Solid State Disk Drive Basics

À l'instar des disques durs, les disques SSD servent généralement à stocker et à collecter de nombreuses preuves numériques. Il est donc important de comprendre comment ils fonctionnent et où les données peuvent être cachées, afin de pouvoir collecter des artefacts lors de vos prochaines leçons. Cette leçon abordera les notions de base suivantes relatives aux SSD :

• Collecte des ordures
• Garnir
• Nivellement d'usure

Que sont les SSD ?

Un disque SSD est une nouvelle génération de périphériques de stockage. Les SSD ont évolué au-delà des disques durs mécaniques traditionnels en utilisant une mémoire flash qui est nettement plus rapide, ce qui permet aux SSD d'accélérer considérablement les ordinateurs en raison de leurs faibles temps d'accès en lecture et de leurs débits rapides. Au lieu d'écrire des données sur un disque magnétique, sur des disques SSD, les données sont écrites sur des « pages », et une fois qu'il y en a suffisamment, elles sont écrites sur un « bloc » du lecteur lui-même.

Déchets

La collecte des déchets est un processus utilisé par les disques SSD pour optimiser l'espace et améliorer l'efficacité. L'objectif de la collecte des déchets est de conserver autant de blocs vides que possible afin que, lorsque le SSD doit écrire des données, il puisse le faire sans attendre qu'un bloc soit effacé. Le contrôleur du SSD recherche toutes les pages qui ne sont plus utilisées, telles que les données supprimées et les données modifiées. Il déplace ensuite les pages utilisées vers de nouveaux blocs, laissant derrière lui les données qui ne sont plus nécessaires. Le contrôleur efface ensuite le bloc afin qu'il soit prêt à être utilisé. Il s'agit d'un processus en arrière-plan, géré par le contrôleur SSD et le système d'exploitation.

Pourquoi la collecte des déchets est-elle importante en matière de criminalistique numérique ? Si nous disposons de preuves cruciales concernant un système, il existe toujours un risque que la collecte des déchets identifie les blocs de manière légitime ou illégitime comme indésirables, et que le contrôleur efface les blocs afin de libérer de l'espace. Si un ordinateur utilise des disques SSD, il doit être immédiatement mis hors tension pour éviter que cela ne se produise, soit par un arrêt brutal (maintenez le bouton d'alimentation enfoncé jusqu'à ce que le système s'éteigne), soit en débranchant la prise afin que le bloc d'alimentation (PSU) ne reçoive plus d'électricité. L'arrêt du système via le système d'exploitation pourrait exécuter un script malveillant qui détruirait les données contenues sur les disques connectés, et pourrait ruiner une enquête (mais nous devons nous souvenir des preuves volatiles, que nous aborderons plus tard !).

Garnir

Lorsque des fichiers sont envoyés vers des emplacements tels que la corbeille, ils ne sont pas immédiatement supprimés. Le fait de les déplacer vers cet emplacement indique au système d'exploitation qu'il peut remplacer ces fichiers, car ils ne sont plus souhaités par l'utilisateur. Si un fichier supprimé fait 174 192 octets et qu'un nouveau fichier ne fait que 121 octets, il y aura encore 174 071 octets du fichier supprimé disponibles. Nous pouvons donc le récupérer et essayer de corriger le fichier afin de voir de quoi il s'agissait, même avec certaines données manquantes. Cependant, TRIM fonctionne de la même manière que Garbage Collection, et au lieu de demander au SDD de déallouer la taille du fichier supprimé (disponible pour le réécriture), TRIM sur un SSD se contente de sélectionner les données et de les effacer, supprimant ainsi toute chance que les enquêtes médico-légales puissent récupérer le fichier ou des parties du fichier.

Pour y remédier, nous devons prendre les mêmes mesures en ce qui concerne la collecte des déchets, car elles fonctionnent ensemble. Mettez le système hors tension en le mettant hors tension ou en le débranchant (encore une fois, nous devons nous souvenir des preuves volatiles, que nous aborderons plus tard !).

Nivellement d'usure

Le nivellement de l'usure est une technique utilisée par certains SSD pour augmenter la durée de vie de la mémoire à l'aide d'une approche très simple : répartir l'écriture de manière uniforme sur tous les blocs d'un SSD afin qu'ils s'usent de manière uniforme. En utilisant cette méthode, toutes les

cellules physiques du SSD reçoivent le même nombre d'écritures, afin d'éviter d'écrire trop souvent sur les mêmes blocs, ce qui pourrait les endommager au fil du temps.

Le nivellement de l'usure est effectué par le microcontrôleur ou le micrologiciel du périphérique SSD. Le processus de nivellement de l'usure est effectué par des algorithmes, dont il existe deux variétés de base.

• Nivellement d'usure dynamique — Lorsque le nivellement dynamique d'usure est utilisé, les blocs qui subissent une réécriture sont repositionnés dans de nouveaux blocs. L'algorithme sélectionne un bloc vide sur lequel écrire les données. Le nombre d'écritures dans chaque bloc est suivi par le contrôleur. L'inconvénient du nivellement dynamique est que les blocs de données qui ne sont pas fréquemment mis à jour ne sont pas déplacés, ce qui peut entraîner une usure irrégulière des blocs.
• Nivellement d'usure statique — Les mêmes techniques sont utilisées pour le nivellement d'usure statique, à une différence importante près. Les blocs de données statiques sont déplacés lorsque leur nombre d'effacements tombe en dessous d'un certain seuil. Cela permet un nivellement plus efficace, ce qui se traduit par des performances d'écriture légèrement plus lentes, mais par une longévité accrue du périphérique.