TrueCrypt Katastrophe & Verzweiflung!

[johnyboy]

Hallo,

Ich sitze seit ein paar Tagen an einem schweren Problem mit einem TrueCrypt Volume.

Und zwar handelt es sich um eine komplett verschlüsselte Festplatte die unter OSX erstellt wurde und grunsätzlich auch nur unter OSX lesbar ist (TestDisk sagt XFS als Dateisystem..).
Aus irgend einem Grund zeigte mir TrueCrypt irgendwann in der "Select Device-Liste" nicht mehr die Festplatte und darunter die dazugehörige Partition an, sondern nur die Festplatte. Die Partition war verschwunden.
"Restore Volume Header" habe ich schon probiert leider ohne Erfolg.

Sitze jetzt mit Windows am Problem und habe auch schon TestCrypt drüber laufen lassen und das Programm findet tatsächlich beide Header. Aber wenn ich die Festplatte mounte ist diese natürlich nicht lesbar unter Windows und TestCrypt gibt es für OSX ja leider nicht.

Jetzt hatte ich überlegt ob ich nicht die Partition mit TestDisk irgendwie wiederherstellen kann so das TrueCrypt sie wieder unter OSX erkennt. Dann könnte ich sie da mounten und alle Daten normal auslesen.

Habt ihr vieleicht irgend eine Idee die mir helfen könnte ? Auf der Festplatte sind Tausende von Fotos die ich nur sehr ungern verlieren würde und nicht von allen habe ich noch ein Backup.

Wäre dankbar für jede Hilfe :-)

Gruß,
Johannes aus Köln.

 

[the_nobs]

Warum bootest nicht mi einer Linux LiveCD?
XFS sollte jedes linux können...

 

[johnyboy]

Schon probiert. Funktioniert leider nicht weil ich ja nur mithilfe von TestCrypt und nur unter Windows noch das Volume mounten kann. TrueCrypt findet weder in OSX noch in Windows noch in Linux die Parition sondern zeigt nur die Festplatte an und dann kommt eine meldung ala "Kein Dateisystem vorhanden".

Ergänzung (2. April 2012)

Hat jemand vieleicht noch eine gute Idee?

 

[the_nobs]

Du kannst ja probieren das Image low level zu kopieren
z.B. mit so einem Image Tool
http://www.partition-tool.com/easeus-partition-manager/comparison.html

und danach auf eine externe HDD kopieren
dieses Image kannst du dann unter Linux mounten und die einzelnen Daten rauskopieren

 

[johnyboy]

Danke für den Tipp! Leider ist die Partition 930GB Groß ._.' werde mir wohl ne externe 1TB Festplatte dafür zulegen müssen.

Ergänzung (2. April 2012)

Denkst du denn das das funktionieren sollte ? Ist das nicht nur irgendein Datensalat danach ?

 

[Simpson474]

Zeig mal den Screenshot von TestCrypt mit den gefundenen Headern. Damit sollte man die Partition in TestDisk wieder neu erstellen können.

 

[johnyboy]

Ah Das wäre super klasse :-)

Hier der Screenshot. TestDisk läuft gerade (bzw seit etwa 8 Stunden) und ist jetzt in diesem Analyse Modus bei 27%

 

[Simpson474]

Bei TestDisk brauchst du die Analyse nicht durchlaufen lassen. Wähl einfach "Create", HDD auswählen, "Proceed", "Intel", "Analyse", "Quick Search" und falls dieser länger dauert einfach abbrechen. Anschließend wählst du "A" für "Add Partition" und gibst die Werte ein, die TestCrypt beim zweiten Header ausspuckt. Bei Type versuchst du am besten mal HFS+ und bevor du bestätigst stellst du am besten hier noch einen Screenshot ein.

 

[johnyboy]

Klasse ! Danke für die Hilfe! Ich war schon völlig am Verzweifeln. Werde es gleich probieren. Also denkst du nicht das es XFS ist ? das hatte mir Testdisk gemeldet. Finde HFS+ auch logischer.

Ergänzung (2. April 2012)

Hm ob ich das richtig gemacht habe weiß ich nicht. Habe aber noch nicht bestätigt :-)

Also beim Scannen hat er wohl was gefunden konnte das aber nicht wiederherstellen. Daraufhin bin ich jetzt mit "A" im manuellen Modus. Du meintest ja ich soll die Werte vom zweiten Header nehmen. Habe mal markiert welche ich jetzt genommen habe.
Daraufhin habe ich die dann einzeln nacheinander eingetippt.

Also Cylinder 0 Head 0 Sector 3 und so weiter und als Dateisystem HFS ausgewählt (HFS+ gibts wohl nicht). Nachdem ich alles eingegeben hatte hab ich den Screenshot gemacht.

Was meinst du ? :-)

Ergänzung (2. April 2012)

Screenshot

 

[Simpson474]

Deine Markierung im Screenshot würde passen, allerdings sieht die Eingabe bei dir in TestDisk komisch aus. Bei mir werden die Nullen mit angezeigt, außerdem passt das Ende der Partition nicht wirklich zum Screenshot. Der Partitionstyp ist eigentlich fast egal, das entsprechende Dateisystem wird nach dem Einbinden eh über den Header am Anfang erkannt - es sollte halt nur ein Dateisystem sein, bei welchem der MAC überhaupt eine Partition anzeigt.

