Відновлення даних із зашифрованого сховища: все, що потрібно знати

Шифрування сховища захищає дані, перетворюючи блоки секторів з відкритим текстом на зашифрований текст, який виглядає як псевдовипадкові послідовності символів, гарантуючи, що конфіденційна інформація залишатиметься нечитабельною для користувача без правильних облікових даних для дешифрування. Проте забезпечуючи захист даних, шифрування також змінює підхід до відновлення даних. У разі стандартних незашифрованих накопичувачів програмне забезпечення для відновлення даних часто може реконструювати пошкоджені файлові системи або ідентифікувати видалені файли, просканувавши необроблені сектори на наявність розпізнаваних шаблонів, метаданих та сигнатур файлів. Однак коли йдеться про зашифрований запам'ятовувальний пристрій, дані на ньому залишатимуться нечитабельними, доки він не буде розшифрований.

Успіх відновлення інформації із зашифрованого сховища визначається двома ключовими факторами: наявністю у користувача ключів дешифрування, паролів або парольних фраз та присутністю на носії критично важливих метаданих шифрування. Після виявлення причини втрати даних, незалежно від того, чи це фізична несправність, пошкоджені метадані чи інша логічна проблема, до сховища можна отримати доступ через звичайне дешифрування, що не зачепить його вміст. У цьому посібнику перелічені основні типи шифрування та поширені причини втрати даних із зашифрованих сховищ, а також надані рекомендації, яких слід дотримуватися для безпечного відновлення даних із зашифрованого сховища.

Основи відновлення даних із зашифрованого сховища

У разі звичайного незашифрованого накопичувача операційна система має безпосередній доступ до даних та структур, що зберігаються у його розділах. Зашифроване сховище на додаток до згаданих даних і структур має ще й рівень шифрування, але точне розташування цього рівня залежить від різновиду застосованого шифрування. Це може бути шифрування на рівні апаратного забезпечення пристрою для зберігання даних або його контролера, на рівні операційної системи, файлової системи чи окремого тому або у межах зашифрованого контейнера чи віртуального диска. Тому для зчитування або відновлення захищених файлів програмне забезпечення для відновлення даних має спочатку ідентифікувати відповідний рівень шифрування, а потім розшифрувати його за допомогою правильних облікових даних, паролів чи ключів.

Залежно від особливостей конкретного носія процес відновлення може охоплювати кілька логічних рівнів:

• Сховище даних: фізичний або віртуальний носій, який містить необроблені дані (наприклад, HDD, SSD, NVMe, SAN/LUN або образ диска). У системах із апаратним шифруванням процес шифрування може відбуватися всередині самого пристрою для зберігання або підключеного контролера, а не на рівні операційної системи.

• Рівень шифрування: йдеться про компонент, відповідальний за шифрування та розшифрування збережених даних. Залежно від технології це може бути контролер диска, USB-міст, драйвер операційної системи, зашифрований контейнер, віртуальний диск, файлова система або компонент платформи, що відповідає за безпеку даних.

• Відображення розшифрованого блоку або файлової системи: логічне відображення даних, доступне після успішного дешифрування відповідного рівня шифрування. Залежно від типу це може бути розшифрований блоковий пристрій, змонтований контейнер, віртуальний диск або розшифровані файли в межах зашифрованої файлової системи.

• Керування розділами та томами: структури, як-от GPT/MBR, LVM або Dynamic Disks, що визначають розділи, межі томів, а іноді і логічні чи динамічні томи.

• Файлова система, як-от NTFS, APFS, Ext4, XFS або Btrfs, відповідає за організацію каталогів, записів про файли, метаданих, журналів, інформації про розподіл простору для зберігання та даних користувача.

Ця складна ієрархія демонструє, чому відновлення зашифрованих даних не може виконуватися за єдиним тим самим сценарієм. Збій може статися на різних логічних рівнях, і вибір методу відновлення залежить від того, який саме рівень зазнав пошкодження. Якщо носій має фізичні несправності, метадані шифрування пошкоджені або доступ до рівня шифрування у звичайному режимі з якоїсь причини неможливий, для відновлення може знадобитися стабілізація пристрою, створення його посекторного образу або спеціалізована обробка на апаратному рівні перед тим, як перейти до власне аналізу захищених даних. Якщо носій вдається розшифрувати у звичайному порядку, але файли з нього були випадково видалені або його файлова система зазнала ушкодження, процес відновлення може відбуватися на рівні розшифрованих даних або файлової системи з використанням звичайних методів аналізу файлової системи та, за потреби, методу пошуку файлів за їхніми сигнатурами.

