cgsecurity.org

yesyoor wrote: 14 Nov 2024, 12:01 Hallo zusammen,
endlich finde ich nach einem Jahrzehnt einen Ort um meine TrueCrypt Fragen zu stellen, also los gehts

In den letzten Tagen habe ich bereits mit TestCrypt und TestDisk mein Volume untersucht, ohne mich dabei wirklich damit auszukennen.
Wie FIlesystems an sich aufgebaut sind weiss ich noch vom Studium, was jedoch jetzt die Unterschiede im Detail sind leider nicht.

Bei meiner Festplatte die ich öffnen möchte handelt sich um eine 1 TB grosse externe Festplatte welche ein TrueCrypt Volume beinhaltet.

Letzter Stand:
- Ich habe die Platte zuletzt zwischen zwei Macs hin und her gewechselt, sie liess sich mounten, wenn man die Option "do not Mount fs" aktiviert
- Einmal liess sie sich nicht nur mounten, sondern auch die Daten durchstöbern. Allerdings war dies extrem langsam und wann hing sich der Laptop auf...
-- Dieser Erfolg gelang durch random ausprobieren der VolumeTools (restore backup header etc.) und dann wurde sie plötzlich am anderen Mac beim mounten richtig gelesen.

Nach dem Aufhängen des Laptops konnte ich sie wieder nur mounten und das FS wurde wieder nicht erkannt, ich bin mir aber nun sicher dass die Daten noch da sind da ich sie ja gesehen hatte.
Dann habe ich gegoogelt, hier gelesen und folgendes auf einem alten windows Rechner ausprobiert.

Wenn ich TestCrypt laufen lasse erhalte ich folgende Ausgabe:

https://ibb.co/jRqPR7c

TestCrypt 7.2 kann die partition laden, egal ob ich oben von Standard header oder unten von backup header lade:

Und in TestDisk wird sie gefunden:

https://ibb.co/xLpWJW6

Dann gehe ich auf None:
https://ibb.co/yfQrFvm

Es kommt dann das:
https://ibb.co/qWGD25n

Und das (sry fuer die quali):
https://ibb.co/jL8zxyr

Analyse ergibt das:
https://ibb.co/L0tQbfW

P Drücken hat folgendes Ergebnis:
https://ibb.co/6m0VkWd

Im superblockheader dump habe ich gesehen dass diese an einigen stellen am Anfang abweichen. Spielen die superblockheader überhaupt eine rolle?

QPhotoRec findet sehr grosse plist Datein (200mb) und auch einzelne Dateien von der platte (videos etc.)
Ich konnte es jedoch nicht komplett laufen lassen.

Gibt es eine Möglichkeit, das FS soweit zu reparieren dass ich wieder mit dem FileExplorer durchgehen kann?

Der Deepscan hängt sich immer recht schnell am gleichen Sektor auf. Kann das ein Grund sein?

Truecrypt-Laufwerke können in verschiedenen Verpackungen installiert werden - welche wurde installiert? Dateicontainer, komplette Festplatte oder Partition?

Was ist der "superblockheader dump"? Ich kenne nur Truecrypt-Header und besitze keine Apfel-Computer.

Was heißt "es nicht komplett laufen lassen"? Wer ist "es"? Ein Video? TestDisk? Die Verwendung von Pronomen fördern die Verständlichkeit leider nicht.

Was ist "FS"? Selbst kreierte Abkürzungen mag' ich nicht, weil mir das zeigt, dass die Leute sich für mich nicht die Mühe machen, Sachverhalte klar und deutlich zu beschreiben.

Ein Grund wofür, bitte?

yesyoor wrote: 15 Nov 2024, 10:02 Hallo recuperation,

vielen Dank fuer die Antwort!

Truecrypt-Laufwerke können in verschiedenen Verpackungen installiert werden - welche wurde installiert? Dateicontainer, komplette Festplatte oder Partition?

>> Es wurde die gesamte Festplatte verschlüsselt. Sprich die Festplatte hat eine Partition, welche als TrueCrypt Volume angelegt ist.
>> Um das Volume zu mounten musste ich bisher immer in TrueCrypt die Partition der Festplatte auswählen und dann Mount klicken, Passwort eingeben und dann wurde die Partition als TrueCrypt Volume angezeigt, bzw. unter dem gewählten Laufwerkbuchstaben eingehangen.

Was ist der "superblockheader dump"? Ich kenne nur Truecrypt-Header und besitze keine Apfel-Computer.

>> Ich habe TestDisk auf Windows 7 ausgeführt, in dem einem Screenshot sieht man unten die Optionen Superblock und Dump, das meinte ich.

Was heißt "es nicht komplett laufen lassen"? Wer ist "es"? Ein Video? TestDisk? Die Verwendung von Pronomen fördern die Verständlichkeit leider nicht.

>> Das neben TestDisk enthaltene QPhotoRec Programm. Die Dateisuche auf dem gemountertem Volume bricht irgendwann ab bzw. hängt sich auf wie der deepscan in TestDisk.

Was ist "FS"? Selbst kreierte Abkürzungen mag' ich nicht, weil mir das zeigt, dass die Leute sich für mich nicht die Mühe machen, Sachverhalte klar und deutlich zu beschreiben.

>> FileSystem, Dateisystem. Ich denke mein Dateisystem ist kaputt, da ich das Volume mounten kann, aber weder auf Mac noch auf Windows das Dateisystem erkannt wird. chkdsk verweigert die Analyse da es sich angeblich um ein RAW Format handelt (Falsch erkannt).

Ein Grund wofür, bitte?

>> Könnten kaputte Sektoren ein Grund fuer das kaputte Dateisystem sein?

- Ich habe die Platte zuletzt zwischen zwei Macs hin und her gewechselt, sie liess sich mounten, wenn man die Option "do not Mount fs" aktiviert

- Einmal liess sie sich nicht nur mounten, sondern auch die Daten durchstöbern. Allerdings war dies extrem langsam und wann hing sich der Laptop auf...

Smartmontools-Report erstellen und gerne hier veröffentlichen:

C:\>smartctl  --scan
/dev/sda -d nvme # /dev/sda, NVMe device
/dev/sdb -d sat # /dev/sdb [SAT], ATA device

C:\>smartctl -a -d sat /dev/sdb > myreport.txt

smartctl 7.4 2023-08-01 r5530 [x86_64-w64-mingw32-w11-b22631] (sf-7.4-1)
Copyright (C) 2002-23, Bruce Allen, Christian Franke, www.smartmontools.org

=== START OF INFORMATION SECTION ===
Model Family: Western Digital Elements / My Passport (USB, AF)
Device Model: WDC WD10JMVW-11AJGS0
Serial Number: WD-WX41A6351564
LU WWN Device Id: 5 0014ee 208d0f431
Firmware Version: 01.01A01
User Capacity: 1.000.204.886.016 bytes [1,00 TB]
Sector Sizes: 512 bytes logical, 4096 bytes physical
Rotation Rate: 5400 rpm
Device is: In smartctl database 7.3/5528
ATA Version is: ACS-2 (minor revision not indicated)
SATA Version is: SATA 3.0, 3.0 Gb/s (current: 3.0 Gb/s)
Local Time is: Fri Nov 15 16:42:14 2024 MZ
SMART support is: Available - device has SMART capability.
SMART support is: Enabled

=== START OF READ SMART DATA SECTION ===
SMART Status not supported: Incomplete response, ATA output registers missing
SMART overall-health self-assessment test result: PASSED
Warning: This result is based on an Attribute check.

General SMART Values:
Offline data collection status: (0x00) Offline data collection activity
was never started.
Auto Offline Data Collection: Disabled.
Self-test execution status: ( 0) The previous self-test routine completed
without error or no self-test has ever
been run.
Total time to complete Offline
data collection: (19200) seconds.
Offline data collection
capabilities: (0x7b) SMART execute Offline immediate.
Auto Offline data collection on/off support.
Suspend Offline collection upon new
command.
Offline surface scan supported.
Self-test supported.
Conveyance Self-test supported.
Selective Self-test supported.
SMART capabilities: (0x0003) Saves SMART data before entering
power-saving mode.
Supports SMART auto save timer.
Error logging capability: (0x01) Error logging supported.
General Purpose Logging supported.
Short self-test routine
recommended polling time: ( 2) minutes.
Extended self-test routine
recommended polling time: ( 214) minutes.
Conveyance self-test routine
recommended polling time: ( 5) minutes.
SCT capabilities: (0x7035) SCT Status supported.
SCT Feature Control supported.
SCT Data Table supported.

