TrueCrypt Container "Nicht zugeordnet"

[ekin06]

Ok. Packen wir's an. Folgende Ausgangssituation:

Zwei NTFS-Partitionen werden auf einem Datenträger erstellt. Wir gehen dabei davon aus, dass beides primäre Partitionen sind und die zweite direkt an der ersten angelegt wird. Ob das wirklich so war, kann man nur noch schlecht nachvollziehen. Gehen wird jetzt aber weiter davon aus, dass bei deiner Neuinstallation die erste Partition gleich groß geblieben ist und die zweite aus dem MBR geflogen ist, so können wir die Informationen vom Ende der Partition eins dazu nutzen, den Anfang der zweiten ursprünglichen Partition zu finden. Alternativ, könnte man auch mit einem Hex-Editor im zu vermutenden Bereich nach dem Anfangssektor mit möglichen verschlüsselten Daten zu suchen, da ja der NTFS-Header der Truecrypt-Partition verschlüsselt ist. Den Bereich bis zum Ende der Platte könnte man in eine neue Datei/Partition sichern und dann mounten.

Da wir ja zunächst mit Testdisk arbeiten, suchen wir das Ende der Partition 1. In einem Beispiel, habe ich 2 x 10000MB Partition erstellt und die Partition 2 "schein"-gelöscht. Weitere gefundene Partitionen sind Spielereien von vorher.

Bei einer Sektorgröße von 512Byte enspricht 10000MB (Windows) -> 10000 x 1024 x 1024 / 512 = 20.480.000 Sektoren. So können wir die Sektorgröße unserer gesuchten Partition berechen und mit den Ergebnissen überprüfen.

Wir starten Testdisk (mit Log wenn man später etwas nachvollziehen will, ansonsten ohne)...


Wir wählen unseren Datenträger...


Wählen den entsprechenden Partitionsstil (in unserem Fall automatisch richtig gewählt "Intel")...
​

Wir wählen Analyse um einen Überblick des Datenträgers zu bekommen...


Wir sehen im Überblick Partition 1 und die Partition 2 (welche wir gleich löschen). Wie man schön sehen kann, liegt der Beginn der Partition 2, einen Sektor hinter dem Ende der Partition 1.


Eine Schnellsuche zeigt, das Testdisk sofort an das Ende der letzten bekannten Partition springt, um gelöschte Partitionen zu suchen (sucht ab Cylinder 2549).


Da wir das nicht möchten / brauchen, brechen wir ab. Eine Partition wurde aber trotzdem gefunden...


Wie ist das möglich? Wir haben doch den Vorgang abgebrochen? Ein Blick auf die Partition und den unteren Bildschirmrand, verrät uns des Rätsels Lösung...


Wir ignorieren das mal, da wir ja eine Partition manuell hinzufügen wollen. Deshalb markiere ich jetzt die Partition 2 und 3 als gelöscht und drücke die Taste "a"...


Beginn der gesuchten Partition:
Testdisk orientiert sich jetzt bei den nachfolgenden Werten an der ersten Partition, da diese die einzige ist, die noch existiert. In gelb noch einmal zur Erinnerung die Werte der Partition 1. Wenn der vorgeschlagene Wert um nur 1 Sektor abweicht, also Cylinder und Heads gleich sind, können wir alle Start-Parameter blind mit Enter bestätigen. Wenn nicht, müssen die Werte entsprechend dem Ende der Partition 1 angepasst werden und 1 Sektor addiert werden. Wird Sektor-Beginn > 63 müssen wir Cylinder=Cylinder, Heads=+1 und Sektor=0 setzen. Wird dadurch Heads > 254 müssen wir auch Cylinder=+1 rechnen, Heads=0 und Sektor=0 setzen (wird wahrscheinlich eher selten vorkommen).


Ende der gesuchten Partition:
Kennen wir das Ende der Partition NICHT, bestätigen wir blind - die Partition wird dann den restlichen hinteren Teil der Festplatte einnehmen. KENNEN wir das Ende, so müssen die entsprechenden Parameter CHS-Ende angepasst werden, da sonst möglicherweise existierende Partition(en) am Ende der Festplatte überschrieben werden könnten!
Zum Schluss setzen wir das gewünschte Dateisystem.


Wie man sehen kann, existieren jetzt zwei Partitionen nach unserem Geschmack. Wir kontrollieren noch einmal und bestätigen mit "Enter". Danach schreiben wir mit "Write" die Partitionen fest auf die Festplatte.
(Es ist wichtig, dass ein Backup der Festplatte oder der Partitionsstruktur existiert, falls unsere Annahme falsch war und wir noch einmal von vorne starten können).



Wie man sehen kann, wurde aus der kleinen Partition eine große. Für unser Beispiel und auch für dich, spielt das eigentlich keine Rolle. Es wäre nur wichtig, wenn die Partition irgendwo mittendrin liegen würde um ggf. noch auf einen Backup-Header (welches am Ende der Partition liegt) zurückgreifen zu können.


Im Truecrypt/Veracrypt nun entsprechend Partition wählen... Viel Glück!



Sollte diese Methode bei dir nicht zum Erfolg führen, können wir gerne über HxD-Hexeditor versuchen dein Truecrypt zu extrahieren, das dürfte sogar einfacher sein...

 

[Biermarke]

Puh, danke für deine so detaillierte Anleitung. Ich kann leider kein 1 zu 1 Kopie der Festplatte erstellen, da ich nirgendwo so viel Speicher habe. Ich würde von daher lieber über den Hexeditior versuchen die Daten zu retten. Insofern das halt weniger gefährlich im Bezug auf Datenverlust ist?

