Truecrypt Partition gelöscht

[thunderbolt1978]

Hi,

folgender stand der Dinge,

ich habe in meine Rechner jeweils 2 1TB Hdd´s welche zu je 50% geteilt sind. Mit Truecrypt habe ich vor einigen Jahren 4 Truecrypt Volumen erstellt. Keine Containerdateien, sondern direkt die Partition verschlüsselt. Nun habe ich gestern abend ein paar fehlerhafte Sektoren auf einer der beiden HDD´s gehabt und wollte diese einschicken. Ich habe die Daten der einen Platte auf die andere kopiert und wollte eben die Partitionen in der Datenträgerverwaltung unter Windows 7 löschen.

Leider habe ich genau das gemacht was nicht passieren durft, ich habe die Partitionen der funktionierenden Platte mit den kopierten Daten gelöscht. Wie stelle ich die Partitionstabelle wieder her.

OS: Windows 7 64bit
derzeit läuft Testdisk 6.14 WIP durch, 44% dauert also noch ca 1,5h
GetDataback 4.25 habe ich auch hier, ich warte aber noch was Testdisk sagt.
Testcrypt läuft nicht richtig

 

[MacGyver]

Eine Anleitung wie man mit TestDisk gelöschte Partitionen wiederherstellt findest du hier:

http://www.tim-bormann.de/gelschte-partition-wiederherstellen-mittels-testdisk/

Habs erst ein Mal gemacht und es hat geklappt. Also minimale Erfahrung meinerseits, aber 100% Erfolg

 

[thunderbolt1978]

hi, danke für die schnelle antwort, ich bin auf dem Gebiet nicht ganz unerfahren, nur nachdem ich hier bissl rumglesen habe, bin ich mir nicht sicher oder nicht auch die Partitionstabelle verschlüsselt ist und testdisk diese dadurch nicht findet.

 

[Headb@nger71]

Versuch macht kluch ...
Ich hatte auch eine HDD die sich mit einem Fehler abgemeldet hat (TC geschützt)
Passwort stimmte auch.
Ich konnte mit Testdisk diese reparieren bzw. auslesen.
Danach habe ich die HDD formatiert und benutzte sie so als Datengrab ohne Verschlüsselung.
Bisher hat die HDD keine Fehler.
Das Programm ist sehr hilfreich und gut.

 

[thunderbolt1978]

wie schon im Eingangspost geschrieben läuft Testdisk schon durch

90% ich poste dann mal Screen was er findet.

Leider hat er nix gefunden

ich habe eben eine neue Partition erstellt ohne zu Formatieren, damit konnte ich zumindest das letztere von den beiden Laufwerken mit Truecrypt mounten. Gemoutet wurde es, nur leider wenn ich es im Explorer aufrufe will es Windows formatieren.

Ich lasse nun mal Testcrypt drüberlaufen. auch da leider keine Besserung, Testcrypt findet nur die 33 GB Partition am Ende der Platte, welche ich mit dem Truecrypt wiederhergestellt habe,

ich lass nun GetDataback Drüberkaufen, jemand eine Idee ?

 

[MacGyver]

hi, danke für die schnelle antwort, ich bin auf dem Gebiet nicht ganz unerfahren, nur nachdem ich hier bissl rumglesen habe, bin ich mir nicht sicher oder nicht auch die Partitionstabelle verschlüsselt ist und testdisk diese dadurch nicht findet.

Die Partitionstabelle dürfte eigentlich nicht verschlüsselt sein. Das letzte Mal als ich Truecrypt verwendet habe, hat Windows alle Partitionen erkannt ohne dass sie gemountet waren. Sie hatten für Windows nur kein erkennbares Dateisystem. Erst nach dem Mounten wurden sie als NTFS-Partitionen erkannt.

 

[thunderbolt1978]

hi,

genau diese versuche ich ja wieder herzustellen, mit Testdisk geht es aber nicht, werder normal noch mit deep Scan.

