Über den Papierkorb gelöschte Dateien unwiderrufl. löschen

[Matze]

Hallo zusammen!

Gibt es eine Möglichkeit mittels Delphi die Dateien auszulesen, die ich über den Papierkorb gelöscht habe (Restmagnatisierung auslesen etc.) oder eine kostengünstige Komponente (Freeware wäre natürlich besser), mit der so etwas möglich ist?

[Luckie]

Ich denke, da wirst du direkt auf die Hardware zugreifen müssen. Das erfordert zum einen einen Treiber und zum anderen genaue Kenntnisse des zugrundeliegenden Dateisystems, um sie korrekt wieder herstellen zu können.

[Matze]

Also hier steht folgendes:

Zitat:

Zitat von www.softguide.com

Wenn eine Datei gelöscht und der Papierkorb geleert wird, ist die Datei nicht automatisch unwiederbringlich verloren. Windows markiert den Festplattenbereich, den diese Datei belegt hat, einfach als freien Speicherplatz. Bis zu dem Zeitpunkt, an dem der Bereich überschrieben wird, stehen die Chancen gut, die Verlust-Datei wiederherstellen zu können.

Ich denke, man müsste die Festplatte bitweise auslesen und gucken, wie eine Datei markiert ist. Ich kenne mich da leider auch nicht genau aus, aber beim bitweisen Auslesen müsste es diese Dateien theoretisch auch finden.

[Luckie]

Du hast was von Restmagnetisierung geschrieben, da bin ich davon ausgegeangen, dass die Platte in zwischen schon formatiert wurde oder die Bereiche Überschrieben wurden, die zum Überschreiben freigegeben wurden. Wenn du eine Datei löschst, dann wird sie in der Dateizuordnungstabelle nur als gelöscht markiert und erst dann überschreiben, wenn der Platz gebraucht wird. Wenn du davon redest, dann dürfte es reichen die Dateizuordnungstabelle auszulesen und die Dateien wiederherzustellen.

[Matze]

Genau das meinte ich, ich dachte zuerst, das geht mit der Restmagnetisierung. Code, zum Auslesen der Dateizuordnungstabelle hab eich allerdings weder hier, noch im DF oder bei SDC gefunden.
Ich wusste gar nicht, dass so etwas auch über die Dateizuordnungstabelle funktioniert.

Falls es jemanden interessiert: Mein Hintergedanke ist der, dass ich so bereits gelöschte Dateien überschreiben kann, damit sie unwiderruflich gelöscht werden.

Nachtrag: Aber geht das dann auch unter einem NTFS Dateisystem?

[Waldteufel]

Hi. :hi:

Zitat:

Zitat von Matze

Falls es jemanden interessiert: Mein Hintergedanke ist der, dass ich so bereits gelöschte Dateien überschreiben kann, damit sie unwiderruflich gelöscht werden.

Überschreib die Datei doch einfach vor dem Löschen. Das ist viel unkomplizierter. ;-)
Allerdings: (Fast) alles, was gelöscht wurde, kann wiederhergestellt werden. Das einzige, was hilft ist Festplatte in ganz ganz, ganz kleine Stückchen* schreddern.

PS: @Matze: Ich schätze mal, alle außer dir dachten, du willst eine gelöschte Datei wiederherstellen... :mrgreen:

*PPS: Auch mehrfach überschriebene Daten lassen sich wiederherstellen. Die Firma Vogon ( http://www.vogon.de ) hat den Ruf, dass sie (wie schon gesagt: fast) alle Daten wiederherstellen kann, die irgendwie futsch gegangen sind. Angeblich ( http://www.vogon.de/festplattenrettu...tenrettung.htm ) klappt das sogar bei Headcrashs und sonstigen mechanischen Schäden.

//edit: PPPS: Ändere doch den Titel in "Datei unwiederruflich löschen" oder so... Dann ist eher verständlich, was du willst ;-)

[Matze]

Aber einige haben bereits Dateien gelöscht und stellen mit Erschrecken fest, dass sich diese Wiederherstellen lassen.

[Luckie]

Such mal hier nach Shredder, da solltest du fündig werden.

[Matze]

Also einen Algorithmus zum Löschen habe ich, aber danke für den Tipp, ich habe leider nur das hier gefunden:

Zitat:

Zitat von Hagen

Man muß grundsätzlich unterscheiden zwischen DATEN und DATEIEN. Jo, Dateien vollständig zu löschen ist echt keine Kunst.

Und mir ginge es ja nur um Dateien. Vielleicht liest das hier Hagen zufällig und ann mir erklären, wie es geht, falls es kein anderer kann. ;)

[St.Pauli]

Edit: :angel2: :angel2: :angel2: den Post bitte vergessen -> hatte Koponente mit Programm verwechselt

[Phistev]

Wenn die Dateien noch im Papierkorb liegen: <LW>:\Recycled bzw. <LW>:\Recycler\<SID>. Dort dann einfach alle Dateien bearbeiten. Wenn der Papierkorb schon geleert wurde, kannst du nur hoffen, die Einträge in der FAT/MFT wiederzufinden. Ich hab' mal ein paar "Schablonen" für die Einträge angehängt. Doku des Formats auf Anfrage.

[negaH]

Eine Datei zu löschen ist recht simpel. Bevor sie in den Papierkorb verschoben wird, sprich mit DeleteFile() gelöscht wird, werden drei Aktionen durchgeführt.

