Truecrypt- Partition + gelöschte Partitionstabelle, Versionen TestCrypt, Bedienung TC

[gnomicha]

Hallo zusammen,

ich komme tatsächlich nicht allein und nur durch Lektüre ähnlicher Fälle weiter (klappte die letzten 15 Jahre immer ganz gut ).

Seid versichert, dass ich alle (!) Beiträge zum Thema gelesen habe und trotzdem eure Hilfe benötige.
Querverweis zu meinen Themen bei cgsecurity.org http://forum.cgsecurity.org/phpBB3/post7676.html#p7676 und ubuntuusers.de http://forum.ubuntuusers.de/topic/verschluesselte-installation-alle-anderen-fest/1/ zum Mitlesen.

Ich habe offensichtlich die Partitionstabelle einer Festplatte gelöscht, auf der sich neben einer verschlüsselten Windowsinstallation eine ebenfalls mit Truecrypt verschlüsselte Datenpartition befand.
Ich habe als erstes ein Raw- Image der gesamten Platte erstellt (dd if=/dev/sdb of=/media/mein.image). Dieses Image habe ich dann mit TestDisk untersucht, mit Intel-, GPT- und ohne Filesystem. Die Scans blieben ergebnislos. Ich habe versucht, die Position des Truecryptheaders zu berechnen mit dem Ziel, einen Mountversuch an dieser Stelle zu starten. Aufgrund einer Unschärfe von ca. 1,5 Millionen Sektoren habe ich den Weg, das manuell zu testen, ergebnislos abgebrochen

Durch das Forum bei cgsecurity.org bin ich auf TestCrypt gestoßen, welches offenbar genau die Automatisierung dieses von mir gedachten (nicht erdachten ) Vorganges zum Ziel hat. Nach einigen Anlaufschwierigkeiten (Kein Windows verfügbar, Imagedatei auf ext3- formatierter Platte etc. ) habe ich von der originalen Festplatte eine Sektor- für- Sektor - Kopie auf eine (größere!) externe NTFS- Festplate vorgenommen (dd if=/dev/sdb of=/dev/sdd).

Die NTFS - Platte habe ich an einen geborgten Windowsrechner gehängt und Testcrypt (in der Version von SF.org) laufen lassen, leider ohne Ergebnis.

In einem Thread hier bei CB oder bei cgsecurtiy.org (finde ich nicht wieder ) gab es den Fall, dass Simpson474 eine andere Version für den dort vorliegenden Fall einer Festplatte mit einer Blockgröße / Sektorgröße von 4096 Byte gepostet hat. Diese Version habe ich ebenfalls ergebnislos laufen lassen.

Es bliebe als letzte Option, die originale Festplatte auszubauen und TestCrypt laufen zu lassen.
Habt ihr weitere Ideen für mich? Hat in der Vergangenheit ein Datenretter eine Platte wiederherstellen können, die mit den hier angebotenen Tips nicht gerettet werden konnte?

Grüß euch alle,
Michael

PS. Und weil es eh kommen wird , ich habe KEINE Installation auf der falschen Platte vorgenommen oder einen ähnlichen depperten Fehler gemacht.
Ich habe nur zwei Platten angesteckt gelassen, während ich eine -bislang unkritische- Installation auf einem dritten Laufwerk vornahm. Ich habe auch nur dieses dritte LW zur Installation ausgewählt und die Installation noch einmal neu gestartet, als im Dialog sichtbar wurde, dass das Abschalten im Bios den Installer nicht gestört hatte und er auf meine vorhandene erste Platte installieren wollte.
Gehe künftig wieder zur Paranoia aus Windowszeiten über und ziehe Platten physikalisch ab, auf denen ein Installer nicht schreiben darf. Und dass der Installer mir gleich beide vorhandenen Platten ordentlich gecleant hat ist nur noch ein schöner Denkanstoß für das eigene Datensicherungskonzept: Sag niemals nie

Edit: Beide verwendete TestCrypt- Versionen beigefügt

 

[Der_Dicke82]

ich nehme mal an die Partitionstabellen hast du nicht gesichert was? *gg*

Denke da bleibt am ende wirklich nur noch die Platte ausbauen und dann mit Testdisk usw. probieren ob was zu machen ist!

