud. Kui kaduma läinud andmeteks olid pildid, siis andmetaastet saab pidada edukaks, kuna tagasi saadi üheksa pilti kümnest. Kui 15

19 aga taastavateks failideks on tabelid andmebaasist ja 10% ei õnnestu taastada, siis võib kogu andmebaas olla väärtusetu, kuna andmed (selle näite puhul tabelid) sõltuvad üksteisest. Seega mida rohkem andmeid üksteisest sõltub, seda suurem võib kahju olla isegi siis, kui ainult väikest hulka andmetest ei õnnestu taastada. 1.7 Andmetaaste strateegia valik Esimese sammuna tuleb veenduda millised vead andmekandjal esinevad ning vastavalt sellele valida vahendid ja lähenemine. Kui andmekandja annab märku, et pole enam 100% füüsiliselt töökorras (veidrad helid, märgid liigsest kuumenemisest, anomaaliad süsteemi töös või andmeedastuskiiruse langus) tuleks selle kasutamine viivitamatult lõpetada ja olulistest andmetest luua varukoopia ning andmetaaste tegevusi jätkata teises arvutis. Alati on turvalisem pigem eeldada peatset pöördumatut riket ning lisaks varukoopiale üritada veel toimiv süsteem tõmmisfailiks (või hoopis otse uuele andmekandjale) kloonida. Juhul kui tegu oli valehäirega, on nüüd olemas teine andmekandja, mida saab edaspidi näiteks varundamise otstarbel kasutada. Kui mitte, õnnestus ülisoodsalt (vaid asenduseks soetatud andmekandja maksumus) pääseda andmekaost, süsteemi täieliku ülesehituse vajadusest, võimalikest andmetaastekuludest ning kõige sellega kaasnevast ajakulust ning stressist. Kui ka teist arvutit võtta pole, on võimalusi mitmeid: laadida samasse arvutisse Ubuntu operatsioonisüsteem USB-pulgalt või paigaldada taasteprotsessi läbiviimiseks arvutisse uus, toimiv andmekandja. On üpris tõenäoline, et isegi kui riknenud andmekandja veel töötab, ei pruugi ta mingil hetkel suuta enam piisavalt kaua stabiilselt toimida (näiteks olukord, kus andmekandja kontroller kuumeneb elektroonikarikke tõttu üle), võimaldamaks isegi väheste oluliste andmete kopeerimist, seega tuleb andmekandja tööaega hoida minimaalsena. Üks abinõu selleks on andmekandja USB-liidese abil ühendamine (joonis 6), vähendamaks vigase seadme käitamist arvuti alglaadimisele kuluva aja võrra. Kuna USB seadmed on kuumvahetatavad, võib neid erinevalt SATA ja IDE seadmetest sisse lülitada ka siis kui operatsioonisüsteem on laadimise lõpetanud. (Kirsch, 2013.) Nii ei kaasne vigase seadme ebastabiilsusega (näiteks: juhtelektroonika hangumine või edastusvead ühendusliidesel) vajadust kogu süsteemi alglaadimise järele. Piisab vaid USB ühenduse eemaldamisest ning 16

20 taastamisest. Joonis 6. Andmekandja USB-liidese abil ühendamine (Kirsch, 2014) Kui andmekandjal pole märke füüsilisest rikkest, tasub põhjuste lähemaks uurimiseks luua tõmmisfail. See garanteerib, et eksimus ei tipne pöördumatu andmekaoga ning loob eeldused andmekandjaga mitme katsete tegemisel näiteks alglaaduri taastamine või failisüsteemi vigade automaatotsing. Ka Grundy (2008a) rõhutab oma esitluses. et originaalmeedium, millelt andmeid taastama hakatakse, tuleks hoida puutumatuna. Grundy (2008a) soovitab võimalusel tekitada andmekandjast koopia tõmmisfaili näol (image). Sama lähenemist kasutatakse ka kriminalistikas. Tõmmisfail on identne andmekandjal sisalduvate andmetega ja kogu järelanalüüs toimub koopiat kasutades, vähendamaks riski, et analüüsi käigus vigastatakse või muudetakse originaaliandmeid (Stüttgen, 2011). Grundy (2008a) on tõmmisfaili tegemise põhjustena välja toonud sarnased asjaolud: pakub liiasust (redundancy); kaitseb kasutajavigade eest; kaitseb andmekao eest, mis võib tuleneda valest põhjuse diagnoosist. Kui terviklik tõmmisfail kopeerida uuele andmekandjale on üsna väikese ajakuluga (võrreldes operatsioonisüsteemi uue tervikliku paigaldusega) võimalik saavutada taastoimiv süsteem koos seal sisaldunud andmetega. 17

