Gerettete Dateien von verschlüsselter Festplatte entschlüsseln

[dnspics]

Hallo,
kleines Problem, bei mir hat sich eine Festplatte (Journaled Verschlüsselt) langsam verabschiedet.
Die Daten wurden mit Timemaschine gesichert um sie bei Installation wieder zurückspielen zu können.
Nun trat ein Problem auf und es wird kompliziert!

Die Timemaschine-Platte war verschlüsselt und wurde formatiert (fragt nicht!) mit einem Wiederherstellungsprogramm wurden die Dateistruktur wieder hergestellt.

Die Dateien wurden gerettet und auf eine unverschlüsselte Platte gesichert und sehen erstmal ganz normal aus!
Leider sind die Dateien immer noch verschlüsselt!!!
Wie bekomme ich nun diese Dateien wieder entschlüsselt, das Passwort ist logischer weisse bekannt!

Gruss Marcus

 

[rootie]

Ich würde jetzt einfach mal sagen: Gar nicht! Für das Entschlüsseln ist das Dateisystem verantwortlich. Mir ist kein Weg bekannt, das "nachträglich" noch zu Entschlüsseln.

Und - ich weiß Du willst so etwas nicht hören - mal ganz ehrlich: Wie kann man ein Time Machine - Backup "aus Versehen" (oder absichtlich???) formatieren? Ich denke, dass der Datenwulst, den Du nach dem Wiederherstellen jetzt hast, relativ sicher nicht von der Verschlüsselung sondern von einem fehlgeschlagenen Wiederherstellungsversuch kommt.

Von daher kann ich Dir da echt keine Hoffnung machen. Meine Backup-Strategie: Wichtige Dateien befinden sich am Original-Platz und auf der Time Machine. Absolut wichtige Dateien zusätzlich noch auf einer weiteren Platte an einem anderen Ort.

 

[dnspics]

Danke rootie,
Um ehrlich zu sein würde ich gerufen um das geschilderte Problem zu beheben, ich schreibe aber immer lieber aus meiner Perspektive.

Die Platte würde formatiert weil beim herstellen des Systemen die Platte zwar erkannt wurde aber kein Kennwort abgefragt würde für die Verschlüsselung. Und danach auch scheinbar nicht mehr erkannt wurde. Um die Platte dem System wieder kenntlich zu machen hat er sie dann formatiert und das wiederherstellungsprogramm drüber gejagt.

Wie gesagt viel Hoffnung habe ich auch nicht. Die Verzeichnis und Datenstruktur sieht erstmal Top aus aber keine Datei funktioniert mehr egal ob texte oder Bilder.
Wenn man sich z B ein Text Dokument anschaut im Editor und es mit einem funktionierenden vergleicht sieht man schon das es nur noch Hyrogluphen sind kein Header zu erkennen.

Gruß Marcus


Gesendet von meinem iPhone mit Apfeltalk

 

[Marcel Bresink]

Die Schilderung kann so nicht stimmen.

Wenn das Dateisystem verschlüsselt war, ist eine Wiederherstellung der Ordnerstruktur nicht möglich, denn diese ist ja genauso verschlüsselt. Dass man den Dateinamen wiederherstellt, aber den Dateiinhalt nicht, ist ein Widerspruch. Da kann so nicht sein.

 

[rootie]

Ja und vor allem: Was ist das für ein Lösungsansatz, eine Platte zu formatieren und ein Wiederherstellungsprogramm drüberzujagen, wenn mit der Partition an sich was nicht stimmt? Ich habe ja schon von Wunderheilung gehört, aber dass Formatieren Daten wiederbeleben kann ist mir neu...

 

[hosja]

Formatieren heißt nur die Partitionstabelle löschen. Die eigentlichen Daten bleiben erhalten. Das lässt sich in der Regel alles wieder retten. Erst das Überschreiben ist tödlich. Aber verschlüsselte Platten die nur teilweilse geretter wurden, sind vermutlich nicht mehr herstellbar.

 

[Rastafari]

Die Timemaschine-Platte war verschlüsselt und wurde formatiert (fragt nicht!) mit einem Wiederherstellungsprogramm wurden die Dateistruktur wieder hergestellt.

Vollkommen unmöglich. Genau das zu verhindern ist ja das Ziel dahinter.

Leider sind die Dateien immer noch verschlüsselt!!!

Weil das überhaupt keine Dateien sind, sondern nur Müll und völliger Nonsens.

 

[Rastafari]

Formatieren heißt nur die Partitionstabelle löschen.

Formatieren lässt die Partitionstabelle unangetastet.
Formatieren meint die Erstellung einer neuen, völlig leeren Dateiverwaltungsstruktur innerhalb einer Partition.

Dabei werden grundsätzlich grosse Teile der vorherigen Struktur überschrieben, diese Anteile sind für immer verloren. Nur der später entstandene Zuwachs an diesen Strukturen kann danach noch restauriert werden.
Die eigentlichen Inhalte werden dabei meist ebenfalls nicht berührt (sie folgen erst weiter hinten), aber ohne die passenden Strukturinformationen bleibt davon häufig nur ein zerwürfelter Haufen von beschädigten Dateifragmenten übrig.