SMART Attributes Data Structure revision number: 16
Vendor Specific SMART Attributes with Thresholds:
ID# ATTRIBUTE_NAME FLAG VALUE WORST THRESH TYPE UPDATED WHEN_FAILED RAW_VALUE
1 Raw_Read_Error_Rate 0x002f 146 146 051 Pre-fail Always - 20173
3 Spin_Up_Time 0x0027 184 175 021 Pre-fail Always - 1783
4 Start_Stop_Count 0x0032 100 100 000 Old_age Always - 635
5 Reallocated_Sector_Ct 0x0033 200 200 140 Pre-fail Always - 0
7 Seek_Error_Rate 0x002e 142 001 000 Old_age Always - 5135
9 Power_On_Hours 0x0032 100 100 000 Old_age Always - 561
10 Spin_Retry_Count 0x0032 100 100 000 Old_age Always - 0
11 Calibration_Retry_Count 0x0032 100 100 000 Old_age Always - 0
12 Power_Cycle_Count 0x0032 100 100 000 Old_age Always - 227
192 Power-Off_Retract_Count 0x0032 200 200 000 Old_age Always - 177
193 Load_Cycle_Count 0x0032 199 199 000 Old_age Always - 5469
194 Temperature_Celsius 0x0022 120 094 000 Old_age Always - 27
196 Reallocated_Event_Count 0x0032 200 200 000 Old_age Always - 0
197 Current_Pending_Sector 0x0032 182 182 000 Old_age Always - 3025
198 Offline_Uncorrectable 0x0030 100 253 000 Old_age Offline - 0
199 UDMA_CRC_Error_Count 0x0032 200 200 000 Old_age Always - 0
200 Multi_Zone_Error_Rate 0x0008 100 253 000 Old_age Offline - 0

SMART Error Log Version: 1
ATA Error Count: 2
CR = Command Register [HEX]
FR = Features Register [HEX]
SC = Sector Count Register [HEX]
SN = Sector Number Register [HEX]
CL = Cylinder Low Register [HEX]
CH = Cylinder High Register [HEX]
DH = Device/Head Register [HEX]
DC = Device Command Register [HEX]
ER = Error register [HEX]
ST = Status register [HEX]
Powered_Up_Time is measured from power on, and printed as
DDd+hh:mm:SS.sss where DD=days, hh=hours, mm=minutes,
SS=sec, and sss=millisec. It "wraps" after 49.710 days.

Error 2 occurred at disk power-on lifetime: 479 hours (19 days + 23 hours)
When the command that caused the error occurred, the device was active or idle.

After command completion occurred, registers were:
ER ST SC SN CL CH DH
-- -- -- -- -- -- --
04 51 02 00 00 00 00

Commands leading to the command that caused the error were:
CR FR SC SN CL CH DH DC Powered_Up_Time Command/Feature_Name
-- -- -- -- -- -- -- -- ---------------- --------------------
e1 00 02 00 00 00 00 00 00:21:26.272 IDLE IMMEDIATE
ec 00 01 00 00 00 00 00 00:21:26.272 IDENTIFY DEVICE
b0 d0 00 00 4f c2 00 00 00:21:18.395 SMART READ DATA

Error 1 occurred at disk power-on lifetime: 478 hours (19 days + 22 hours)
When the command that caused the error occurred, the device was active or idle.

After command completion occurred, registers were:
ER ST SC SN CL CH DH
-- -- -- -- -- -- --
04 51 02 00 00 00 00

Commands leading to the command that caused the error were:
CR FR SC SN CL CH DH DC Powered_Up_Time Command/Feature_Name
-- -- -- -- -- -- -- -- ---------------- --------------------
e1 00 02 00 00 00 00 00 00:08:52.942 IDLE IMMEDIATE
ec 00 01 00 00 00 00 00 00:08:52.942 IDENTIFY DEVICE
b0 d0 00 00 4f c2 00 00 00:08:42.231 SMART READ DATA

SMART Self-test log structure revision number 1
No self-tests have been logged. [To run self-tests, use: smartctl -t]

SMART Selective self-test log data structure revision number 1
SPAN MIN_LBA MAX_LBA CURRENT_TEST_STATUS
1 0 0 Not_testing
2 0 0 Not_testing
3 0 0 Not_testing
4 0 0 Not_testing
5 0 0 Not_testing
Selective self-test flags (0x0):
After scanning selected spans, do NOT read-scan remainder of disk.
If Selective self-test is pending on power-up, resume after 0 minute delay.

The above only provides legacy SMART information - try 'smartctl -x' for more

197 Current_Pending_Sector 0x0032 182 182 000 Old_age Always - 3025

yesyoor wrote: 15 Nov 2024, 17:39 Ok, danke schonmal fuer den Hinweis, ich muss erst eine andere Festplatte leer machen. Welchen Befehl kannst du empfehlen um danach die Festplatte auf eine andere zu klonen?

Das ist eine enttäuschende Frage. Sie gibt mir das Gefühl, dass meine zeitaufwendigen Antworten, die aber gar nicht übermäßig lang sind, nicht gelesen werden