Відновлення даних із зашифрованих носіїв не передбачає зламу чи обходу шифрування. Надійні алгоритми шифрування розроблені таким чином, щоб розшифрування даних без відповідного криптографічного ключа було просто неможливим. Тому успіх відновлення значною мірою залежить від наявності дійсних облікових даних (пароля, парольної фрази чи ключа відновлення) або від можливості витягнути неушкоджені дані ключа відновлення із самої системи шифрування.

Отримавши відповідні облікові дані або ключ відновлення, програма для відновлення матиме змогу застосувати їх для розшифрування даних під час їх зчитування для подальшого аналізу, залишаючи оригінальний зашифрований вміст незмінним. Знявши шифрування, дані на носії можна буде проаналізувати для відновлення відповідних структур сховища чи файлової системи та повернення втраченої інформації.

Протягом усієї процедури вихідний носій має використовуватися виключно в режимі лише для читання, оскільки запис навіть незначної кількості нових даних може змінити метадані шифрування або перезаписати дані, необхідні для відновлення втраченої інформації. За можливості відновлення слід виконувати з посекторного образу або іншої відповідної копії, а не безпосередньо з вихідного пристрою. Такий підхід дозволяє запобігти запису будь-яких даних на вихідний накопичувач з боку операційної системи.

Різновиди шифрування сховища

Шифрування може бути реалізоване на різних рівнях сховища даних, і його конкретне розташування визначає спосіб доступу до зашифрованих даних, а також те, які облікові дані чи метадані знадобляться для їх відновлення. Нижче наведені основні типи шифрування:

Шифрування на апаратному рівні та самозашифровані диски (SED/TCG Opal)

У разі самозашифрованих накопичувачів (з англ. Self-Encrypting Drives або SED) шифрування та дешифрування виконуються безпосередньо в контролері накопичувача за допомогою спеціалізованих апаратних засобів. Дані, що записуються на накопичувач, шифруються з використанням внутрішнього ключа шифрування носія (з англ. Media Encryption Key або MEK), тоді як доступ до цього ключа контролюється механізмом автентифікації, визначеним у налаштуваннях безпеки накопичувача (це може бути, наприклад, пароль, PIN-код або автентифікація перед завантаженням).

Оскільки операції шифрування виконуються всередині самого накопичувача, хост-система зазвичай не має прямого доступу до розшифрованих блоків даних. Операція безпечного стирання даних, що знищує або перезаписує ключ шифрування носія, може зробити наявні зашифровані дані взагалі недоступними, навіть якщо сам носій (зокрема його флешпам'ять або магнітні пластини) залишається фізично неушкодженим. Отже, успіх відновлення даних залежить від стану накопичувача (має залишатися неушкодженим) та наявності облікових даних або спеціальних апаратних засобів, необхідних для його розблокування.

Шифрування на апаратному рівні за допомогою чіпу-мосту

Деякі зовнішні накопичувачі, зокрема певні моделі MyBook та MyPassport від WD, використовують шифрування за допомогою моста USB-to-SATA або іншого апаратного контролера. Цей міст виконує криптографічне перетворення даних під час їх передачі між хост-системою та самим носієм даних.

Це має великий вплив на відновлення даних, оскільки сам міст чи контролер та його криптографічні параметри можуть бути частиною системи шифрування. Тому підключення накопичувача через інший інтерфейс або заміна мосту може призвести до того, що дані відображатимуться лише в зашифрованому вигляді без можливості дешифрувати їх. У цьому разі для відновлення даних може знадобитися вихідний міст (контролер) або спеціалізована обробка на апаратному рівні для реконструкції процесу розшифрування даних.