21 1.7.1 Partitsiooni ja failisüsteemi parameetrite automaatne taastamine Andmekandja partitsioonitabeli taastamiseks soovitab Grundy (2008a) TestDisk'i. TestDisk'i on kirjeldatud kui võimekat andmetaastetarkvara, mis võimaldab taastada kaduma läinud andmekandja partitsioone. Lisaks suudab antud tarkvara parandada vigase alglaadimistarkvaraga andmekandja ning teha ta uuesti laetavaks. TestDisk'i abiga saab taastada ka alglaadesektoreid (boot sector). TestDisk kontrollib kõvaketta struktuuri ja võrdleb seda partitsioonitabeliga, et leida vigaseid kirjeid. Kui partitsioonitabelis leidub neid, siis TestDisk suudab neid parandada. Kadunud või täiesti tühjade partitsioonitabelite puhul võimaldab otsida partitsiooni ning luua uut partitsioonitabelit. Samuti suudab TestDisk väidetvalt taastada MBR-i. (CGSecurity, s.a.) Protsess ei ole ajakulukas ning õnnestumisel võimaldab kasutatavaks muuta andmekandjal asunud andmed ja süsteemi tervikuna Failide taastamine heuristilise otsingu teel Kui automaatne taastamine ei õnnestu, on viimaseks vahendiks üksikute failide otsing andmekandjalt või tõmmisfailist. Siin kasutatakse failide signatuuriinfot, leidmaks neile vasteid füüsilistest plokkidest failisüsteemis. Heuristilist otsingut on kirjeldatud kui tehnikat, mis võimaldab andmetaastet ka juhul kui andmekandja kohta pole vastavaid lähteandmeid nagu näiteks failisüsteemi metaandmed (Poisel & Tjoa, 2013). Oma loodud juhendis on Barry J. Grundy (2008b) toonud näite protsessist (joonis 7), kus ta näitab, kuidas süsteemi tõmmisfaili analüüsides üles leida JPEG fail. Joonis 7. Tõmmisfaili sisemus Iga fail algab mingi kindla kuueteistkümnendkoodiga, mis tuleb tõmmisfailist üles otsida. Selliseid koode tuntakse ka kui "maagilisi numbreid" (Kessler, s.a.). Kuna on teada, et iga JPEG faili päis algab kuueteistkümnendkoodiga ffd8 ning lõpeb kombinatsiooniga ffd9, siis faili alguse leidmiseks on Grundy materjalis kasutatud grep'i nimelist utiliiti (Joonis 8), 18

22 mis võimaldab otsida faili seest märksõnu. Joonis 8: JPEG faili alguse otsimine Samuti soovitab Grundy (2008a) PhotoRec'i kasutamist. Käesolev protsess on vaadeldud meetoditest kõige ajakulukam, kuna tähendab kogu andmekandja kõigi plokkide ükshaaval analüüsimist ning failidega seostamist paralleelina võib välja tuua piltmõistatuse kokkupaneku ning sellele kuluva aja. 19

23 2. UURIMUS ANDMETAASTETEENUST PAKKUVAS ETTEVÕTTES Käesolevas peatükis põhjendatakse uurimismeetodi valikut ja kirjeldatakse uuringu läbiviimise etappe. Samuti on antud ülevaade andmekogumise protsessist. Peatükk lõppeb uurimistulemuste välja toomise ning analüüsi ja järeldustega. 2.1 Uurimismetoodika Antud lõputöö raames viidi läbi uurimus andmetaastega tegelevas ettevõttes. Uurimuse eesmärk oli läbi poolstruktureeritud intervjuu vastused saada järgnevatele uurimisküsimustele: Millised on enamlevinud rikked remonti toodud andmekandjatel? Milline on rikete esinemissagedus antud andmekandjatel näiteks aasta lõikes? Kas ettevõte kasutab avatud lähtekoodiga tarkvara vahendeid ja kui ei, siis mis põhjusel? Kui palju on võimalik nende praktikas taastada andmeid avatud lähtekoodiga tarkvaraga ja kui tihti on vajalik kasutada erivahendeid? Kas kummagi kasutamine mõjutab ka hinda mingis suunas? Kuidas kujuneb andmetaastetööde hinnapoliitika? Kas ja millisel määral sõltub andmetaaste hind vea tüübist? Kas on kogemusi Apple'i seadmetelt andmete taastamisega? Kas esineb mingeid piiranguid ja kui jah, siis millised? 2.2 Valimi moodustamine ja kirjeldus Valimisse kuulus üks Eestis andmetaastega tegelev ettevõte, mis asub Pärnus. Nimeks on sellel PP Electronics, mis asub aadressil Pikk 26. Ettevõtte tegevusala on lai. Enamasti 20

24 tegeletakse arvutite parandamise ja hooldamisega ning andmete taastamisega. Ettevõte on tegutsenud aastast Ettevõtte spetsialistilt küsiti intervjueerija poolt eelnevalt valmis mõeldud küsimusi nende igapäevatöö kohta. Küsimustik polnud kinnine, seega küsiti ettevõttes ka lisaküsimusi, kui selleks põhjust oli. Intervjuu toimumise aeg lepiti ettevõtte esindajaga kokku telefonitsi. Eeldatavaks kestuseks koos lisaküsimustega oli 40 minutit. Uuring viidi läbi Tulemused ning analüüs PP Electronics'i tehniku sõnul taastavad nad rohkem riistvara kui tarkvaravahenditega. Suurem osa andmekandjatest, mis sinna viiakse, on füüsilise vigastusega. Ta liigitas need tinglikult kolme kategooriasse: maha kukkunud andmekandjad; tehasest tulnud vigased andmekandjad; kulumisest tingitud vead. Avatud lähtekoodiga andmetaastevahendeid ettevõttes eriti ei kasutata, kuna pole leitud sellist, mis oleks sobilik. Tehniku sõnul on neil välja kujunenud vastavad programmid, mis on töökindlad olnud juba aastaid ning pole peetud vajalikuks hakata katsetama just avatud lähtekoodiga tarkvarasid. Andmete taastamiseks kasutavad tehnikud programme GetDataBack, EasyRecovery ning SpinRite. Seega eelistus on rohkem Windows'i operatsioonisüsteemil toimivate tarkvarade suunas, millel on graafiline kasutajaliides. Kuna kogemus avatud lähtekoodiga andmetaastevahenditega on tehnikutel olnud kesine, siis ei osatud nende tulemuslikkusele konkreetset hinnangut anda. Kliendile esitataksegi arve lähtuvalt sellest, kui palju andmete taastamisele tööaega kulus pole tähtis, kas tegu on lihtsa või keerukama juhtumiga; kas kasutati ühte või teist programmi. Fikseeritud hinnapoliitika puudub - pigem prognoositakse kui 21