 

[ekin06]

Aber auch dafür brauchst du was, wo du die Daten hinkopieren kann. Hast du nirgendwo eine externe Festplatte? Wenn nicht wäre das eh ein längst überfälliger Schritt da mal eine zu besorgen.

 

[Biermarke]

Entschuldige die späte Antwort, es hat leider etwas länger gedauert, bis ich mir eine externe Platte organisieren konnte. Ich habe in der Zwischenzeit aber bisschen mit Testdisk herum analysiert, aber nichts geschrieben. Jetzt wollte ich deine Anleitung befolgen, aber nunmehr zeigt er mir die Partitionen wie folgt an:



Wenn ich deine Methode richtig verstanden habe, dann dürfte die kaputte Partition (16708) hinter der Systempartition liegen (16709). Ich habe nicht ganz verstanden, was es mit der "63" jetzt aufsich hat. Muss ich die neu setzen, wenn ja bei welcher der beiden kaputten Partitionen und wie?

Doppelt ist sie die kaputte wohl gelistet, weil einmal mit Truecrypt gemountet und einmal physisch da.

 

[ekin06]

Nein, so wie jetzt alles ist sieht es gut aus. Auch die Größe stimmt. Die partition 2 ist nicht doppelt (alle Parameter sind gleich), sieh erscheinen nur so, da er die Information vermutlich noch aus einer anderen Quelle bezieht. Genaue Informationen darüber siehst du wenn diese auswählst (im nächsten Screen glaub ich).
Du kann jetzt ein Backup der Struktur anlegen und danach die Struktur so schreiben.

Ergänzung (7. Februar 2018)

Achte darauf das bei P1 ein "*" steht und bei P2 ein "P". Alle anderen evtl. (Falschen) gelisteten Partition "D".

 

[Biermarke]

Hmm wenn ich danach auf Backup klicke, kommt folgendes:



Wenn ich das bestätige, kommt dann:

 

[ekin06]

Ja, jetzt musst du "Add Partition" mit den Informationen der Partition 2 aus

Brauchst du eigentlich nur abschreiben. Der Reihe nach Eingeben.
16708, 0, 1, 38912, 254, 63, 07 (NTFS), OK->WRITE

 

[Biermarke]

Hab ich gemacht. Habe danach auch das System neu gestartet, funktioniert leider noch immer nicht. Habe das ganze jetzt nochmals gemacht und nen Screen gesetzt.

 

[ekin06]

Truecrypt mag die Partition nicht? Mal mit backup-Header probiert?

Ergänzung (7. Februar 2018)

Ansonsten müssen wir jetzt mal mit HxD suchen, wenn mit Backup Header nicht geht.

 

[Biermarke]

"Backup Volume Header" lässt er mich gar nicht ausführen. Da schreibt er das Truecrypt Passwort sei falsch oder gar kein Truecrypt Volumen vorhanden. Also selbe Fehlermeldung wie beim mounten ohne "Mount partition using system encryption without pre-boot authentication".

 

[ekin06]

Ich kenne die Funktion nicht, was macht die konkret? Wenn du es erstmal ohne probierst?
Edit: achso hast du ja.

Also ich vermute die Größe der 1. Partition hat sich etwas geändert, deshalb haut das nicht hin.

 

[Biermarke]

Die Funktion benötigt man glaube ich, wenn man z.B. verschiedene Betriebssysteme oder Dateiformate hat. In dem Fall habe ich ja RAW. Auch wenn ich im Testdisk auf NTFS setze, zeigt er mir noch immer RAW an.

Vielleicht liegt es daran und die Größe hat sich nicht geändert? Sollte sich die Größe geändert haben - was kann man da machen?

 

[ekin06]

Unabhängig davon ob sie sich vergrößert oder verkleinert hat, müssen wir jetzt mal suchen wo Truecrypt anfängt. Wir stochern sonst jetzt noch Tage im schwarzen. Lade dir schon mal HxD. Wir suchen dann den letzten Sektor der Partition 1 auf (wie im Testdisk "Größe in Sektoren"+-) und schauen mal was dort danach oder davor für Daten stehen.

 

[Biermarke]

Hallo ekin.

Ich wollte mal nachfragen wie wir jetzt weitertun. Ohne Anweisungen komme ich nämlich mit dem HxD nicht wirklich weiter.

 

[ekin06]

Du musst versuchen herauszufinden wo der verschlüsselte Datenstrom beginnt. Wenn die erste Partition am Ende leer ist/war, sollte das kein Problem sein das festzustellen. Im Prinzip wirst du zu dem letzten Sektor der ersten Partition springen müssen (siehe Testdisk). Dann schaust du ob nach dem NTFS Backup header abrupt ein Wirrwarr von Daten beginnt. Wenn nicht liegt die Partition doch weiter hinten. Wenn bereits vor dem NTFS Backup Header Daten zu sehen sind, könnte der Container auch eher beginnen... Wobei ich das eher für unwahrscheinlich halte. Den NTFS Header erkennst du am "NTFS" zu Beginn eines Sektors (niemals mitten drin!). Wenn du nicht gleich etwas findest, überspringe Sektoren in 10000er Schritten und dann 1000er um die Sache einzukreisen. Kannst gerne ein Screenshots machen (am besten gleich Mal vom Ende der ersten Partition und ein paar Sektoren weiter).

Ergänzung (17. Februar 2018)

Achso, du musst hxd als Admin starten sonst bekommst kein Zugriff auf die ganze Platte (wie schon Testdisk).
(Pass aber auf... Daten können hier überschrieben werden wenn man speichert.)
Über Extras dann Disk öffnen.