Шифрування повного диска та окремих томів засобами операційної системи

Шифрування за допомогою ПЗ працює на рівні вище апаратного забезпечення накопичувача та нижче або паралельно з файловою системою, залежно від реалізації:

• BitLocker від Microsoft шифрує томи та захищає ключ шифрування тому за допомогою одного або кількох засобів захисту ключа (з англ. key protectors). До них можуть належати модуль TPM, PIN-код, пароль, ключ запуску, пароль відновлення або ключ відновлення. Пароль відновлення BitLocker складається з 48 цифр.

• Linux Unified Key Setup (LUKS1 та LUKS2) забезпечує стандартний формат керування зашифрованими блоковими пристроями під Linux. Заголовок LUKS містить слоти для ключів (з англ. keyslots), що дозволяють використовувати різні парольні фрази або ключі для розблокування того самого тому.

• FileVault від Apple інтегрований у архітектуру шифрування APFS у сучасних системах macOS. На комп'ютерах Mac із процесорами Apple Silicon або чипом T2 обробка ключів FileVault інтегрована у Secure Enclave, а конкретна ієрархія ключів залежить від апаратного забезпечення та налаштувань безпеки.

Дізнатися більше: покрокові інструкції з відновлення даних з накопичувачів, захищених окремими технологіями шифрування, наведені в наших статтях, присвячених відновленню файлів зі сховищ із шифруванням BitLocker, сховищ із шифруванням LUKS та зашифрованих томів APFS від Apple.

Окремі зашифровані контейнери (TrueCrypt та VeraCrypt)

VeraCrypt та його попередник, TrueCrypt, дозволяють створювати зашифровані контейнери у вигляді файлів або шифрувати цілі розділи та пристрої. Стандартні томи VeraCrypt спроєктовані так, що зашифровані дані не розкривають очевидного підпису файлової системи чи ідентифікатора тому. Заголовок тому містить інформацію, необхідну для отримання та відновлення ключів шифрування цього тому.

Стандартні томи VeraCrypt також містять вбудований резервний заголовок поблизу кінця тому, який можна використати в разі пошкодження основного заголовка. Томи із системним шифруванням мають іншу структуру й не мають вищезгаданого резервного заголовка.

Шифрування на рівні файлів (eCryptFS)

Шифрування на рівні файлів захищає окремі файли та, залежно від реалізації, назви каталогів й інші метадані файлової системи, замість того, щоб шифрувати весь блоковий пристрій. Прикладом такого підходу до шифрування є технологія eCryptFS, яка створює шар зашифрованої файлової системи поверх звичайної файлової системи.

Для відновлення потрібен доступ до відповідних облікових даних для дешифрування та достатній обсяг інформації для відбудови зашифрованої файлової системи та її метаданих. Оскільки шифрування відбувається на рівні файлів, отримання доступу до сховища, всередині якого вони знаходяться, саме по собі не робить захищені файли доступними для читання.

Дізнатися більше: будь ласка, перегляньте нашу статтю про відновлення даних, зашифрованих за допомогою eCryptFS.

Зашифровані віртуальні диски та образи дисків

Деякі віртуальні диски та образи дисків також можуть бути зашифрованими, як-от зашифровані віртуальні диски VMDK, а також образи дисків DMG і sparsebundle, що використовуються в середовищах Apple.

Коли шифрування застосовується безпосередньо до віртуального диска або образу диска, програмне забезпечення для відновлення даних має спочатку отримати доступ до зашифрованого контейнера та відповідні облікові дані або ключі, перш ніж матиме змогу проаналізувати файлову систему, що міститься всередині нього. У віртуалізованих середовищах гіпервізор або сама платформа зберігання даних може застосовувати власне додаткове шифрування.

Дізнатися більше: будь ласка, ознайомтеся з інструкціями з відновлення даних із дисків віртуальних машин у нашому спеціальному посібнику.

Шифрування мережевих систем зберігання даних (NAS)

Залежно від виробника, мікропрограми (прошивки) та конфігурації пристрої NAS можуть мати шифрування на різних рівнях:

• Шифрування тому: шифрування може застосовуватися до тому або пулу зберігання даних поверх масиву RAID або рівня керування сховищем. Тому для відновлення може знадобитися відтворення RAID або інших структур сховища, перш ніж зашифрований том можна буде розблокувати.