Man stelle sich das vor wie einen gefällten Obstbaum, den man inzwischen komplett von seinen Ästen befreit hat, und der Stamm wurde abtransportiert. Was übrig bleibt ist ein riesiger chaotischer Haufen Zweige, von dem man gelegentlich noch die ein oder andere Frucht retten kann, etliche davon sind aber bis zur Ungeniessbarkeit zermatscht. Mehr ist da nicht drin.
Und im Falle eines verschlüsselten Volumes wurde der Baum nicht einfach nur gefällt, sondern mit einem ganzen Zentner Dynamit vollständig restfrei zu feinem Sägemehl gemacht. Da bleibt nichts "essbares" mehr übrig, no way.

 

[hosja]

Man stelle sich das vor wie einen gefällten Obstbaum, den man inzwischen komplett von seinen Ästen befreit hat, und der Stamm wurde abtransportiert. Was übrig bleibt ist ein riesiger chaotischer Haufen Zweige, von dem man gelegentlich noch die ein oder andere Frucht retten kann, etliche davon sind aber bis zur Ungeniessbarkeit zermatscht. Mehr ist da nicht drin..

Beispiel aus der Praxis: SD-Karte aus Foto, geglaubt das die Bilder importiert wurden, Karte formatiert, fünf neue Bilder aufgenommen, dann gemerkt die Import nicht geklappt hat, Daheim mit Datenrettungstool dran gegangen, für auf 10 Bilder alles retten können. Allerdings ist die Datenstruktur bei einem Fotoapperat auch sehr simpel.
(Zahlen sind nur gefähr)

 

[Rastafari]

Das bei Speicherkarten in Kameras benutzte FAT arbeitet seinen zur Verfügung stehenden Platz in sehr vorhersagbarer Form stur sequentiell ab, und ein Fundus von ausschliesslich JPEGs gehört zu den wenigen Dateiformaten die auch aus Fragmenten davon oft noch erfolgreich wieder zusammengesetzt werden können (nach mehr oder weniger aufwendigen Try-and-Error Spielchen).
Denkbar günstigste Voraussetzungen für eine solche Aktion.

 

[MACaerer]

Man stelle sich das vor wie einen gefällten Obstbaum, den man inzwischen komplett von seinen Ästen befreit hat.......

Die Metapher ist gut, das muss ich mir merken. Überzeugender kann man das kaum bringen.

MACaerer

 

[ImpCaligula]

Wie bekomme ich nun diese Dateien wieder entschlüsselt, das Passwort ist logischer weisse bekannt!

Wurde ja schon gesagt... gar nicht.
Aber da sieht man mal wieder.... ein BackUp mit einer Methode = "kein" BackUp...

 

[MacAlzenau]

Für mich wieder eine Bestätigung, daß man Backups nicht verschlüsseln sollte oder wenigstens _eine_ umverschlüsselte Version bereithalten sollte. Wenn alles schiefgeht, hat man da noch Chancen auf Wiederherstellung. Und ich vermute mal, daß bei einer verschlüsselten Platte eher etwas schiefgehen kann, daß unter Umständen schon wenige beschädigte Sektoren reichen, die Entschlüsselung unmöglich zu machen. Oder sehe ich das zu pessimistisch?

 

[MACaerer]

Beim verschlüsselten TM-BackUp wird nicht das TM-Medium (Platte) verschlüsselt sondern die Daten als solche. Für die Platte sind das also erst mal ganz normale Daten. Das man sie nicht ohne decodieren lesen kann ist ein anderes Thema, eine höhere Wahrscheinlichkeit für einen Ausfall des Dateisystems besteht aber eigentlich nicht.
Nichtsdestowenigertrotz halte ich persönlich das Verschlüsseln von BackUp-Daten nicht gerade sinnvoll. Da gibt es sicher bessere Methoden die Daten zu schützen, wenn es denn unbedingt sein muss und wenn man das BackUp-Medium einfach im Panzerschrank einschließt.

MACaerer

 

[MacAlzenau]

Keine höhere Wahrscheinlichkeit, daß das Dateisystem ausfällt, das meinte ich nicht. Sondern daß die Entschlüsselung nicht mehr klappt, wenn nur ein kleiner Teil der Daten ausfällt. Bei einem unverschlüsseltern System kann man dann lesbare Teile erhalten, und bei einem Text fehlt dann vielleicht eine Seite - verschlüsselt ist aber die ganze Datei verloren. Meine Befürchtung war nun, daß das komplette Volume einen einheitlichen verschlüsselten "Block" bildet, der sich dann nicht mehr entschlüsseln lässt, also Komplettverlust.

 

[ImpCaligula]

Für mich wieder eine Bestätigung, daß man Backups nicht verschlüsseln sollte oder wenigstens _eine_ umverschlüsselte Version bereithalten sollte.

Absolut. Meine BackUps auf die TC zu hause sind aber verschlüsselt, da bei Diebstahl ich nicht möchte, dass man an die wichtigen persönlichen (Bankdaten und Co) heran kommt. Aber es gibt eben auch noch ein zweites BackUp...

 

[Rastafari]

Meine Befürchtung war nun, daß das komplette Volume einen einheitlichen verschlüsselten "Block" bildet, der sich dann nicht mehr entschlüsseln lässt, also Komplettverlust.

Das ist korrekt. Verschlüsselte Volumes dürfen keinerlei Manipulation zulassen, ein einziges gekipptes Bit auf Hardwareebene macht somit das gesamte Volume nicht mehr mountbar. Hopp oder Topp.
Eine andere Stuation ergäbe sich,wenn ein "normaler" Dateisystemfehler innerhalb des Volumes auftritt. Solche Inkonsistenzen sind reparierbar, (fast) genauso wie bei anderen auch.