25 andmetaasteprotsess võib kaua aega võtta. Enamus kliente loobub, kui eeldatav maksumus ületab 100. Apple'i seadmetelt andmetaastega ettevõte ei tegele. Intervjuu peegeldas hoiakut Mac-ide suhtes, mis oli tehnoloogilise keerukuse vaatest pigem negatiivne. Kinnitati, et on mõned korrad proovi tehtud, aga vajalikud andmetaastevahendid toimisid enamasti ainult Apple'i riist- ja tarkvarakeskkonnas, mida polnud nõudluse vähesuse huvides otstarbekas soetada. 22

26 3. RAKENDUSTE VÕRDLUS LÄBI PRAKTILISTE KATSETE Praktilises osas antakse lühiülevaade andmetaastet võimaldavate avatud lähtekoodiga rakendustest ning viiakse läbi katseid nende võimaluste hindamiseks peamiste andmekao stsenaariumide põhjal: alglaaduri rike; partitsioonitabeli puudumine; kustutatud failid; Stsenaariumite valikutel lähtuti sellest, millistel levinuimatest andmekadude juhtudest on andmetaastet võimalik läbi viia tarkvaraliste vahenditega nendeks on inimlik eksimus, tarkvaraline viga ning andmekandja kulumisest tingitud vead. Antud tulemustest saab järeldada, missuguse vea puhul millist meetodit rakendada ja missugune on andmetaaste oodatav tulemus - näiteks kas saab andmekandja algsesse töökorda, kas saab kõik failid kätte või on võimalik taastada ainult mingi osa failidest. Samuti hinnatakse rakenduste kasutamise keerukust ja nendega seotud ohte. Tarkvaralisi vahendeid kasutades antakse hinnang autori esmakordse praktilise kogemuse põhjal. Töö annab juhised, millise tarkvara kasutamine konkreetses situatsioonis kõige otstarbekamaks osutuks. See teadmine võimaldaks inimestel hinnata riske ning vastavalt säästa aega või raha. Rakenduste võrdlus viidi läbi selleks ettevalmistatud testkeskkonnas, mille parameetrid on kirjeldatud lisades (lisa 2). 3.1 Ülevaade avatud lähtekoodiga tarkvara vahenditest Esimesel juhul on vaatluse all tõmmisfaili loomise tööriistad GNU dd, dd_rescue, GNU ddrescue, dd_rhelp. Seejärel tutvustatakse andmetaaste tarkvarasid Foremost, TestDisk, PhotoRec, ntfsundelete, recoverjpeg. Tõmmisfaile on võimalik luua erinevate tööriistadega alates kõikidesse Linux'i distributsioonidesse kaasa pandud GNU dd'st lõpetades võimekama GNU ddrescue'ga. Järgnev tabel (tabel 2) võtab lühidalt kokku töös käsitletud tõmmisfaili loomise vahendid. 23

27 Tabel 2. Tõmmisfaili loomiseks mõeldud vahendite ülevaade Tarkvaravahend Kasutatud versioon Kasutaja- Loomise liides aasta Ubuntuga Jõudlus kaasas Platvorm GNU dd 8.21 Käsurida 1985 Jah + C dd_rescue (dd_rhelp) 1.46 Käsurida 1999 Ei - C; Bash GNU ddrescue 1.17 Käsurida 2004 Ei ++ C++ Andmetaastet on võimalik läbi viia erinevate avatud lähtekoodiga tarkvaradega. Järgnev tabel (tabel 3) kirjeldab antud töös kasutatavaid. Tabel 3. Andmetaasteks mõeldud tarkvarade ülevaade Tarkvaravahend Kasuta- Kasutajalii Loomise aasta tud -des versioon TestDisk 6.14 Pseudograafiline Toetatud failisüsteemid Taastamine tõmmisfailist 1998 (CGSecurity, NTFS, FAT, ext4, Jah s.a.) HFS+ jpt. Failitaaste FAT, exfat, NTFS, ext2 (CGSecurity, s.a.) ntfsundelete Käsurida 2003 (LinuxNTFS project, s.a.) PhotoRec 6.14 Pseudograafiline 1998 (CGSecurity, FAT, NTFS, Jah s.a.) exfat, ext2/3/4, HFS+ (CGSecurity, s.a.) Foremost Käsurida 2001 s.a.) (Fossies, Pole oluline Jah (foremost man page, s.a.) Käsurida 2004 s.a.) (Tardieu, Pole oluline Jah (recoverjpeg man page, s.a.) recoverjpeg 2.2 NTFS Ei (ntfsundelete man page, s.a.) 24