• Шифрування спільних папок або окремих файлів: деякі NAS можуть шифрувати лише спільні папки або окремі файли, а не весь пристрій для зберігання даних. У таких випадках рівень шифрування діє поверх файлової системи або тому, а для відновлення потрібні відповідні облікові дані або ключі.

Тож перед початком відновлення потрібно визначити точну ієрархію сховища та ключовий механізм керування даними у ньому, спираючись на модель NAS, версію мікропрограми (прошивки) пристрою та його конфігурацію.

Дізнатися більше: будь ласка, перегляньте докладні інструкції із відновлення даних із пристроїв NAS.

Вбудоване шифрування файлових систем (ZFS та fscrypt)

Деякі файлові системи та технології зберігання даних пропонують власні вбудовані функції шифрування, не покладаючись на сторонні технології шифрування блокових пристроїв. До цих систем належать, зокрема, OpenZFS та окремі файлові системи Linux, як-от Ext4 та F2FS, які пропонують шифрування на рівні файлів за допомогою fscrypt.

Дізнатися більше: огляд поширених типів файлових систем та їхніх характеристик можна знайти у статті про основи файлових систем.

Такі рішення можуть шифрувати вміст файлів і, залежно від технології та конфігурації, назви файлів або інші метадані файлової системи, залишаючи при цьому певні структури вищого рівня сховища цілком доступними для аналізу за допомогою програми з відновлення. Програмне забезпечення для відновлення даних має розпізнати конкретний тип шифрування та отримати відповідний ключ (до набору даних, файлової системи або для загортання даних), щоб отримати доступ до захищених даних.

Прив'язка до апаратного забезпечення платформи (TPM та Secure Enclave)

Ключі шифрування також можуть бути захищені апаратними засобами платформи, як-от Trusted Platform Module (TPM), віртуальний TPM (vTPM) або Secure Enclave. Ці компоненти можуть прив'язувати видачу ключа до облікових даних для автентифікації, а в деяких конфігураціях — до показників стану завантаження системи.

Така прив'язка до апаратних компонентів може ускладнити відновлення даних у випадках, коли зашифрований накопичувач переміщують на інший комп'ютер або коли вихідна система більше не функціонує належним чином. Незалежне середовище для відновлення не може просто витягнути чи використати ключ, захищений модулем TPM або Secure Enclave. Тому для відновлення потрібен альтернативний механізм або дані для розблокування носія, не прив'язані до наразі недоступного апаратного забезпечення (як-от, наприклад, пароль або ключ відновлення BitLocker).

Типи збоїв зашифрованого сховища

Щоб виконати відновлення даних із зашифрованих томів, у першу чергу слід визначити сутність проблеми: фізична несправність, проблема з шифруванням даних, втрата облікових даних чи збій логічного характеру. Усі можливі проблеми з зашифрованим носієм можна розділити на чотири категорії:

• Деградація фізичного носія та несправність апаратного забезпеченя: пошкоджені (биті) сектори, вихід з ладу зчитувальних головок або зношення флешпам'яті NAND можуть зачепити ділянки на фізичному носії, у межах яких зберігаються заголовки томів, слоти для ключів або інші метадані шифрування. Пошкодження критично важливих метаданих шифрування може унеможливити розшифрування накопичувача, навіть якщо більша частина даних на ньому залишається неушкодженою.

• Логічне пошкодження метаданих шифрування: випадковий перерозподіл розділів, форматування диска, перевстановлення операційної системи або переривання процесу зміни розміру тому можуть призвести до перезапису чи обрізання заголовків шифрування або інших метаданих, необхідних для отримання доступу до зашифрованих даних. Якщо критичні метадані були пошкоджені або втрачені, операційна система чи програмне забезпечення для відновлення можуть перестати розпізнавати зашифрований том або відображати його як такий, що не піддається розблокуванню.

• Збої платформи чи засобів шифрування та проблеми з обліковими даними: такі збої можуть виникати навіть тоді, коли сам носій даних і метадані шифрування залишаються неушкодженими. До типових сценаріїв належать наступні:

  • Заміна материнської плати або зміна стану захисту платформи, через що том, зашифрований за допомогою TPM, переходить у режим відновлення замість автоматичного розблокування.

  • Втрата доступу до віртуального TPM, конфігурації віртуального диска або інших компонентів, необхідних для розблокування зашифрованого віртуального диска.

