sciencetalk

Al onze devices hebben een bepaalde opslaglimiet. Wanneer dat limiet bereikt is zou men dus niet nog meer kunnen opslaan op die betreffende device. Nou las ik laatst een verhaal over een crimineel die gevonden was doordat een gespecialiseerd bedrijf foto's had gevonden op een telefoon. Die foto's waren inmiddels verwijderd, maar stonden blijkbaar nog wel ergens (onzichtbaar voor een normaal persoon) opgeslagen. Ik heb dit vaker gehoord, dat een verwijderde foto eigenlijk niet echt verwijderd is en dat iemand met de juiste kennis die foto's weer kunnen terugvinden. Echter, op het moment dat je een foto verwijderd hebt krijg je weer een beetje ruimte op je device om een nieuwe foto op te slaan. Ik vroeg me daarom af of tot in hoeverre zo'n limiet ooit bereikt kan worden als je verwijderde foto's in feite nog steeds opgeslagen zijn?
 
 

Als die foto (of welk ander bestand ook) verwijderd wordt, dan blijft het staan maar het geheugen wordt wel vrijgegeven, als beschikbaar voor wanneer er nieuwe bestanden moeten worden opgeslagen.
 
Het kan dan ook ieder moment overschreven worden. En dan is het wel, voorgoed, verdwenen.

Op het moment van verwijderen worden niet alle bits terug naar 0 gezet. Er wordt slechts toegang gegeven om de betreffende bits te overschrijven als het nodig is.
Zolang dat betreffende geheugen niet opnieuw gebruikt wordt, blijft de oude configuratie bestaan, en die is dan nog af te lezen.
 
Omdat een bit in werkelijkheid ook nog een magnetisch veld heeft, is na het overschrijven zelfs nog mogelijk om de voorgaande situatie af te lezen. Het vergt wel diepgaande kennis om dit klaar te spelen. Zou je dit willen voorkomen, dan moet het meerdere keren overgeschreven worden.

Bij flash geheugen is het echter zo dat men het gelijkmatig wil belasten, dus zal eerst een tot dusver ongebruikt deel worden gebruikt voor  nieuwe bestanden. Daardoor kunnen foto's etc heel lang terug te vinden zijn. Maar schrijf je het geheugen helemaal vol met nieuwe bestanden dan zijn de oude wel verloren. 
 
Met forensische technieken is het soms wel mogelijk om een overschreven bestand terug te halen door te kijken naar kleine variaties in lading etc. Als je het een keer of 5 met random data overschrijft is het echt definitief weg. 

Het hangt natuurlijk wel af van het opslagmedium of een bit magnetisch wordt opgeslagen. Op een USB-stick of SSD is dat niet het geval.

zo speciaal is die kennis niet je kan allerlei gratis software vinden die bestanden voor je kan terughalen.
maar je bent wel de oorsprongkelijke namen van de bestanden kwijt.
 
Als je iets definitief kwijt wilt dan kan je beter de drager in de shredder/magnetron/openhaard gooien

boertje125 schreef: zo speciaal is die kennis niet je kan allerlei gratis software vinden die bestanden voor je kan terughalen.

 
Dat werkt alleen indien de bestanden niet overschreven zijn. Het ging over wel overschreven bestanden. Dan werkt die software niet.

Inderdaad, als het overschreven is heb je bijzondere technieken (en apparatuur) nodig die bijvoorbeeld direct naar signalen van de koppen op een harde schijf kijken, of voltages in flashgeheugens. Bij een harde schijf is het vaak wel mogelijk om te zien van de toestand was voor het (1x, misschien 2x) overschreven werd. Voor flashgeheugens is dat lastiger, zeker gezien er nu vaak al 3 of 4 bits in 1 cel worden opgeslagen. De ladingsverschillen worden dan zo klein dat het na 1x overschrijven al niet meer te zien is. 
 
Recovery van flashgeheugens gaat echter vaak beter omdat er minder overschreven wordt door load spreading, een magnetische harde schijf schrijft waar ruimte is, hoogstens niet naar de eerst mogelijke plek om fragmentatie te voorkomen, maar daarmee is de kous wel af. 
 
Fysiek vernietigen van het medium is het beste, maar soms niet wenselijk als je het apparaat op zich wilt blijven gebruiken maar zeker wilt weten dat een bestand er definitief niet meer afgehaald kan worden. Paar keer helemaal volschrijven met random data werkt dan prima.