28 3.2 Informatsioon seadme kohta Selleks, et andmetaastega alustada, on vaja teada saada, kas arvuti üldse andmekandja üles leiab. Käsud lsusb (mis on Ubuntule sisseehitatud) ja lsscsi (mis tuleb eelnevalt paigaldada) annavad ülevaate vastavalt ühendatud USB- ja kettaseadmetest. Näiteks järgnevalt näeme, et ühendatud on järgnevad USB- ja kettaseadmed. # lsusb Bus 001 Device 009: ID 0781:5567 SanDisk Corp. Cruzer Blade Bus 001 Device 008: ID 80ee:0021 VirtualBox USB Tablet Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub # lsscsi [1:0:0:0] [2:0:0:0] [3:0:0:0] [4:0:0:0] [5:0:0:0] cd/dvd disk disk disk disk VBOX ATA ATA ATA SanDisk CD-ROM VBOX HARDDISK VBOX HARDDISK VBOX HARDDISK Cruzer Blade /dev/sr0 /dev/sda /dev/sdb /dev/sdc /dev/sdd Lisainfot andmekandja geomeetria ning sellel asuva failisüsteemi näitab kohta käsk parted -l, mille väljund näeb välja sarnane. Model: ATA VBOX HARDDISK (scsi) Disk /dev/sdc: 19,3GB Sector size (logical/physical): 512B/512B Partition Table: msdos Number Start 1049kB 106MB 14,1GB End 106MB 14,1GB 19,3GB Size 105MB 14,0GB 5242MB Type primary primary primary File system ntfs ntfs ntfs Flags boot Sarnaselt päris seadmetele võimaldab GNU Parted ülevaate saada ka tõmmisfailide struktuurist. Lisaks on tihti oluline ära määratleda, milliseid ühikuid (sektorid, baidid, megabaidid, gigabaidid, jne) ülevaates kasutatakse. Näiteks tõmmisfailist ülevaate saamiseks sektoripõhiselt on käsk: # parted tommisfail.img unit s print 25

29 Käsu väljundit on näidatud järgneval joonisel (joonis 9). Joonis 9. Tõmmisfailil olevad partitsioonid 3.3 Alglaaduri rike Alglaaduri rike on üldiselt tarkvaraline probleem, mis tavaliselt kasutaja andmeid ei ohusta. Mõjutatud arvuti ei ole võimeline laadima operatsioonisüsteemi, mis võib tavalisele arvutikasutajale tunduda tegelikust kriitilisema rikkena (arvuti on rikkis) - tihti on selle parandamine aga üsna lihtne. Hoopis olulisemat ohtu andmetele põhjustavad paanikast haaratud kasutajate poolsed valeotsused katse uuesti paigldada või tootja vahenditega taastada arvutis operatsioonisüsteem, mille käigus ise oma andmed lõplikult hävitatakse. Tegelikult pole alglaaduri rikke puhul andmete taastamine tehniliselt keerukas kui leidub teine arvuti, piisab vaid vigase alglaaduriga andmekandja lisamisest töökorras arvutisse. Linux operatsioonisüsteemi kasutamine lihtsustab siinkohal protsessi oluliselt, kuna Windows operatsioonisüsteemiga arvutile ketta lisamisel on andmetele ligipääsuks oluline tagada lisatud andmekandja failisüsteemi failiõiguste korrektsus. Selle protsessi vajalikkust teadmat/peensusi tundmata ei pruugi failid kasutajale nähtavaks muutuda. Teine variant on LiveUSB/LiveCD funktsionaaslsuse abil laadida Linux'i operatsioonisüsteem (näiteks Ubuntu) päästepaketina otse problemaatilise andmekandjaga arvuti mällu USB pulgalt või DVD-plaadilt. Seda on võimlik teha Linux'it püsivalt paigaldamata. Ubuntu käivitumisel kuvatakse kasutajale automaatselt süsteemist andmekandjad ja neil olevad failid. Seejärel on võimalik soovitud failid turvaliselt teisele andmekandjale kopeerida. Järgneval joonisel (joonis 10) on näidatud Ubuntu kuvatõmmist HFS+ kõvakettal olevatest failidest. 26

30 Joonis 10. Ubuntu tuvastas HFS+ andmekandja Seejärel on võimalik soovitud failid turvaliselt teisele andmekandjale kopeerida. 3.4 Partitsioonitabeli puudumine Samas võib ette tulla ka juhtumeid, kus on puudu nii alglaadesektor kui ka partitsioonitabel korraga. Sellisel juhul andmetele nii lihtsa vaevaga ligi ei pääse, kui peatükis 3.3. Peatükis 3.2 tutvustatud käsk parted -l annab nii alglaadesektori kui ka partitsioonitabeli puudumisel partitsioonide kuvamise asemel järgmise veateate: Error: /dev/sdc: unrecognised disk label Siiski on vastavate tööriistadega ka sellise probleemi lahendamine võimalik Partitsioonitabeli taastamine TestDisk'iga Käsk andmekandja analüüsimiseks on antud näite puhul: # testdisk /dev/sdc Järgnevalt tuvastab TestDisk andmekandjaid, kuid kuna on kindlalt määratletud, et analüüsida soovitakse vaid ühte kindlate andmekandjat (/dev/sdc), siis ongi valikuid vaid üks. Seejärel küsitakse kasutajalt kinnitust, kas programm suutis tuvastada õige partitsioonitabeli tüübi. Enamus juhtudel ongi tegemist Intel'i partitsioonitüübiga, OS X-i puhul aga EFI GPT. 27

31 Pärast seda tuleb kasutajal valida erinevate TestDisk'i tööriistade vahel. Partitsiooni taastamiseks on selleks Analyse valiku all olevad tööriistad (joonis 11). Joonis 11. TestDisk'i poolt pakutavad tööriistad andmekandjate jaoks Järgnevalt peaks TestDisk kuvama andmekandjal oleva partitsioonide struktuuri, kuid kuna kogu partitsioonitabel on kadunud, siis ühtegi partitsiooni ei kuvata ning esitatakse hoopis veateade, et paar baiti on MBR-i lõpust puudu. Valides valiku Quick Search on võimalik läbi viia "kiirotsing" TestDisk'i poolt, kas kustutatud partitsioone õnnestub tuvastada (joonis 12). Joonis 12. TestDisk annab teada veateatest ning ühtegi partitsiooni ei leitud HFS+ failisüsteemi puhul võidakse GPT ning partitsioonitabeli puudumisel kuvada 28