EDIT: Ich glaub ich den Grund gefunden, wieso es bei dir so komisch aussieht - du hast bei der Partitionslayoutauswahl nicht Intel, sondern Mac gewählt. Scheinbar war hier Apple seiner Zeit voraus und hat schon vor Jahren mit LBA-Adressen gearbeitet. Wenn du dir die Umrechnung sparen willst, so mach das ganze noch einmal mit der Auswahl Intel. Normalerweise kann das MSDOS-Layout dann auch vom MAC gelesen werden.

 

[johnyboy]

Ah danke für die Erklärung. Ich versuche es nochmal und mache dann erneut einen Screenshot.

Ergänzung (2. April 2012)

So hier mal ganz genau aufgezeigt wie ich es eingegeben habe. Habe Testdisk nochmal neu gestartet und von vorne begonnen. Stimmt das so ? Den Scan habe ich vorher nach 2-3 Minuten abgebrochen und dann halt "A".


EDIT: Habe ganz sicher Intel ausgewählt. Habs gerade nochmal gemacht. hmm

Ergänzung (2. April 2012)

Weiss nicht ob es relevant ist. Wenn ich den QuickScan mache erscheint nach etwa 30 Sekunden das hier :

Ergänzung (2. April 2012)

Und wenn ich dann abbreche, kommt das hier:

 

[Simpson474]

Die Geometrie passt nicht, deswegen kannst du wahrscheinlich die Daten nicht eintippen. Wähl in TestDisk mal direkt vor der Analyse den Punkt Geometry und ändere dort die Heads auf 255 und die Sectors auf 63.

 

[johnyboy]

Hab ich gemacht Jetzt wollte er viel weniger Cylinder scannen. Und zwar nur 121601. Habe abgebrochen. Aber dafür sieht das ganze jetzt glaube ich viel besser aus :-) Er hat mir sogar die richtigen Werte direkt vorgeschlagen. Hier nochmal ein Screenshot. Was meinst du dazu ?

 

[Simpson474]

Sieht deutlich besser aus. Bestätige jetzt mit "Done" und mach dann noch einmal einen Screenshot bevor du mit "Write" bestätigst.

 

[Ernst@at]

Wenn das Filesystem tatsächlich HFS ist, und die PArtition im Truecrypt gemounted werden kann, dann kannst Du unter Win mit dem Tool HFSExplorer lesend darauf zugreifen.

 

[johnyboy]

Super! Hier der Screenshot nach "Done".

Damit ich dich richtig verstehe. Wenn ich jetzt gleich auf Continue gehe erstellt er quasi die Grenzen der Partition wieder ? Dann würde ich einfach in OSX reinbooten und dann würde die Partition da unter der "Select Device" Liste in Truecrypt wieder unterhalb der Festplatte zu finden sein und ich könnte diese ganz normal mounten ? Oder soll ich anders vorgehen ?

Das wäre großartig, wenn das klappen würde

 

[johnyboy]

Habe ich ausprobiert. Auch mit MacDisk. Hat aber nie funktioniert. Hatte das Volume dabei über Testcrypt gemountet.

 

[Simpson474]

dann kannst Du unter Win mit dem Tool HFSExplorer lesend darauf zugreifen.

Schreibzugriff würde TestCrypt sowieso nicht zulassen, ich lass den Treiber nur ein Readonly-Volume an Windows melden. Wenn beim Schreiben der Partitionstabelle nicht so viel schiefgehen könnte, so hätte ich die Funktion schon lange in TestCrypt integriert - wäre in solchen Fällen doch hilfreich.

EDIT: Irgendwie wurde deine Antwort bei mir nicht angezeigt. Sollte eigentlich alles passen, "Continue" wählen, dann "Write" und OSX starten.

 

[johnyboy]

Leider kommt dann das:

Habe aber selbst ne Theorie dazu. Habe ja jetzt immer bei Testdisk mit dem mit Testcrypt gemounteten Volume gearbeitet. Und du hast ja eben selbst gesagt nur Lesezugriff. Liegt es daran ?

Ergänzung (3. April 2012)

So habe jetzt mal die Festplatte selbst genommen in Testdisk. Da wird mir jetzt plötzlich das angezeigt. Wenn ich mich richtig erinnere (sitze da jetzt schon viele Stunden dran und blicke nicht mehr ganz durch) war das aber vorher nicht der Fall. Soll ich jetzt einfach da wieder mit "A" und den Werten aus TestCrypt die Partition erstellen ? Oder muss ich jetzt anders vorgehen ?

 

[Simpson474]

Habe aber selbst ne Theorie dazu. Habe ja jetzt immer bei Testdisk mit dem mit Testcrypt gemounteten Volume gearbeitet. Und du hast ja eben selbst gesagt nur Lesezugriff. Liegt es daran ?

Sei froh, dass du nur Lesezugriff hattest, sonst wäre die Partitionstabelle jetzt an der falschen Stelle gelandet - du musst hier wirklich direkt mit der Festplatte arbeiten.

Hast du jetzt wirklich die richtige HDD ausgewählt? Das ganze sieht nämlich nicht gut aus, da dort zwei Linux-Partitionen drübergeschrieben sind. Ansonsten wäre das Vorgehen gleich, du musst jedoch nach dem Erstellen die beiden Linux-Partitionen mit den Pfeiltasten auf gelöscht setzen - stellt aber zunächst noch einmal sicher, dass du auf der richtigen HDD bist.