Lexique de la récupération de données

Termes

Du bitmap d'allocation au wear levelling

Cluster

La plus petite unité par laquelle un système de fichiers attribue de l'espace aux fichiers. Un fichier occupe toujours des clusters entiers, même s'il est plus petit. exFAT utilise couramment des clusters de 4 Ko à 32 Mo.

Secteur

La plus petite unité physiquement adressable d'un support, généralement 512 ou 4096 octets. Plusieurs secteurs forment un cluster.

Carving

Une technique qui parcourt le flux de données brut à la recherche de débuts de fichiers connus et en extrait les fichiers. Elle fonctionne sans système de fichiers mais perd noms, horodatages et structure de dossiers.

Fragmentation

L'état dans lequel un fichier n'est pas stocké de façon contiguë mais réparti sur plusieurs zones distinctes. Les fichiers fragmentés sont particulièrement difficiles pour le carving, car la suite ne se trouve pas directement après le début.

DCIM

Digital Camera Images : le nom de dossier normalisé dans lequel les appareils photo enregistrent leurs prises. Un dossier DCIM vide ne signifie pas nécessairement que les données ont physiquement disparu.

exFAT

Extensible File Allocation Table : le système de fichiers avec lequel les cartes SDXC et microSDXC sont formatées d'usine. La spécification est publiée officiellement.

FAT (table d'allocation)

Une table qui indique, pour les fichiers fragmentés, quel cluster suit lequel. Dans exFAT, elle n'est nécessaire que pour les fichiers fragmentés ; les fichiers contigus utilisent un indicateur dans l'entrée de répertoire.

Bitmap d'allocation

Une carte de bits dans laquelle exFAT note pour chaque cluster s'il est occupé ou libre. Lors d'une suppression, le bit y est remis à zéro tandis que les données elles-mêmes subsistent d'abord.

Volume boot record

Le premier secteur d'un système de fichiers. Il contient tous les paramètres de structure : taille de secteur, taille de cluster, position de la FAT, début du cluster heap et premier cluster du répertoire racine.

Zone d'amorçage de secours

Une copie de la zone d'amorçage qu'exFAT place au secteur 12. Si la zone principale est endommagée, la copie peut rétablir la structure.

Cluster heap

La zone d'un support exFAT où résident les données réelles des fichiers. Sa position de départ figure dans le volume boot record.

Formatage rapide

Un formatage qui ne recrée que les structures de gestion et laisse les zones de données intactes. Les enregistrements restent donc souvent reconstructibles tant que rien de neuf n'a été écrit.

Formatage complet

Un formatage qui écrase ou vérifie en outre la zone de données. Une récupération n'est ensuite généralement plus possible.

Écrasement

L'écriture de nouvelles données sur une zone de stockage. Le contenu écrasé est définitivement perdu ; aucun logiciel ne peut le récupérer.

Image disque

Une copie non compressée et fidèle au secteur d'un support entier, sous forme de fichier, couramment avec les extensions IMG, DD, RAW ou BIN. À ne pas confondre avec les fichiers photo RAW.

Wear levelling

Une technique du contrôleur de mémoire flash qui répartit uniformément les écritures sur les cellules. Elle fait que les adresses logiques ne correspondent pas durablement aux mêmes cellules physiques.

TRIM

Une commande par laquelle un système d'exploitation indique au stockage quelles zones ne sont plus nécessaires. Ces zones peuvent alors être effacées immédiatement, ce qui rend la récupération bien plus difficile, voire impossible.

MBR

Master boot record : la table de partitions classique dans le premier secteur d'un support. Elle décrit jusqu'à quatre partitions primaires et leurs positions de départ.

GPT

GUID partition table : la table de partitions plus moderne, sans les limites du MBR. Elle conserve en outre une copie de secours à la fin du support.

Signature de fichier

Une séquence d'octets fixe au début d'un fichier permettant d'en reconnaître le format. JPEG commence par exemple par FF D8 FF et WAV par les caractères RIFF.

Conteneur

Un format de fichier regroupant plusieurs flux de données, par exemple l'image et le son d'une vidéo. MP4, MOV et MXF sont des conteneurs ; le contenu vidéo qu'ils renferment est encodé avec un codec.

Codec

La méthode par laquelle des données d'image ou de son sont encodées et décodées. Un conteneur intact ne garantit pas encore que les données du codec qu'il contient soient complètes.

Démultiplexage

La séparation d'un conteneur en ses flux de données individuels. Y parvenir sur toute la durée est un indice fort de fichier complet.

Le suffixe .UNVERIFIED

Un marquage dans le nom de fichier pour un résultat dont l'exhaustivité n'a pas pu être confirmée. C'est un suffixe technique qui n'est pas traduit.

FOUND.000 et CHK

Un dossier créé par une réparation du système de fichiers sous Windows, ainsi que les fichiers de fragments qui s'y trouvent. Ils proviennent de CHKDSK et ne sont pas des fichiers multimédias réguliers.

RAW (format photo)

Le format capteur non traité d'un appareil photo, comme CR3 chez Canon ou ARW chez Sony. Un fichier RAW contient généralement un aperçu intégré, dont l'affichage ne prouve pas encore que les données du capteur soient complètes.