32 järgnevat veateadet (joonis 13). Joonis 13. Veateade HFS+ failisüsteemi puhul Seejärel kuvatakse kasutajale nimekiri leitud partitsioonidest. Kõikide eelduste kohaselt peaksid seal olema kõik eelnevalt olemasolnud partitsioonid. Jätkamiseks vajutada Enter -it. Lõpuks kuvatakse lõplik partitsioonitabel, mida on võimalik andmekandjale kirjutada. Seda saab teha, kasutades valikut Write. Joonis 14. Uue partitsioonitabeli kirjutamise kinnitamine Seejärel küsib TestDisk topeltkinnitust. Ka sellele võib vastata jaatavalt ( Y ). Veendumaks, et partitsioonitabel taastus, võib uuesti kasutada käsku parted -l. Andmetele ligipääsemise protseduur on sarnane peatükk 3.3 kirjeldatule Partitsioonitabeli taastamine GNU Parted'iga Kirjelduse järgi peaks ka utiliit nimega GNU Parted olema võimeline taastama 29

33 andmekandja partitsioonitabelit. Kui TestDisk oli võimeline tegema seda automaatselt, siis GNU Parted'iga tuleb partitsiooni algus ning lõpp käsitsi paika panna. Partitsioonide algused ning lõpud on võimalik leida kasutades tööriista gpart ning käsku (mille väljundit näeb joonisel 15): # gpart -k n 2048 /dev/sdc Joonis 15. gpart leidis kustutatud partitsioonid Käsu järel käis gpart üle andmekandjast, alustades 2048 sektorist ning liikudes lõpuni sammuga Nagu jooniselt näha, leidis gpart erinevalt TestDisk'ist kahe terve partitsiooni andmed ning ühte neist peab gpart vigaseks. Kasutades gpart'ilt saadud andmeid on võimalik GNU Parted'i abiga püüda taastada partitsioone. Andmekandja analüüsimiseks järgmine käsk: # parted /dev/sdc Print käsk andmekandja partitsioonide nimekirja esitamiseks annab järgmise veateate: (parted) print Error: /dev/sdc: unrecognised disk label GNU Parted mõistab termini disk label all partitsioonitabelitüüpi. Kuna antud hetkel on tegemist Windows'i andmekandjaga, siis selle tüübiks on enamasti msdos. Seega, selleks, et programmile teada sellest anda, on käsk: # mklabel msdos 30

34 Jooniselt 15 on teada, et esimese partitsiooni sektoritevahemik on ning teisel Selleks, et sektoripõhiselt GNU Parted'is andmeid sisestada, on käsk: (parted) unit s Partitsioonide taastamiseks on käsk rescue, mis nõuabki parameetritena partitsiooni algust ja lõppu: (parted) rescue Kui programm on leidnud kadunud partitsiooni, siis annab ta kasutajale teada, millises vahemikus see avastati (joonis 16). Joonis 16. Kasutajale antakse programmi poolt informatsiooni leitud partitsioonidest Kui kõik on õige, siis vastata jaatavalt ning seejärel lisatakse see partitsioonitabelisse. Sarnaselt on võimalik taastada ka järgnev vahemik, kasutades jällegi rescue käsku. Antud näite puhul leidis GNU Parted aga mitte partitsiooni vahemikus , vaid (joonis 17). Joonis 17. GNU Parted leidis vale suurusega partitsiooni Seega selle asemel, et taastada ka 13GB ning 5GB partitsioonid, taastas GNU Parted vaid alglaadesektori ning ühe 100MB partitsiooni. HFS+ andmekandjal ei tuvastanud gpart ühtegi partitsiooni. Kui partitsioonide taastamine või taastatud partitsioonide operatsioonisüsteemile külge haakimine (mount) ei õnnestu, on ainus võimalus hakata andmeid taastama üksikute failide haaval. 31

35 3.5 Failide taastamine andmekandjalt Katseks on andmekandjate operatsioonisüsteemide (Windows ja OS X) töölaudadele jäänud kümme faili, seitsmest eri failitüübist. Lisaks on kümme eelnevalt kustutatud faili, kuuest eri failitüübist. Failide kohta on genereeritud MD5-kontrollsummad (lisa 1) selleks, et hiljem kontrollida, kas fail õnnestus terviklikult oma algsel kujul taastada Tõmmisfaili loomine Kasutades juhiseid peatükist 3.2 tuleb esmalt tuvastada, kus seadmed asuvad siinse näite puhul asub NTFS-andmekandja asukohas /dev/sdb ning HFS+ asub /dev/sdc. Tavaliselt andmeid taastama hakates tehakse eeldus, et andmekandja on pigem vigane kui terve. Seepärast on loodud tõmmisfail nii /dev/sdb kui ka /dev/sdc all kasutades utiliiti GNU ddrescue ning selle käsku: # ddrescue -r 1 -n -S -v /dev/sdb /media/raido/second_ partition/w7_taaste_gddrescue.img /media/raido/second_ partition/w7_taaste_gddrescue.log # ddrescue -r 1 -n -S -v /dev/sdc /media/raido/second_ partition/macosx_taaste_gddrescue.img /media/raido/second_ partition/macosx_taaste_gddrescue.log Väljundit ülaloleval käsule näeb järgnevalt jooniselt (joonis 18). Joonis 18. Tõmmisfaili loomine GNU ddrescue'ga andmekandjast 32