Ich wünsche dir jedenfalls viel Glück!

 

[gnomicha]

ich nehme mal an die Partitionstabellen hast du nicht gesichert was? *gg*

He - gute Anregung

Denke da bleibt am ende wirklich nur noch die Platte ausbauen und dann mit Testdisk usw. probieren ob was zu machen ist!

Ich wünsche dir jedenfalls viel Glück!

Danke!

 

[Simpson474]

Ich habe offensichtlich die Partitionstabelle einer Festplatte gelöscht, auf der sich neben einer verschlüsselten Windowsinstallation eine ebenfalls mit Truecrypt verschlüsselte Datenpartition befand.

War die Datenpartition getrennt von der Windows-Installation verschlüsselt? Um welche Partition geht es dir hauptsächlich - die Datenpartition oder die Windows-Installation? Hast du noch die Rescue-Disc von TrueCrypt, falls beide Partitionen mit der Systemverschlüsselung verschlüsselt wurden?

Die NTFS - Platte habe ich an einen geborgten Windowsrechner gehängt und Testcrypt (in der Version von SF.org) laufen lassen, leider ohne Ergebnis.

Die "Automatic" Option bei TestCrypt macht nur Sinn, wenn du auf eine HDD mit identischer Größe geklont hast - ansonsten solltest du per "Custom Analyzer" am Ende der ursprünglichen HDD suchen. Wie groß war die ursprüngliche HDD? Anhand dieser Daten kann man normal den Scanbereich berechnen.

 

[gnomicha]

War die Datenpartition getrennt von der Windows-Installation verschlüsselt? Um welche Partition geht es dir hauptsächlich - die Datenpartition oder die Windows-Installation? Hast du noch die Rescue-Disc von TrueCrypt, falls beide Partitionen mit der Systemverschlüsselung verschlüsselt wurden?

Jupp, war sie. Die Windowspartition ist nachrangig, die Daten sind wichtig. Windows hat keine TC- Verschlüsselung, hier habe ich mit DiskCryptor herumprobiert und konnte mich bei der Nutzung als Backupplatte nicht durchringen, die Windowspartition zu löschen.

Die "Automatic" Option bei TestCrypt macht nur Sinn, wenn du auf eine HDD mit identischer Größe geklont hast - ansonsten solltest du per "Custom Analyzer" am Ende der ursprünglichen HDD suchen. Wie groß war die ursprüngliche HDD? Anhand dieser Daten kann man normal den Scanbereich berechnen.

Die ursprüngliche Platte ist 500 GB groß, eine Hitachi HDP725050GLA360.

Ich habe mit Testcrypt folgendes gemacht:

1. Scan(versuch) mit der Option "Do not analyze" - geht natürlich nicht.
2. Scan mit der Option "Automatic", ohne Ergebnis.

Wie genau muss ich denn den Endbereich treffen, damit TestCrypt den Backupheader finden kann?

Gruß,
Michael

 

[Simpson474]

Gib mal im "Custom Analyzer" den folgenden Bereich ein und versuch damit eine Analyse:
976753168-976773168

 

[gnomicha]

Hab den Beitrag gestern zu spät gesehen.
Hatte parallel die physische Platte angeschlossen und tatsächlich den Backupheader gefunden. :thumbup:

Habe direkt die Daten auf eine andere Platte gesichert (die auf der vorher das Image lag), sodass ich das jetzt nicht mehr probieren kann. Ist natürlich für den jetzigen Fall nicht mehr relevant, aber interessiert mich für das nächste Mal. Würde mich freuen, wenn du mir (ganz kurz) die Berechnung erklären kannst und auch noch weshalb ich den Bereich nur bei einer Platte, die größer als die Ursprungsplatte ist, angeben muss.