Das das Scannen ja immer Ewig dauert habe ich mal bissl rumgelesen.

die eine Platte mit den Fehlerhaften Sektor habe ich genauso strukturiert wie die alte Platte gewesen ist.

Neuen Platte geht ab Sector 2048 der TrueCrypt Container los, davor steht irgenden Kram von Windows.

bei der gelöschten Platte, die ich wiederherstellen will, stehen die ersten 512 bytes etwas, dann kommen alles Nullen und ab 2048 geht es auch wieder kryptisch wie bei der anderen Platte los.

die daten sind noch da, ich weis nur nicht wie ich ich den Backup Header des Volumes wiederherstellen kann.

Update ...

Habe nun Testcrypt runtergeladen und ausgeführt. Nach ca. 20 min hat er folgendes Gefunden.

mounte ich mit dem normalen Header will Windows das Laufwerk formatieren, mounte ich den BackupHeader wird das Laufwerk eingebunden.

ich frage mich nun, wo die 900GB Partition hin ist ? kann ich die irgendwie auslesen ?



update,

das Programm Testcrypt scheint mir das einzige sein, was Hoffung bietet. Nachdem ich mit einigen anderen Truecrypt Containern und Partitionen rumexperimentiert habe, bin ich der Auffassung, dass hinter jede Partition welche mit Truecrypt verschlüsselt wird ein Backup hinterlegt wird. Wenn man die Platte also in 3 Partitionen teilt, hat man sozusagen 3 Backups hinter den Partitionen gesichert. Werde nun auf Basis von Testcrypt die ganze Platte durchsuchen lassen vielleicht findet er was. Leider dauert es recht lange, aber virtuellen Maschinen und Rechnenpower on mass werde ich wohl morgen früh näheres wissen.

als verbesserungsvorschlag würde ich fragen ob man die Software nicht nen bissl mehr parallelisieren kann. Die Auslastung liegt leider nur bei einem Core beim überprüfen.

 

[Simpson474]

Eigentlich wird die Anzahl der vorhanden Cores beim Start ausgelesen und an den TrueCrypt-Teil weitergegeben. Dieser hat bei mir auch 100% CPU-Last beim Phenom X4 erzeugt - sollte also schon ein bisschen parallelisiert sein. Allerdings kannst du dir im Normalfall die großflächigen Scans sparen - einfach immer um die Ränder der gefundenen Partitionen weitersuchen lassen. Gib einfach mal die folgenden Bereiche in den "Custom Analyzer" ein:
4053/107/22 - 4055/1/1
117545/1/1 - 117547/173/3

 

[thunderbolt1978]

Hallo Simpson,

sowas habe ich ich auch gedacht nur nix gefunden, hatte nen phenom x6 und da war nur 1 kern auf 100% egal. Habe von der Platte einfach 10 Images gezogen und per ESX in 10 VM´s verteilt. Er Scant nun 10x je 100GB stücke ging recht zügig. Wenn ich via Paypal was schicke, der Link bei Testcrypt bekommst du das ?

 

[Simpson474]

Was hast du denn da für eine Hardware dahinter? Für ein 100 GB Segment brauche ich ca. 100 Tage

Wenn ich mal Zeit habe muss ich mal CUDA oder ähnliche Techniken für die Key-Derivation probieren - die Analyse ist perfekt parallelisierbar, mit heutigen GPUs sollte da doch einiges möglich sein. Außerdem könnte man - wenn man weiß, mit was das Volume verschlüsselt war - einige Key-Derivation und Verschlüsselungssysteme deaktivieren. Der Paypal-Link auf der TestCrypt-Seite ist von meinem Paypal-Konto.

 

[thunderbolt1978]

Hi,

habe das bei nem befreundeten Admin machen lassen, hat nur eine Nacht gedauert. Ist ne große Firma in FFM. Auf jedenfall geht wieder alles und ich bin glücklich, ne kleine Aufmerksamkeit habe ich dir zukommen lassen.