36 3.5.2 Failide taastamine tõmmisfailist TestDisk'iga TestDisk saab andmete taastamisega hakkama vaid NTFS failisüsteemiga andmekandjal. Enne andmete taastamist soovib TestDisk siiski aru saada andmekandja geomeetriast ning vajalik on taastada partitsioonid sarnaselt peatükile Kui partitsioonid on taastatud, on võimalik hakata andmeid taastama. Selleks tuleb tagasi minna põhimenüüsse ning valida valik Advanced (joonis 19). Joonis 19. Kuvatõmmis TestDisk'i valikutest, mida loodud tõmmisfailiga teha saab Järgnevas vaates on andmetele ligipääsemiseks valikud List ning Undelete, millest esimene võimaldab lihtsalt andmekandjal olevate andmete kuvamist ning taastamist, teine aga kustutatud failide taastamist (joonis 20). Joonis 20. Kuvatõmmis võimalikest läbiviidavatest operatsioonidest Soovides kasutada valikut List andis TestDisk aga antud NTFS-andmekandja puhul veateate: Segmentation fault (core dumped). Valiku Undelete kasutamisel kuvatakse kasutajale list kustutatud failidest partitsioonil 33

37 Kasutajal palutakse välja valida, millised failid ta taastada sooviks, kasutades klahvikombinatsiooni Shift+:, mille tagajärjel muutuvad taastatavad failid roheliseks (joonis 21). Nagu juhised ütlevad, siis selleks, et faile taastada, vajutada "Shift+c". Seejärel küsitakse kasutajalt, kuhu märgitud failid taastada. Kuna näite puhul oli kustutatud failide loetelu väike, siis taastatavad failid valiti ühekaupa. Suuremate andmehulkade puhul on mõistlik taastada kõik failid ja teha järelanalüüs pärast. Joonis 21. Ülevaade kustutatud failidest partitsioonil Jooniselt on näha, et eelnevalt kustutatud failidest leiti üheksa faili kümnest. Seejärel küsitakse kasutajalt, kuhu valitud failid taastada. TestDisk pakub ka võimalust operatsioonisüsteemi kaustapuus liikuda nooleklahvide ning "Enter"-iga, mis võimaldab failid taastada sobivasse asukohta. Kui sobiv kaust leitud, siis peaks ka programm selle "Directory"-real ära tähistama (joonis 22). See saabki kaustaks, kuhu valitud andmed taastatakse. Joonis 22. Kuvatõmmis valitud kaustast, kuhu valitud failid taastatakse 34

38 TestDisk annab jooksvalt infot, kui palju andmeid taastatud on. Kuna taastatavaid faile oli vaid üheksa, siis ka ajakulu oli väga väike kõigest 4 sekundit. Selleks, et võrrelda taastatud ning algsete pildifailide MD5 kontrollsummasid sobib hästi tekstiliste andmetega manipuleerimiseks mõeldud skriptikeel Awk, ja väike skript, mille loonud Nick Bartlett: # awk 'NR==FNR{a[$1];next}$1 in a{print $1,$2}' algsed_ failid_checksum.txt testdisk_ntfs_checksum.txt >> yhised_checksum_ntfs.txt Joonis 23. Kontrollsummade võrdlemistulemus Skripti tulemusena on näha, et kaheksa faili kontrollsummad ühtivad ühtib algse kümnega (joonis 23) Failide taastamine tõmmisfailist ntfsundelete'iga Nagu nimigi viitab, võimaldab ntfsundelete andmete taastamist vaid NTFS failisüsteemiga andmekandjatelt. ntfsundelete ei toeta otse tõmmisfailist andmetaastet, vaid töötab ainult füüsilistel kettaseadmetel. Seepärast tuleb esmalt tekitada virtuaalselt plokkseade, millele saab seejärel külge haakida tõmmisfaili. Virtuaalse plokkseadme loomiseks tuleb välja arvutada nihe (offset) baitides, ehk mitmendal baidil partitsioon hakkab. Andmekandja üks sektor on 512 baiti, seega tehe *512, mille saab lasta Terminalil ära arvutada. Käsk virtuaalse seadme loomiseks: # losetup -o $((206848*512)) /dev/loop0 w7_taaste_gddrescu e.img 35

39 Üks võimalus taastamiseks oleks taastada kõik failid, mida on võimalik. Selleks käsk: # ntfsundelete /dev/loop0 -p 100 -u -v -m'*' -d./kaustkuhutaastada Programmile antakse juhised taastada kõik failid, mis on 100% ulatuses taastatavad (-p 100); kasutada taastamisvõimekust (-u); anda infot iga taastatud faili kohta (-v); taastada kõik failid, mida võimalik (-m'*'); määrata kaust, kuhu taastatud failid paigutatakse (-d). ntfsundelete võimaldab taastada andmeid ka failitüübi järgi. Näite puhul on failitüübid, mida taastada soovitud, teada. Failitüüpide järgi taastamiseks on vajalik luua tekstifail koos soovitud faililaienditega. Seda võib teha kas mõne lihtsama tekstitöötlusprogrammiga või ka käsuga: # echo $'docx\nmp3\npdf\njpg\nwmv\nmp4' > laiendid.txt Seejärel kasutada Alex Ivkini poolt loodud paarirealist skripti: # for line in $(cat laiendid.txt); do echo $line; mkdir $line; ntfsundelete /dev/loop0 -u -v -S 1k-100m -d $line -m *.$line; done Pärast käsu käivitumist antakse iga leitud faili kohta informatsiooni, näiteks kui suures ulatuses on fail taastatav. Tegemist on väga lihtsa skriptiga, mis käib rida-realt läbi loodud tekstifaili ning taastab vastavalt leitud failitüüpidele, mille failisuurus jääb 1 kb ja 100 MB vahele. Lisaks sorteeritakse taastatud failid ka failitüüpide järgi kaustadesse. ntfsundelete taastas kõik üheksa soovitud faili kümnest vaid *.docx faili ei taastatud. Andmete taastamine läks aega kõigest veidi üle kahe sekundit (joonis 24). Joonis 24. ntfsundelete'iga andmetaastele kuluva aja mõõtmistulemus Võrreldes aga taastatud failide MD5 kontrollsummasid algsete failidega, siis ükski neist ei ühtinud (joonis 25). 36

