Dyski SSD są szybkie, ciche i odporne na wstrząsy, dlatego od lat zastępują klasyczne dyski twarde HDD. Niestety z punktu widzenia odzyskiwania danych mają jedną bardzo istotną cechę: po usunięciu plików, sformatowaniu partycji lub przywróceniu systemu odzyskanie danych często staje się niemożliwe.
Powodem nie jest „brak odpowiedniego programu”, tylko sposób działania nowoczesnych nośników SSD. Kluczowe znaczenie mają tutaj mechanizmy TRIM, Garbage Collection oraz wewnętrzny translator SSD.
W klasycznym dysku twardym HDD po usunięciu pliku system operacyjny najczęściej usuwa jedynie informację o tym, gdzie dany plik był zapisany. Same dane przez pewien czas nadal mogą fizycznie znajdować się na talerzach magnetycznych. Dopóki nie zostaną nadpisane nowymi danymi, istnieje szansa ich odzyskania.
W dysku SSD sytuacja wygląda inaczej. SSD zapisuje dane w kościach pamięci NAND, a ich pracą zarządza kontroler. System operacyjny i kontroler SSD stale współpracują, aby nośnik był szybki i równomiernie się zużywał. Dlatego po usunięciu plików system może poinformować dysk, że określone obszary nie są już potrzebne. Do tego służy komenda TRIM.
TRIM to polecenie wysyłane przez system operacyjny do dysku SSD. Informuje ono nośnik, że określone sektory logiczne nie zawierają już potrzebnych danych użytkownika i mogą zostać przygotowane do ponownego użycia.
Dla użytkownika jest to korzystne, bo SSD dzięki temu utrzymuje wysoką wydajność, szybciej zapisuje nowe dane i ogranicza niepotrzebne zużycie komórek pamięci. Z punktu widzenia odzyskiwania danych jest to jednak bardzo poważny problem.
Po wykonaniu TRIM dysk może zwracać z tych obszarów same zera albo pustą zawartość. Oznacza to, że program do odzyskiwania danych widzi już nie stare zdjęcia, dokumenty czy filmy, lecz logicznie wyczyszczony obszar.
Drugim ważnym mechanizmem jest Garbage Collection, czyli wewnętrzne porządkowanie pamięci NAND przez kontroler SSD.
Pamięć flash nie działa tak samo jak talerz magnetyczny. Dane można zapisywać szybko, ale przed ponownym użyciem zajętych komórek trzeba je wcześniej wyczyścić. Kontroler SSD przenosi więc ważne dane w inne miejsca, a obszary oznaczone jako niepotrzebne przygotowuje do ponownego zapisu.
To wszystko może odbywać się automatycznie, także wtedy, gdy użytkownik nie kopiuje żadnych plików. W wielu przypadkach wystarczy samo podłączenie SSD do zasilania lub komputera, aby kontroler rozpoczął wewnętrzne procesy porządkowania.
Dlatego w przypadku omyłkowego usunięcia danych z SSD najgorszą rzeczą jest dalsze używanie dysku, instalowanie programów do odzyskiwania, skanowanie go w systemie albo wielokrotne podłączanie do komputera.
W przypadku HDD program może przeskanować powierzchnię dysku i odnaleźć pozostałości dawnych plików. W przypadku SSD po wykonaniu TRIM bardzo często nie ma już czego skanować.
Program widzi wtedy:
Nie oznacza to, że program jest słaby. Oznacza to, że dysk SSD przestał udostępniać stare dane. Jeżeli kontroler SSD uznał określone bloki za niepotrzebne i zostały one wyczyszczone lub odłączone od aktualnego translatora, zwykłe oprogramowanie nie ma dostępu do poprzedniej zawartości.
Translator to wewnętrzny mechanizm kontrolera SSD, który mapuje adresy logiczne widoczne dla komputera na fizyczne bloki pamięci NAND.
Użytkownik i system operacyjny widzą dysk jako ciąg sektorów, np. od początku do końca pojemności nośnika. W rzeczywistości dane są rozkładane po wielu kościach NAND, kanałach, blokach i stronach pamięci. To kontroler SSD decyduje, gdzie fizycznie trafi dany fragment danych.
Po usunięciu danych, formatowaniu lub działaniu TRIM aktualny translator może już nie wskazywać na stare dane. W praktyce komputer widzi czysty obszar, a dawna zawartość przestaje być dostępna standardową drogą.
W zaawansowanych przypadkach laboratoria odzyskiwania danych próbują pracować z nośnikiem w trybie technologicznym, analizować firmware, moduły serwisowe i mapowanie translatora. Jednak nie zawsze jest to możliwe. Jeżeli dane zostały faktycznie wyczyszczone przez kontroler SSD, odzysk nie będzie możliwy nawet przy użyciu profesjonalnego sprzętu.
Profesjonalna diagnostyka SSD pozwala ocenić firmware, translator i stan nośnika, ale nie cofa skutków wykonanego TRIM.