1.) Datei wird geöffnet und merhmalig mit einem bestimmten Bytemuster überschrieben, zb. $AA, $55, $FF, $00 und danach Zuifallsbytes. Diesen Vorgang nennt man Wipe.
2.) Datei wird mit einem Zufallsnamen versehen und die Dateiattribute werden zufällig geändert, besonders die Daties.
3.) Datei wird nun Sektorenweise verkleinert, Truncation. Und nach jeder Verkleinerung, um 512 Bytes, wird die komplette Festplatte vollgeschrieben um sicherzustellen das die freigewordenen Sektoren/Cluster auch wiederverwendet wurden. Auf diese Weise zerstört man die FAT-Verlinkungen der ehemals belegten Cluster der zu löschenden Datei.

Alle 3 obigen Schritte lassen sich mit direkten Zugriffen auf die Festplatte und deren FAT natürlich wesentlich effizienter programmieren als das mit normalen Windows-API möglich ist.

ABER! nun kommen wir zum eigentlichen Unterschied zwischen unserer zu löschenden Datei und deren inhaltlichen Daten. Denn die Datei kann man ohne Problem vollständig löschen deren enthaltene Daten aber eben NICHT.
Dazu muß man den gesammten Lebenszyklus dieser Datei und iherer Daten betrachten. Zb. eine WinWord DOC Datei soll gelöscht werden. Das ist kein Problem aber die in dieser Datei enthaltenen Daten können nie 100%'tig gelöscht werden. Denn WinWord hat im Windows-OS schon diese Daten an allen möglichen Orten verstreut. Sie liegen in Fragmenten in der Swap Datei, in verschiedenen anderen temporären Dateien, in WinWord eigenen Auslagerungsdateien wie die Zwischenablage und in unbenutzen Sektoren der FAT die während des Löschens der Datei schon längst nicht mehr zu dieser Datei zugeordnet sind. Solche FAT Sektoren mit den ursprünglichen Daten der Datei entstehen immer dann wenn die Datei in ihrer Größe mehr oder weniger Sektoren auf der HD benötigt, die Datei also gekürzt oder vergrößert wird.

Das Löschen einer Datei vernichtet also auf Systemen wie Windows + Anwendungen wie WinWord + Benutzerverhalten nicht im mindestens auch die sicherheitsrelevanten Daten selber. Ergo: ohne entsprechend sicheres Betriebsystem, ohne entsprechende Anwendung und dem nötigen Benutzerverhalten ist das nachträgliche sichere Löschen von Dateien ziemlich sinnfrei.

Fazit: jede Software die von sich selber behauptet Dateien UND deren Daten auf Windowssystemen sicher löschen zu können MUSS eine Werbe-lüge sein.

Abhilfe, im begrenzten Rahmen, würden:
- online Hardwareerweeiterungen sein, wie auf Hardware basierende Verschlüsselungen direkt in den Festplatten
- softwaremäßige virtuelle Laufwerke die die Daten immer verschlüsselt ablegen, gibts als Freeware mit Sourcen
- die NTFS eigene Verschlüsslung falls man dem Microsoft eigenen Verschlüsselungsverfahren vertrauen möchte, ist in Win2k/XP von Hause aus kostenlos integriert.

Diese Verfahren verhindern aber eben nicht das das Betriebsystem selber die sicherheitsrelaventen Daten verstreut. Sie verhindern nicht das die Anwendung selber, wie WinWord, die Daten an andere Orte verstreut, und sie verhindern nicht das der Anwender selber unsachgemäß seine Daten verteilt.

Das sichere Löschen von Dateien macht also nur dann Sinn wenn man auch sicherstellen kann das vorher nicht die geringste Information über die Daten irgendwo anders hin verteilt wurde. Und exakt das ist auf Windowssystemen fast unmöglich und macht das sichere Löschen also fast sinnlos.

Gruß Hagen

[Daniel G]

Zitat:

Zitat von negaH

Das sichere Löschen von Dateien macht also nur dann Sinn wenn man auch sicherstellen kann das vorher nicht die geringste Information über die Daten irgendwo anders hin verteilt wurde.

Oder man gleich die komplette HD mit o.g. Methode löscht, gelle Hagen?

[negaH]

Selbst das soll nicht sicher sein. Soweit wie ich weis werden die HD's von zb. Bankinstituten unter hohen Sicherheitsauflagen komplett zerschreddert, bis daraus grobkörniger Elektronikschrott geworden ist. Desweiteren gibt es hochspezialisierte Firmen die sich die Aufgabe gesetzt haben solche Daten wiederherzustellen. Dort geht man soweit das man die Spuren der HD's per Elektromagnetischem Laserverfahren abtastet und so auch Daten die leicht "neben" den Spuren liegen wieder lesen kann. Dabei spielt es keine Rolle mehr ob die HD Platten deformiert sind.

Man muß also stark differenzieren: Will oder muß man es absolut perfekt und sicher machen oder reicht einem eine erhöhte und scheinbare Sicherheit aus. Man wird also Kompromisse machen müssen.

Aus meiner rein analytischen Sichtweise heraus muß man zur Feststellung gelangen das die meisten rein Softwarebasierten Verfahren nicht den ausreichenden Schutz liefern können.


Gruß Hagen