Введение
Apple File System или ApFS это новая файловая система от Apple которая используется на новых Mac устройствах. Эта файловая система не является дополнением HFS +. Знакомые нам из HFS+: файл каталога, файл атрибутов, файл распределения и файл переполнения экстентов в APFS больше не существуют, как и журнал. Эта файловая система использует другую стратегию для защиты изменений в файловой системе.
Эта файловая система не является дополнением HFS +. Знакомые нам из HFS+: файл каталога, файл атрибутов, файл распределения и файл переполнения экстентов в APFS больше не существуют, как и журнал. Эта файловая система использует другую стратегию для защиты изменений в файловой системе.
Как нам известно эта система была специально оптимизирована под флеш-накопители и SSD карты.
Главные нововведения этой системы — это улучшенные алгоритмы шифрования, оптимизация использования памяти, защита от сбоев, функции клонирования файлов и папок и умное использование пространства. На практике это обеспечит более стабильную работу ОС, увеличит скорость чтения/записи данных и еще больше защитит пользовательскую информацию. Но что же делать если защита от сбоев не сработала и были утеряны данные.
Методика восстановления
ApFS предлагает возможность восстановления определенных состояний файловой системы, включая старые или удаленные версии файлов. Суперблок контейнера содержит ссылку на структуру контрольной точки. Контрольная точка ссылается на предыдущий суперблок контейнера, который содержит информацию о более старом состоянии файловой системы. Таким образом, можно восстановить несколько старых состояний путем анализа этой цепочки суперблоков контейнера.
ApFS – это файловая система с копированием при записи, поэтому каждый блок копируется до применения изменений. Таким образом, существует история всех файлов, которые не были перезаписаны и соответствуют структуре файловой системы. Это приводит к большому количеству артефактов, которые можно использовать при восстановлении файлов.
На основе этих артефактов мы определили различные подходы для восстановления файлов, которые полагаются на разные их типы в качестве точек входа. Все методы выполняют итерацию файловой системы блоками по 4096 байт, что является наименьшим размером блока, наблюдаемым в ApFS. Эти блоки проверяются на наличие структур метаданных, которые, в свою очередь, анализируются и используются для извлечения файлов.
Только Mac-компьютеры под управлением ОС High Sierra и более новыми способны читать и писать на диски с файловой системой ApFS. Для компьютеров под управлением Windows нужен специальный софт, который позволит получить доступ к файловой системе.
Программы для восстановления данных позволяют восстанавливать информацию с файловой системой APFS без дополнительного софта. Они находит такие разделы и добавляют их в менеджер дисков. Для восстановления данных вам нужно будет подключить диск к компьютеру с установленной операционной системой Windows.
Файловая система APFS устроена таким образом, что хранит данные в корневом каталоге. Здесь находятся все нужные нам директории и файлы.
Мы провели сравнительный тест самых популярных программ для восстановления данных. Все результаты вы можете посмотреть ниже.
Топ программ для восстановления данных с APFS
На системе с mac OS Catalina мы создали структуру из нескольких контейнеров в каждом из которых находятся тома. Проанализировали тестовый диск несколькими самыми популярными программами для восстановления данных.
Изначально для теста были отобраны программы Hetman Partition Recovery, R-studio, Easeus Data Recovery Wizard, Disk Drill и Recuva. Но изучив их более детально, мы пришли к выводу что Disk Drill и Recuva не поддерживают файловую систему APFS. Это очень нас удивило, так как программы входят в топ по популярности, а Disk Drill является стандартом восстановления на Mac.
Ну что ж в итоге для теста у нас было 3 утилиты: Hetman Partition Recovery, R-studio и Easeus Data Recovery Wizard.
На тестовый диск мы скопировали некоторые фото, видео и документы, а затем удалили часть данных.
Тест проводился на компьютере с ОС Windows 10.
Тест Hetman Partition Recovery
Программа определила тестовый диск с файловой системой APFS. После такого простого удаления данных достаточно выполнить быстрый анализ.
Программе удалось без труда найти все файлы, отображаются те что остались на диске и те, которые были удалены, удаленные помечены красным крестиком. В предварительном просмотре можно увидеть их содержимое. Сохранена структура диска и имена файлов.
Остается только сохранить данные на диск.
Тест R-studio
Программа также видит тестовый диск и определила тип файловой системы.
После быстрого анализа программа не отображает удаленных данных.
После полного анализа программа нашла удаленные данные, они помечены красным крестиком. Сохранилась структура диска и имена файлов, доступен пред. просмотр.
Тест Easeus
Программа отображает тестовый диск, определить его удалось по объёму, так как ни имени, ни типа файловой системы она не отображает.
Быстрого анализа здесь нет, нажав сканировать сразу запускается полный анализ.
В результате Easeus не отображает структуры диска как было в двух предыдущих программах, утеряны имена файлов, и они раскиданы по папкам в соответствии с их типом. Нет никакой пометки что эти данные удалены или это те что остались на диске и непонятно она нашла только удаленные или отображает все файлы.
Определить удалось лишь по количеству документов, фото и видео, которое отображается в каждой из папок.
Программа справилась с поставленной задачей, хотя это заняло больше времени, и она не смогла восстановить дерево каталогов!
В итоге все программы прошли первый тест. Некоторые вызвали неудобство в использовании.
Еще одно немаловажное замечание, в Easeus нет возможности сохранить образ диска и монтировать его в программу. Что не очень безопасно при утере данных. С каждым сканированием есть риск утери важных данных поэтому сканирование лучше проводить с образа. Что увеличит шанс восстановления информации без повреждения.
Удален Суперблок контейнера
Далее мы немного усложнили ситуацию – сымитировав повреждения суперблока контейнера на тестовом диске, который находиться в его первых двух секторах.
С помощью Hex-редактора мы затерли первые сектора. Затем просканировали диск с помощью каждой из программ и получили результаты.
Тест Hetman Partition Recovery
Программа по-прежнему видит диск, определяет его размер, но не распознала файловую систему, так как был затерт суперблок контейнера где и храниться эта информация.
В таком случае быстрый анализ уже не доступен, потребовалось произвести полное сканирование.
В результате программа определила Контейнер с файловой системой APFS.
Название диска изменилось.
Hetman Partition Recovery нашла все удаленные данные, все файлы отображаются, те которые оставались на диске и которые были удалены. Сохранена структура диска и имена файлов.
Программа справилась и со вторым тестом. Все данные доступны для восстановления.
Тест R-studio
Программа видит наш контейнер. Быстрый анализ уже недоступен.
После полного анализа RStudio нашла тестовый диск, определила файловую систему APFS.
Сохранилась структура, имена файлов, все данные на месте.
Программа успешно прошла второй тест.
Тест Easeus
С отображением диска без изменений.
После анализа, открыв каждую из папок, мы увидели тот же результат что и в предыдущем тесте, ей удалось найти все данные.
Все три утилиты успешно прошли второй тест. Им без проблем удалось найти все утерянные файлы.
Удалены тома, информация о внутренних дисках APFS.
В следующем тесте в добавок к суперблоку контейнера мы затерли «volum-ы» (тома), информацию о внутренних дисках APFS.
Тест Hetman Partition Recovery
Результаты не изменились. Программа так же отображает диск.
Доступны все файлы что и в предыдущем тесте. Сохранилась структура диска и имена файлов.
Hetman Partition Recovery успешно прошла третий тест.
Комментарии: