Att återskapa data från flashminnen (USB-stickor, SSD-diskar, minneskort, etc) innebär alltid en utmaning. Folk brukar undra om det inte är svårt, och jo; det är svårt. Ibland rentav skitsvårt, även med erfarenhet i bagaget.
I all enkelhet ser det ut såhär med flashminnen (oftast av NAND-typ):
[Enhet (dator, telefon, USB, …)] <=> [Controller] <=> [Flashminne]
En enhet vill spara något på minnet. Enheten skickar över informationen till Controllern, som med sin egen interna magi bakar om informationen till ett internt format, och sparar sen detta på flashminnet. Informationen ligger aldrig ”rakt”, utan den är sönderdelad i tusentals småbitar och utspritt över hela minnet.
När Enhet sen vill läsa tillbaka innehållet utförs den omvända proceduren av Controllern; samla ihop den utspridda informationen, trolla lite med bittarna, lägg allt i ”en rak linje” och ge till Enhet. Sen är det färdigt.
Men, när Enhet en vacker dag vill läsa informationen säger Controllern ”GTFO, du får inget av mig” så är det där kunder inser att de inte har en extra kopia på informationen och då ringer de hit.
Så vad är utmaningen, då? Läs ut informationen från minnet och sen är allt klart, väl?
Mnjae, så enkelt är det inte. Läser man ut informationen får man en stor blobb med massa ettor och nollor i ingen som helst ordning, för hur Controllern har sparat ner informationen vet bara Controllern. Det är inte bara användardata, det är även det man kallar för ECC (error correction codes), XOR (scrambling), interna datastrukturer och massa annat. ECC är bara checksummor för att säkerställa att datat är intakt, och är därför inget som Kunden är intresserad av. Det är Data som gäller, inget annat.
Det som görs vid en datarekonstruktion är att lista ut hur Controllern lagrat innehållet. Det gäller att hitta vilken typ av ECC-metod som använts, vilken XOR-metod som används, hur stora datastrukturerna är och var de befinner sig. För standardfall tar det runt halvtimman, men i extremfall – som ger mardrömmar med extra allt – tar det runt en arbetsdag eller uppåt.
En USB-sticka med ”knäckt kontakt” kom in till verkstan. Knäckt kontakt brukar i normalfallet innebära släppta lödningar på kontakten. Löd om dessa och sen är det frid och fröjd. Denna sticka hade dock ett totalbrott i kretskortet, så att hela kontakten med tillhörande kretskort ramlade isär vid transporteringen hit. Av ren tur klarade sig flashminnet från fysiska skador, så det gick att påbörja en rekonstruktion av innehållet. Controllern var dock av typen ”mardröm med extra allt” så det tog _lång_ tid att hitta den röda tråden, för att till slut kunna pussla ihop innehållet.
Bilderna visar, i nummerordning, följande:
1. Foto som inkom vid förfrågan.
2. Foto från mikroskopet vid inspektion av skadan.
3. Andra sidan av kretskortet.
4. Flashminnet bortlött och satt i läsaren.
5. Identifiering av flashminnet i programvaran.
6. Jakten på att försöka hitta hur Controllerns interna strukturer ser ut. Trial-and-error flera gånger och rena rama Ragnarök när allt till slut föll på plats.
7. Allt innehåll, bortsett några få zip-filer, gick att återskapa.
– – –
Sensmoral: det är svårt och enormt utmanande – och därför väldigt roligt – att återskapa data, men det är en mödosam process och är väldigt dyrt. Ett tips, som är helt gratis, är därför att säkerhetskopiera viktig data ofta och många gånger. Ha gärna kopior på säkerhetskopiorna, och förvara dem gärna i olika byggnader.
Arbetsdagen är inte slut ännu, men ha en go’ helg!