  • Пошкодження або заміна апаратного компонента, який виконав шифрування (наприклад, мосту шифрування USB-to-SATA), що може унеможливити відтворення шляху розшифрування носія.

  • Втрата облікових даних, як-от пароль чи ключ відновлення BitLocker або парольні фрази LUKS.

• Логічні пошкодження розшифрованої файлової системи: у зашифрованому томі також можуть виникати стандартні логічні проблеми, як-от пошкодження індексу каталогів, зараження шкідливим програмним забезпеченням, випадкове видалення файлів або пошкодження таблиці розділів. У таких випадках навіть після належним чином виконаного розшифрування операційна система не може змонтувати або розпізнати файлову систему.

Дізнатися більше: за порадами щодо вибору програмного забезпечення для вирішення конкретної проблеми втрати даних, будь ласка, зверніться до статті про вибір програмного забезпечення для відновлення даних.

Відновлювані та невідновлювані дані

Перш ніж витрачати час і зусилля на відновлення, варто оцінити його доцільність, визначивши фізичний стан носія та цілісність метаданих шифрування, а також перевіривши наявність облікових даних для дешифрування. Всі сценарії відновлення можна умовно поділити на такі, за яких дані можна відновити за допомогою програми; такі, які вимагають ремонту апаратного забезпечення або втручання у лабораторних умовах; та випадки, коли відновлення інформації з носія технічно неможливе.

Безпечне відновлення: неінвазивне отримання даних

Запуск утиліт для відновлення роботи диска або операційної системи безпосередньо на ураженому зашифрованому носії несе великий ризик. Для безпечного відновлення інформації варто створити образ диска та уникати найменших змін вихідних даних; за можливості відновлення слід виконувати з образу, а не з вихідного накопичувача:

• Створення посекторного образу диска: не рекомендується запускати утиліти з діагностики або виконувати інші операції, які мають на меті "полагодити" носій, бо вони можуть змінити вихідні дані на ньому. Уражений пристрій потрібно підключити до хост-машини через апаратний блокувальник запису або в режимі лише для читання та створити його посекторний образ або клон і зберегти його на іншому надійному носії. Якщо накопичувач видає помилки під час читання або має пошкоджені (биті) сектори, слід застосовувати спеціалізовані методи створення образів, щоб зберегти якомога більше даних, мінімізуючи навантаження на вихідний пристрій.

  Дізнатися більше: покрокові інструкції зі створення образу диска можна знайти у відповідній статті.

• Перевірка заголовка та пошук резервних метаданих: перш ніж монтувати або аналізувати зашифрований том, слід перевірити цілісність його криптографічних структур всередині образу диска. Деякі системи шифрування зберігають додаткові метадані або резервні заголовки, які стануть у пригоді для відновлення інформації у разі локалізованого пошкодження. Якщо основний заголовок не вдається знайти, програмне забезпечення для відновлення може перевірити інші місця потенційного розташування метаданих шифрування, визначені форматом шифрування, для пошуку вцілілих резервних метаданих, слотів для ключів (keyslots) чи інших параметрів, потрібних для дешифрування накопичувача.

• Віртуальне розшифрування: слід уникати розшифрування вихідного носія або образу безпосередньо на місці. Натомість зашифрований образ можна представити у вигляді віртуально розшифрованого тому, застосовуючи необхідні ключі під час зчитування зашифрованих блоків. Це дозволяє залишити вихідний зашифрований образ диска незмінним під час аналізу розшифрованих даних.

• Логічний аналіз та отримання файлів: отримавши доступ до розшифрованого представлення даних, можна проаналізувати структури розділів і файлові системи, не змінюючи вихідний образ. Можна виконувати розбір пошкоджених структур файлової системи, відновлювати записи про файли та дерева каталогів, а також застосовувати методи пошуку файлів за сигнатурами, коли це доцільно. Відновлені дані слід зберегти на окремий справний носій.

