Raid 5 répartit les données sur les disques, mais les blocs utilisés pour la répartition sont généralement assez volumineux. À tout le moins, il s'agira de secteurs entiers, mais normalement, ils seront beaucoup plus importants que cela. Par exemple, madm utilise par défaut des blocs d'un demi-mégaoctet. Même un secteur est suffisamment grand pour que vous trouviez probablement des morceaux de texte reconnaissables et avec des tailles de morceaux typiques, il est fort probable que des fichiers entiers reconnaissables soient présents sur les lecteurs individuels de la matrice.
Dans le but de tester cela, j'ai pointé une copie de Foremost sur un disque qui faisait autrefois partie d'une matrice RAID-6 (mise à disposition grâce à Seagate). Le tableau avait une taille de bloc de 512 Ko, donc tout fichier de 512 Ko ou moins est théoriquement présent intact. Les données sur la matrice proviennent de près de 25 ans d'utilisation d'ordinateurs, y compris les images de disque de chaque ordinateur que j'ai possédé.
La quantité de données que j'ai récupérée était, franchement, effrayante. Documents Word contenant des devoirs du secondaire. Fichiers de données de jeux que j'avais désinstallés il y a des décennies. Fichiers DLL d'une centaine de versions différentes de WINE. Images jointes à des messages Usenet non lus. Dix mille pages Web en cache. L'ajout d'une règle d'extraction personnalisée a trouvé trois clés privées SSL et une clé SSH.
Une autre chose à noter est que vous n'avez pas toujours besoin d'extraire l'intégralité du fichier pour obtenir des informations compromettantes. Par exemple, les premiers 512k d'un PDF peuvent vous donner la table des matières, les premiers 512k d'un BMP peuvent vous donner une légende (BMP stocke ses données d'image à l'envers), et les premiers 512k d'un JPEG peuvent vous donner un Miniature. Les fichiers MPEG et MP3 sont conçus pour être diffusés en continu, de sorte que même un morceau au milieu d'un peut fournir des données utiles à quelqu'un.
À quel point les données sont-elles brouillées sur un disque RAID 5 ? Pas assez brouillé.
Il semble que les gens confondent la taille du secteur du lecteur (généralement de 512 B à 4 Ko) avec la taille de bande RAID 5 (généralement de 16 Ko à 128 Ko, parfois plus). La taille de la bande RAID est la taille logique inscriptible de la matrice, de sorte que chaque partie de la bande sur chaque disque contiendra autant de données. Si un fichier entier tient dans la taille de bande, il sera probablement visible sous la forme d'un bloc contigu sur le lecteur de suppression.