40 Joonis 25. Kontrollsummade võrdlemistulemus Failide taastamine tõmmisfailist PhotoRec'iga Erinevalt eelnevalt kasutatud programmidest, ei nõua TestDisk'i kõrvalprojekt PhotoRec partitsioonitabeli olemasolu. PhotoRec'ile pole oluline, milline failisüsteem andmekandjal on. Seega siinse töö puhul saab andmeid taastada mõlema andmekandja puhul NTFS ja HFS+. Antud tarkvaraga protsessi alustamine sarnane Testdisk'ile. Käsureal kirjutada: # photorec [tõmmisfaili asukoht ja nimi] # photorec macosx_taaste_gddrescue.img Nii nagu TestDisk'is, küsitakse ka PhotoRec'i puhul, milliselt meediumilt soovitakse andmeid taastada. Tõmmisfaili puhul on valikuid vaid üks, ehk tõmmisfail ise. Seejärel küsitakse, milliselt partitsioonilt hakata faile taastama. Allservas on ka valik "File Opt", kus on võimalik valida failitüübid, mida taastada soovitakse (joonis 29). Joonis 26. Kuvatõmmis PhotoRec'i poolt leitud partitsioonidest HFS+ tõmmisfailil Kui HFS+'i puhul suudab PhotoRec koheselt partitsioonid tuvastada, siis NTFSfailisüsteemiga annab programm teada, et leitud on tundmatu partitsioon (joonis 27). 37

41 Joonis 27. Kuvatõmmis PhotoRec'i poolt leitud partitsioonidest NTFS tõmmisfailil Andmetaasteprotsess kulgeb sarnaselt HFS+ andmekandjaga. Näite puhul on soov taastada *.docx, *.mp3, *.pdf, *.jpg, *.wmv, *.mp4 ja *.mov laienditega failid, seega valida tuleb just need (joonis 28). Valikute salvestamiseks vajutada b -klahvi. Joonis 28. Valik faililaienditest, mida PhotoRec püüab taastada Pärast seda, kui soovitud failitüübi, mida taastama asutakse, on valitud, tuleb valida joonisel 28 näidatud valikutest "Search", mille järel esmalt küsitakse kasutajalt üle, kas tegemist ikkagi on HFS+ või NTFS failisüsteemiga (joonis 29). 38

42 Joonis 29. PhotoRec küsib kasutajalt kinnitust partitsiooni failisüsteemi kohta Seejärel on andmetaasteprotsess sarnane TestDisk'ile. Tuleb noolte abil liikuda sobivasse kausta, kuhu andmed taastada. Kui sobiv kaust valitud, kajastub see ka real "Directory". Andmete taastamiseks vajutada klahvikombinatsiooni "Shift+c". Failide taastamise käigus antakse kasutajale operatiivselt teada, kui palju milliseid failitüüpe on õnnestunud taastada (joonis 30). Joonis 30. PhotoRec kuvab informatsiooni taastatud failitüüpide hulga kohta Nagu jooniselt on näha, võttis HFS+ andmekandjalt andmete taastamine aega 3 minutit 58 sekundit. NTFS andmekandjaga läks aega 3 minutit 30 sekundit. Failide taastamise protsess võtab aega sõltuvalt sellest, kui suur on andmekandja ning kui palju failitüüpe on taastamiseks valitud. Lõpuks antakse teada, kui palju faile suutis programm taastada (joonis 31). 39

43 Joonis 31. PhotoRec'i lõppraport taastatud failide hulga kohta PhotoRec üritab taastada võimalikult palju, seetõttu taastatakse suurel hulgal ka ülearuseid faile, näiteks veebilehitsejate vahemälust. Sellisel puhul on ajamahukas just taastatud andmete järelanalüüsimine millistest andmetest on vaid mingi segment alles, millised on terviklikud. Taastatud failid jagatakse kaustadesse recup_dir.1, recup_dir.2 jne. Kiire analüüsi tulemusena saab teada, et HFS+ andmekandjalt õnnestus kas terviklikult või osaliselt taastada kümnest kustutatud failist kaheksa ning töölaual olevatest kümnest seitse. Täielikult taastamata jäid kõik *.docx failid, kuid siiski suurema analüüsi käigus on väike tõenäosus need taastada sellel on pikemalt peatutud veebijuhendis. Samuti jäi taastamata üks *.mov ja *.jpg fail. HFS+ andmekandjalt taastatud failidel ühinesid kaheteistkümnel MD5 kontrollsummad algsete failidega viiel töölaual olnud failil ning seitsmel kustutatud failil (joonis 32). Joonis 32. Kontrollsummade võrdluse tulemus NTFS-andmekandjalt õnnestus taastada kaheksa faili kümnest, mis olid eelnevalt töölaual ning eelnevalt kustutatutest seitse faili kümnest. Täielikult taastamatuks jäid taaskord 40