Застереження під час відновлення із зашифрованого сховища

Оскільки механізми шифрування даних розроблені спеціально для захисту інформації від несанкціонованого доступу, звичайна системна діагностика та автоматизовані системні процеси можуть ненавмисно поставити під загрозу відновлювані дані або метадані шифрування. Тому для збереження цілісності даних на носії варто дотримуватися наступних рекомендацій:

• Уникайте спрацьовування механізму блокування пристрою: під час роботи з модулями апаратної безпеки, смарт-картами або самозашифрованими дисками не варто робити багаторазові спроби доступу до зашифрованого носія з неперевіреними обліковими даними або намагатися вручну підібрати пароль. Залежно від технології та встановлених налаштувань безпеки, надмірна кількість невдалих спроб автентифікації може спричинити тимчасову заборону на повторні спроби доступу, блокування пристрою або інші аналогічні реакції системи захисту даних, які можуть лише ускладнити відновлення файлів з носія.

• Вимкніть автоматичну ініціалізацію диска у ОС: стандартні операційні системи можуть інтерпретувати незмонтований або пошкоджений зашифрований том як невідформатований. Тож система може запустити на ньому процеси автоматичного налаштування або ініціалізації, які створять нові структури розділів на пристрої, які, ймовірно, перезапишуть сектори, що містять заголовки або інші важливі метадані шифрування. Тому варто вимкнути автоматичне монтування та ініціалізацію диска на робочій станції, якою ви плануєте скористатися для відновлення даних із зашифрованого накопичувача.

• Не запускайте вбудовані утиліти для відновлення роботи дисків на зашифрованих томах: ніколи не варто запускати такі інструменти, як chkdsk або fsck, на зашифрованому накопичувачі, якщо лише правильна розшифрована файлова система вже не була розпізнана і її модифікація не є навмисною з вашого боку. Запуск утиліт для відновлення файлової системи на зашифрованому носії або неправильно розпізнаному томі може призвести до зміни структур, які все ще можуть знадобитися для відновлення попереднього вмісту сховища. Навіть якщо том успішно розшифровано, утиліти для автоматичного відновлення можуть змінити метадані пошкодженої файлової системи та зменшити шанси на успішне відновлення її попереднього стану.

• Подбайте про збереження допоміжних метаданих платформи та гіпервізора: під час роботи із зашифрованими віртуальними машинами або носіями, зашифрованими за допомогою апаратних засобів, варто подбати про збереження не тільки даних у томі, а й допоміжних метаданих. Файли конфігурації гіпервізора, файли стану NVRAM, сховища ключів та резервні копії сертифікатів можуть містити інформацію, необхідну для відбудови початкового середовища або отримання доступу до ключів дешифрування. Самого лише віртуального або фізичного диска може бути недостатньо для відновлення.

• Подбайте про те, щоб запобігти виконанню фонових операцій на пристроях на базі флешпам'яті, зокрема, команди TRIM: на носіях на базі флешпам'яті виконуються спеціальні внутрішні операції, як-от збирання сміття та вирівнювання зносу, які можуть вплинути на цілісність даних. Операції запису даних та команди TRIM, що надсилаються операційною системою, можуть призвести до того, що рівень трансляції флешпам'яті (з англ. flash translation layer або FTL) контролера SSD очистить блоки, які все ще можуть містити видалені або відновлювані дані. Тому під час відновлення даних з SSD-накопичувачів слід зробити все можливе, щоб мінімізувати операції запису та запобігти виконанню команд TRIM на них.

  Дізнатися більше: щоб отримати більше інформації про вплив TRIM на відновлення даних із SSD, будь ласка, прочитайте статтю про перешкоди для відновлення даних, спричинені цією технологією.

• Завжди обирайте інший носій для збереження відновлених даних: відновлені файли та проміжні результати сканування ніколи не слід записувати на вихідний носій або на накопичувач, на якому зберігається образ диска. Збереження будь-яких нових файлів на вихідному носії може призвести до перезапису даних або метаданих, які ще можуть знадобитися для відновлення, тоді як запис нової інформації на носій із образом може пошкодити власне образ диска. Відновлені дані завжди слід копіювати на окремий носій із достатнім обсягом вільної пам'яті.

Дізнатися більше: покрокові інструкції з безпечного відновлення даних із зашифрованих накопичувачів наведені у відповідній статті.

Останнє оновлення: 29 вересня 2026

Якщо вам сподобалася ця стаття, поділіться нею у соцмережах: