UFS Explorer Professional Recovery

TECHNOLOGIES DE STOCKAGE
UFS Explorer Professional Recovery traite les technologies de stockage des appareils modernes : disques dynamiques Windows et espaces de stockage, RAID logiciel Apple, Apple Core Storage, Time Machine et Fusion Drive, mdadm et LVM/LVM2 avec provisionnement fin sous Linux, Btrfs-RAID, ZFS RAID-Z, BeyondRAID de Drobo, RAID hybride et RAID-F1 de Synology, et d’autres configurations spécifiques. Il prend également en charge la déduplication de données de Microsoft (Windows Server) et récupère ainsi les données perdues sur des volumes NTFS et ReFS dédupliqués.

SYSTÈMES DE FICHIERS
Le logiciel accède immédiatement au contenu disponible et restaure les informations perdues sur un ensemble complet de systèmes de fichiers : Windows (FAT, FAT32, exFAT, NTFS, ReFS et ReFS3, y compris dédupliqués), macOS (APFS, chiffré compris, et HFS+), Linux (Ext2, Ext3, Ext4, SGI XFS, JFS, ReiserFS, Btrfs, F2FS), BSD et Solaris (UFS, UFS2, UFS Adaptec, ZFS) et VMware (VMFS, VMFS6). Il lit également, en lecture seule, les anciens systèmes Apple HFS et IBM/Microsoft HPFS, les systèmes de fichiers Novell NetWare (NWFS) et Novell Storage Services (NSS, NSS 64), ainsi que les supports optiques ISO 9660/Joliet et UDF.

RÉCUPÉRATION SUR RAID
Le logiciel assemble automatiquement les configurations RAID les plus variées : niveau 0 non redondant et JBOD, miroirs 1 et 1E, niveaux 3 et 4 à parité dédiée, 5, 6 et 7 à parité distribuée, ainsi que les agencements imbriqués 10, 50, 51, 60 et 61. Il reconnaît les métadonnées des contrôleurs matériels (DDF1 chez LSI, Dell et Intel, DDF2 chez Adaptec, Silicon Image, JMicron, Intel Matrix) comme celles des implémentations logicielles. Quand les métadonnées manquent, le constructeur de RAID permet de définir la configuration à la main, avec une syntaxe dédiée aux algorithmes de distribution particuliers. Il effectue aussi la reconstruction adaptative d’un RAID défectueux, par la parité (RAID 5 et 6) ou par une copie des données (RAID 1), et sait reconstruire un ensemble à partir d’images de disque en imitant les secteurs défectueux relevés dans leurs cartes. L’outil de RAID inverse fait le chemin contraire : il décompose un volume assemblé en ses composants, pour les examiner un par un.

DÉCHIFFREMENT DES SUPPORTS
Le logiciel couvre la plus large gamme de technologies de chiffrement de toutes les éditions d’UFS Explorer : LUKS et LUKS2, FileVault 2, le chiffrement APFS, BitLocker et BitLocker To Go, TrueCrypt et VeraCrypt, OpenBSD BIO et le chiffrement de fichiers eCryptFS, partages de NAS Synology, QNAP, Asustor et TerraMaster compris. Il déchiffre également les conteneurs VMDK, DMG et sparsebundle chiffrés, ainsi que les disques protégés par un pont matériel WD (JMicron JMS561 et JMS538, Symwave SW6316, Initio 1607E, Oxford OXUF943SE) des MyBook, MyCloud et MyPassport. Il n’est pas nécessaire de démarrer le système d’exploitation ni de déverrouiller le volume : le mot de passe ou la clé sont saisis dans le logiciel, qui déchiffre à la volée pour toutes les opérations suivantes.

VIRTUALISATION
Le logiciel traite les disques virtuels des principaux systèmes de virtualisation (VMware, Hyper-V, VirtualBox, QEMU et XEN) comme des périphériques physiques ordinaires, et les ouvre ou y récupère des données même lorsqu’ils sont stockés sur un RAID ou dans une autre machine virtuelle. L’opérateur peut ainsi assembler le RAID qui porte une banque de données VMware ESX (système de fichiers VMFS), ouvrir un disque virtuel directement depuis cette banque et récupérer les données de la machine sans avoir à en extraire le disque au préalable.

LECTURE DE DISQUE AVANCÉE
La méthode d’accès aux données se choisit, et un délai d’attente d’entrée-sortie se fixe en cas d’échec de lecture dû à une erreur du périphérique. Une option de lecture unique, dite à la demande, évite les demandes répétées au même emplacement du disque et enregistre les données déjà lues dans un fichier image peu dense : la charge sur un support instable s’en trouve réduite, et sa dégradation ultérieure évitée.

IMAGERIE DE DISQUE
Le logiciel crée une copie complète bit à bit d’un support, ou restreint la zone imagée à des plages précises du disque ou à un groupe de fichiers à cloner. L’imagerie intégrée propose des paramètres ajustables (délai d’attente de lecture, taille de bloc, sens, protocole, omission des blocs défectueux après plusieurs tentatives infructueuses) et sait aussi n’imager que l’espace occupé, d’après la carte du système de fichiers : sur un grand volume peu rempli, le temps de traitement s’en trouve nettement réduit. Les blocs défectueux rencontrés sont consignés dans un fichier de carte, une carte d’entropie peut être produite en même temps, et le journal des erreurs de lecture s’enregistre sous forme de rapport.

CARTES DE SECTEURS DÉFECTUEUX
UFS Explorer Professional Recovery génère des cartes de défauts pendant l’imagerie et prend en charge celles créées par d’autres solutions compatibles. Il peut se servir d’une telle carte pour définir virtuellement les secteurs endommagés d’un support, ou repérer les blocs défectueux au fil de l’eau en reconnaissant un motif de contenu donné. Il sait également produire un masque qui émule les défauts de l’espace occupé ou de l’espace libre du système de fichiers, puis employer ce masque pour l’imagerie, l’analyse et les autres opérations. Les zones masquées peuvent être remplies d’un motif au choix.

ANALYSE PERSONNALISABLE
Le logiciel offre plusieurs modes d’analyse : une analyse rapide limitée aux systèmes de fichiers désignés, une recherche approfondie, plus longue, des données perdues d’après leur contenu connu (avec la possibilité de fournir des règles IntelliRAW personnalisées), l’examen du seul espace occupé par le système de fichiers ou, à l’inverse, des seules zones libres. La procédure peut être interrompue pour vérifier le résultat intermédiaire, et ses résultats enregistrés pour être rouverts plus tard.

SECTEURS DE TAILLE NON STANDARD
Alors qu’un disque dur emploie ordinairement des secteurs de 512 octets, certains constructeurs (NetApp, EMC, HP et d’autres) utilisent dans leurs baies des formats de blocs propriétaires, qui rendent les données inaccessibles sans matériel spécialisé. UFS Explorer Professional Recovery prend en charge les disques SCSI et SAS à secteurs non standard (520, 524, 528 octets, etc.) et effectue la conversion automatique vers la taille conventionnelle de 512 octets, en écartant les métadonnées, pour la récupération ou l’accès aux fichiers.

DEEPSPAR DISK IMAGER
UFS Explorer Professional Recovery dialogue directement avec un DeepSpar Disk Imager par le réseau et restaure les fichiers des disques endommagés qui y sont raccordés, avec réglage du délai d’attente de lecture, de la taille de bloc et des autres paramètres, pour une procédure aussi sûre et efficace que possible. Le logiciel prend en charge les images produites par le DDI, y compris les images fractionnées, gère les tâches de manière asynchrone et sait faire imager par le DDI une sélection définie par une carte binaire chargée dans le programme.

OUTILS MRT
Le logiciel est compatible avec MRT Data Explorer : il ouvre les fichiers de tâches créés par ce logiciel ainsi que les cartes de défauts associées, et pilote l’imagerie effectuée par les solutions MRT (imagerie guidée par une carte binaire, choix de plages précises, de fichiers ou de dossiers). Il sait aussi charger les morceaux d’image issus d’une tâche MRT, les ordonner automatiquement et combler les manques par des octets de remplissage, pour les opérations suivantes.

ANALYSE HEXADÉCIMALE
Le logiciel travaille sur le contenu brut d’un support, d’une partition, d’un fichier ou d’un de ses fragments. L’afficheur hexadécimal met en couleur les structures de systèmes de fichiers et de RAID reconnues et s’accompagne d’un inspecteur de données brutes, de signets de position, de modèles de structure, d’un calculateur de parité, d’une fonction XOR entre deux zones, d’une comparaison de supports, d’une recherche parallèle sur plusieurs supports et d’une traduction inverse d’adresse, qui remonte d’une adresse physique au fichier ou au fragment auquel elle appartient. L’éditeur hexadécimal, lui, permet de modifier ce contenu à la main.

IMAGES FORENSIQUES ET RAPPORTS
Le logiciel lit et exploite les formats d’image forensique employés dans les enquêtes numériques, EnCase E01 et Ex01 non chiffrées et AFF4. Ces formats portent en eux la vérification d’empreinte, les métadonnées de chaîne de possession et le contrôle d’intégrité : savoir les traiter rend le logiciel utilisable là où l’authenticité de l’image doit pouvoir être démontrée. Les résultats s’exportent en rapports HTML interactifs, avec vérification d’empreinte fichier par fichier, et l’état S.M.A.R.T. des disques est suivi pendant les opérations.