RAID 5 はディスク全体にデータをストライピングしますが、ストライピングに使用されるブロックは通常かなり大きいです。少なくともセクター全体になりますが、通常はそれよりもはるかに大きくなります。たとえば、madm のデフォルトは 0.5 メガバイトのチャンクです。 1 つのセクターでさえ、認識可能なテキストのチャンクを見つける可能性が高いほど十分に大きく、通常のチャンク サイズでは、認識可能なファイル全体がアレイの個々のドライブに存在する可能性が非常に高くなります。
これを実際にテストするために、以前は RAID-6 アレイの一部であったディスク (Seagate のおかげで利用可能になった) に Foremost のコピーを指定しました。配列のチャンク サイズは 512KB であるため、理論的には 512KB 以下のファイルはそのまま存在します。アレイ上のデータは、私が所有しているすべてのコンピューターのディスク イメージを含め、約 25 年間のコンピューター使用からのものです。
私が回復したデータの量は、率直に言って恐ろしいものでした。高校の宿題を含む Word 文書。何十年も前にアンインストールしたゲームのデータ ファイル。 WINE の 100 の異なるバージョンからの DLL ファイル。未読の Usenet 投稿に添付された画像。キャッシュされた 1 万の Web ページ。カスタム抽出ルールを追加すると、3 つの SSL 秘密鍵と 1 つの SSH 鍵が見つかりました。
もう 1 つ注意すべき点は、危険な情報を取得するために常にファイル全体を抽出する必要があるわけではないということです。たとえば、PDF の最初の 512k は目次を提供し、BMP の最初の 512k はキャプションを提供し (BMP は画像データを上下逆に保存します)、JPEG の最初の 512k はキャプションを提供できます。サムネイル。 MPEG および MP3 ファイルはストリーミングできるように設計されているため、ファイルの途中のチャンクでも有用なデータを提供できます。
RAID 5 ディスク上のデータはどの程度スクランブルされていますか?十分にスクランブルされていません。
ドライブのセクター サイズ (通常は 512B ～ 4KB) と RAID 5 のストライプ サイズ (通常は 16KB ～ 128KB、場合によってはそれ以上) を混同しているようです。 RAID ストライプ サイズは、アレイの論理的な書き込み可能サイズであるため、各ドライブのストライプの各部分にはそれだけの量のデータが含まれます。ファイル全体がストライプ サイズに収まる場合、すべてのファイルが取り外しドライブ上で連続したブロックとして表示される可能性があります。