Profesjonalne laboratoria odzyskiwania danych korzystają z narzędzi takich jak ACE Lab PC-3000 SSD oraz Data Extractor. Są to rozwiązania przeznaczone do diagnostyki, pracy w trybach technologicznych, ładowania specjalnych loaderów, analizy firmware, emulacji translatora i wykonywania kopii posektorowych nośników uszkodzonych.
W niektórych przypadkach takie narzędzia pozwalają uzyskać dostęp do danych mimo problemów z firmware, uszkodzeniem elektroniki, błędami translatora lub niestabilną pracą SSD. Czasami możliwe jest również zatrzymanie części procesów działających w tle, aby ograniczyć dalszą degradację danych.
Trzeba jednak jasno powiedzieć: PC-3000 nie jest „magicznym przyciskiem cofającym TRIM”. Jeżeli SSD zdążył wykonać czyszczenie bloków, a z obszaru użytkownika odczytywane są wyłącznie zera, to dane mogą być bezpowrotnie utracone.
W nowoczesnych laboratoriach odzyskiwania danych istnieją metody pracy z wybranymi kontrolerami SSD w trybie technologicznym. W niektórych modelach możliwy jest dostęp do wcześniejszych wersji translatora, czyli wewnętrznej struktury odpowiadającej za powiązanie adresów logicznych widocznych dla komputera z fizycznym położeniem danych w pamięciach NAND.
Oznacza to, że w określonych przypadkach dane po szybkim formacie lub usunięciu mogą być częściowo albo nawet w dużym zakresie dostępne mimo działania TRIM. Nie dotyczy to jednak wszystkich dysków SSD, wszystkich kontrolerów ani każdej sytuacji.
Szansa odzysku zależy m.in. od:
Im dłużej dysk SSD pracuje po usunięciu danych, tym większe ryzyko, że wewnętrzne procesy dysku usuną lub nadpiszą informacje potrzebne do odzysku.atychmiast po usunięciu danych odłączy dysk i nie wykonuje żadnych dalszych operacji. Każde kolejne uruchomienie systemu, instalacja programu, skanowanie, kopiowanie plików lub ponowne formatowanie może pogorszyć sytuację.
Jeżeli dane są ważne, należy natychmiast przestać używać nośnika.
Nie należy:
Najbezpieczniejsze działanie to wyłączenie komputera i przekazanie dysku do laboratorium odzyskiwania danych. W warunkach laboratoryjnych można ocenić, czy nośnik nadal zawiera dane, czy też został już wyczyszczony przez TRIM i wewnętrzne procesy SSD.
W dyskach SSD procesy porządkowania mogą działać bardzo szybko. Czasami dane znikają niemal natychmiast po usunięciu plików lub szybkim formatowaniu. W innych przypadkach część danych może być jeszcze dostępna przez pewien czas. Nie da się tego jednak przewidzieć bez analizy konkretnego nośnika.
Dlatego przy SSD obowiązuje prosta zasada: im szybciej dysk zostanie odłączony od zasilania i trafi do specjalisty, tym większa szansa na rzetelną ocenę sytuacji.
Po usunięciu danych z dysku SSD odzyskanie plików często jest niemożliwe z powodu działania komendy TRIM, Garbage Collection oraz wewnętrznego translatora nośnika. W przeciwieństwie do klasycznych dysków HDD, SSD może bardzo szybko przestać udostępniać dawną zawartość usuniętych plików.
Profesjonalne narzędzia laboratoryjne, takie jak ACE Lab PC-3000 SSD i Data Extractor, pozwalają przeprowadzić zaawansowaną diagnostykę oraz pracę w trybie technologicznym. Mogą pomóc w wielu trudnych przypadkach, ale nie są w stanie odtworzyć danych, które zostały już fizycznie lub logicznie wyczyszczone przez kontroler SSD.
Jeżeli usunąłeś ważne dane z SSD, najważniejsze jest jedno: natychmiast przestań używać dysku. Nie instaluj programów do odzyskiwania i nie wykonuj kolejnych prób na własną rękę. Każda dodatkowa operacja może zmniejszyć szanse na odzyskanie danych.
W QDR wykonujemy profesjonalną analizę nośników SSD, NVMe, SATA, M.2 oraz dysków zewnętrznych. Sprawdzamy, czy dane nadal są dostępne, czy też zostały już wyczyszczone przez mechanizmy SSD. Dopiero po takiej analizie można rzetelnie określić realne możliwości odzyskania danych.
Jeżeli usunąłeś ważne dane z dysku SSD, NVMe, M.2 lub zewnętrznego nośnika flash, nie instaluj programów do odzyskiwania i nie wykonuj kolejnych prób na własną rękę. Skontaktuj się z QDR — wykonamy profesjonalną analizę nośnika i ocenimy realne możliwości odzyskania danych.