44 *.docx failid. Kustutatud failidest ei õnnestunud taastada ka kahte *.jpg faili. MD5 kontrollsummade võrdlemise tulemusest selgus, et kõikide taastatud failide kontrollsummad ühtisid, peale ühe *.wmv faili, mis hoolimata sellest oli siiski taasesitatav meediamängija poolt Failide taastamine tõmmisfailist Foremost'iga Nii nagu PhotoRec'is, toimub ka Foremost'is andmetaaste failitüüpide järgi. Näiteks selleks, et tõmmisfailist taastada kõik eeldefineeritud failid, sobib käsk: # foremost -v -t all -i macosx_taaste_gddrescue.img -o./macosx_foremost Foremost saab kõige paremini hakkama 18 sisseehitatud failitüübiga: *.jpg, *.gif, *.png, *.bmp, *.avi, *.mpg, *.exe, *.rar, *.wav, *.riff, *.wmv, *.mov, *.pdf, *.ole, *.doc, *.zip, *.htm, *.cpp. Seega, kui failitüüp on üheks eeldefineeritutest, saab andmetaastet läbi viia sarnaselt: # foremost -v -t jpg,pdf -i macosx_taaste_gddrescue.img -o./macosx_foremost Parameeter -v ütleb programmile, et näidataks taastamisprotsessi kohta jooksvalt informatsiooni; -t määrab ära faililaiendid. Paraku pole *.docx, *.mp3 kui ka *.mp4 laiendid koheselt toetatud Foremost'i poolt, aga sellisteks juhtumiteks on programmi loojad programmile kaasa pannud seadistusfaili, kus kasutaja saab ise defineerida ka omaenda failitüüpe, vastavalt faili päisele ja jalusele. Sellel on aga pikemalt peatutud veebijuhendis. Praegu taastatakse failitüübid, mis on programmi poolt eeldefineeritud, kasutades käsku: foremost -v -t pdf,jpg,wmv,mov -i macosx_taaste_gddrescue. img -o./macosx_foremost Pärast käsu sisestamist antakse kasutajale jooksvalt teada, mis failid ning kui palju taastatud on (joonis 33). 41

45 Joonis 33. Kuvatõmmis Foremost'i taastusprotsessist Taastamisprotsessi lõpus antakse failitüübipõhiselt teada, kui palju midagi taastatud sai. HFS+ andmekandjalt taastas Foremost taastas 139 *.pdf, 893 *.jpg, 129 *.mov faili. Mõõtmistulemus andis taastamisprotsessi ajaks 4 minutit ja 49 sekundit. Soovitud failidest õnnestus taastada kõik viis (3+2) *.jpg faili ning neli (2+2) *.pdf faili. Taastatud *.mov failid olid aga mõnemegabaidised fragmendid, mis ei olnud ka taasesitatavad. Võrreldes üheksa taastatud faili MD5 kontrollsummasid algsete failidega, on tulemuseks see, et kõik nad ühtisid. NTFS-andmekandjalt taastati aga 7 *.pdf, 1567 *.jpg, 316 *.wmv ning viis *.mov failitüüpi. Ajakulu oli 4 minutit ja 28 sekundit. Nii *.mov kui ka *.wmv failid olid kõigest fragmendid. Mõningaid *.wmv faile siiski taasesitada õnnestus, kuid ainult väga väikest osa kogu videost. Taastatud *.jpg ning *.pdf MD5 kontrollsummade võrdlemine andis sarnase tulemuse HFS+ andmekandjalt taastatutega Failide taastamine tõmmisfailist recoverjpeg'iga recoverjpeg on võimeline taastama vaid *.jpg failitüüpe. Seetõttu on programmi valikud limiteeritud ning tööriist lihtsasti kasutatav. Põhikäsk näeb välja järgnevalt: # recoverjpeg macosx_taaste_gddrescue.img Kui muid parameetreid programmile ei anta, siis vaikimisi otsitakse *.jpg faile, mis on väiksemad kui 6 MiB (6,29 MB). Failid taastatakse nimega stiilis image00000.jpg, image00001.jpg, jne. Samas saab mõlemat parameetrit muuta, kasutades võtmeid -m (maxsize) ja -f (formatstring). Näiteks, kui kasutajal on soov taastada kõiki *.jpg faile, mis on kuni 20 MiB suured ning kannaksid eesliidet pilt (pilt1.jpg, pilt2.jpg), siis sobiks 42

46 käsk: # recoverjpeg -m 20m -f "pilt%d.jpg" -v macosx_taaste_ gddrescue.img Pildifailid taastatakse samasse kausta, kus käsk käivitatakse. Programmi tööst jooksvat informatsiooni kuvab võti -v (verbose). Seejärel kuvatakse informatsiooni leitud *.jpg failide kohta, näiteks mitmes fail on taastatud ning kui suur see on (joonis 34). Joonis 34. recoverjpeg annab teada leitud pildifailist Lõpuks antakse teada, kui palju pilte taastatud sai. HFS+ tõmmisfailist õnnestus taastada 483 pilti. Taastamisprotsess võttis aega 2 minutit ja 18 sekundit. recoverjpeg taastas nende seas ka kõik viis soovitud *.jpg pildifaili. Taastatud failide MD5 kontrollsummad ühinesid algsetega neljal, ühel oli see erinev. NTFS tõmmisfailist taastati 199 pildifaili ning selleks kulus 2 minutit ja 15 sekundit. Erinevalt HFS+'ist, suutis recoverjpeg taastada NTFS-i tõmmisfailist vaid neli soovitud failidest, millel kõigil siiski MD5 kontrollsummad algsete failidega ühtisid Tulemuste analüüs ja hinnang kasutatud rakendustele Järgnevalt on tabelikujul (tabel 4) analüüsitud viite rakendust, mille abil viidi läbi andmetaaste nii NTFS (Windows) kui ka HFS+ (OS X) failisüsteemiga andmekandjatel. 43