Ist aus Recovery- Sicht die Nutzung von Containern vorteilhaft gegenüber ganzen Partitionen?

In jedem Fall bin ich Dir superherzlichbrutal dankbar für testcrypt und deine Zeit hier im Forum !!

Möglicherweise nutzen Anbieter von Recoverydiensten dein Programm, zumindest orakelte einer von seinem"speziellen Tool, welches die Platte intelligent nach Spuren von Truecrypt absucht". Sollte mich ca. 400 Euro kosten, vielleicht machst du ja jetzt eine gewerbliche Lizenz gut solche Typen.

Wieviel Euro bekommst du hier so als Spende? Gern per PM

Ist der PayPal- Button auf SourceForge für Dich oder für SF?

Gruß und nochmals herzlichen Dank,
Michael

 

[Simpson474]

Würde mich freuen, wenn du mir (ganz kurz) die Berechnung erklären kannst und auch noch weshalb ich den Bereich nur bei einer Platte, die größer als die Ursprungsplatte ist, angeben muss.

Die automatischen Einstellungen von TestCrypt sind dafür gedacht, TrueCrypt-Volumes zu finden, die am Anfang oder am Ende einer HDD liegen: in deinem Fall liegt kein Volume am Anfang (die Systemverschlüsselung wird von TrueCrypt speziell gehandhabt) und auf der geklonten HDD liegt auch kein Volume am Ende, da die zum Klonen verwendete HDD größer als die Original-HDD ist und damit das Volume bereits weit vor dem Ende der HDD endet. Die vollständige HDD wie z.B. bei TestDisk zu durchsuchen, ist bei verschlüsselten Volumes so gut wie unmöglich, da hierfür extreme Rechenzeit nötig ist: obwohl der Vorgang sehr gut parallelisiert werden kann, so würde es selbst bei modernen Rechnern immer noch Monate wenn nicht sogar Jahre dauern, mehrere TB an Daten zu durchsuchen. Aus diesem Grund sucht TestCrypt immer nur die Stellen ab, an denen potentiell TrueCrypt Volumes liegen können: der "Custom Analyzer" ist für die Spezialfälle gedacht, in denen ein Volume eben nicht am Anfang oder am Ende einer HDD liegt.

Ist aus Recovery- Sicht die Nutzung von Containern vorteilhaft gegenüber ganzen Partitionen?

Im Normalfall sind Partitionen viel dankbarer als Container: wenn das Dateisystem versagt, so ist ein Container weg - und noch viel schlimmer, meist bestehen Container nicht aus einem durchgängigen Bereich, sondern vielen Dateifragmenten. Die Rettung eines Containers ist daher immer große Glücksache und hat hier im Forum maximal in einer handvoll Fällen geklappt: besteht der Container aus mehr als zwei Fragmenten, so ist eine vollständige Rettung bei defektem Dateisystem ausgeschlossen. Außerdem muss man bei einem Container zunächst mal den normalen bzw. den Backup-Header (am besten beide) finden: im Gegensatz zu Partitionen liegen diese nicht am Anfang oder Ende einer HDD, sondern können theoretisch überall sein. Da ein vollständiges Durchsuchen wie bereits erwähnt so gut wie unmöglich ist, habe ich zusätzlich zu TestCrypt ein Tool geschrieben (müsste mal in TestCrypt integriert werden), welches TrueCrypt-Fragmente anhand der "Zufälligkeit" der Daten zu erkennen versucht: 100% genau kann man damit die Fragmente jedoch auch nicht lokalisieren, da z.B. unverschlüsselte Filme ebenfalls sehr zufällig bei der Bitverteilung wirken.

Ist der PayPal- Button auf SourceForge für Dich oder für SF?

Der PayPal-Button auf SourceForge geht an mich.