Du markerar en fil, trycker på Radera och tömmer papperskorgen. Filen är borta.
Eller är den det?
På en modern dator betyder radering ofta inte att all information försvinner omedelbart från lagringsmediet. I många fall handlar det i stället om att operativsystemet markerar utrymmet som tillgängligt för nya data.
Det är därför raderade filer ibland går att återställa, även efter att de har försvunnit från skrivbordet och papperskorgen.
Först hamnar filen ofta i papperskorgen
När du raderar en fil i Windows eller macOS flyttas den vanligtvis först till papperskorgen.
Filen finns då fortfarande kvar och kan återställas med några klick.
Det är först när papperskorgen töms, eller när en fil raderas permanent, som operativsystemet börjar behandla utrymmet som ledigt.
Men även då kan själva informationen fortfarande finnas kvar på disken.
Operativsystemet tar bort referensen till filen
För att förstå vad som händer behöver man skilja mellan själva filen och informationen som beskriver var filen finns.
Ett filsystem håller reda på:
- Filens namn
- Var på lagringsmediet informationen ligger
- Filens storlek
- Datum och tid
- Behörigheter
När en fil raderas behöver operativsystemet inte nödvändigtvis skriva nollor över all data.
I stället kan posten som pekar på filens innehåll tas bort eller markeras som oanvänd. Utrymmet blir då tillgängligt för nya filer.
Så länge nya data inte har skrivits över samma område kan delar av den gamla filen fortfarande finnas kvar.
Därför kan raderade filer ibland återställas
Program för dataåterställning försöker hitta information som fortfarande finns på lagringsmediet trots att filsystemet inte längre visar den som en vanlig fil.
Det kan göras genom att leta efter:
- Gamla filposter
- Kända filsignaturer
- Fragment av bilder, dokument och andra filtyper
- Områden som ännu inte har skrivits över
Det är därför chansen att återställa en fil ofta är störst direkt efter att den har raderats.
Ju mer datorn används efter raderingen, desto större är risken att det lediga utrymmet används av nya data.
Hårddiskar och SSD-enheter fungerar olika
En traditionell hårddisk och en modern SSD lagrar information på helt olika sätt.
Det påverkar också vad som händer efter att en fil raderas.
På en hårddisk kan information ligga kvar länge
En mekanisk hårddisk lagrar information magnetiskt på roterande skivor.
När en fil tas bort kan data ligga kvar i samma område tills något nytt skrivs över den.
Det är därför dataåterställning historiskt sett har fungerat relativt bra på hårddiskar, särskilt om enheten inte använts mycket efter raderingen.
Om samma sektorer har skrivits över med nya data blir återställning däremot betydligt svårare eller omöjlig.
SSD-enheter har TRIM
SSD-enheter fungerar annorlunda eftersom de använder flashminne och behöver hantera lagringsceller på ett mer avancerat sätt.
En viktig funktion är TRIM.
När en fil raderas kan operativsystemet med hjälp av TRIM tala om för SSD-enheten vilka block som inte längre innehåller användbar information.
Enheten kan därefter förbereda dessa områden för framtida skrivningar.
Det gör SSD-enheter snabbare och effektivare, men innebär också att raderade filer ofta kan bli betydligt svårare att återställa än på en traditionell hårddisk.
TRIM raderar inte alltid allt omedelbart
Det är lätt att tro att TRIM innebär att filen utplånas i samma ögonblick som du trycker på Radera.
Så behöver det inte vara.
TRIM talar i första hand om för lagringsenheten att vissa block inte längre behövs. När den faktiska rensningen sker beror på SSD-enhetens interna styrning, så kallad garbage collection.
För användaren innebär det att möjligheten till återställning kan variera mellan olika SSD-modeller och situationer.
Vad händer när en fil skrivs över?
Om operativsystemet behöver lagringsutrymme kan det börja skriva nya filer i områden där raderad information tidigare låg.
När det händer försvinner delar av den gamla filen.
Om bara en del har skrivits över kan resultatet bli en skadad fil som går att återställa delvis men inte öppna normalt.
En bild kan exempelvis få felaktiga områden, medan ett dokument kan sakna delar av innehållet.
Att tömma papperskorgen är inte samma sak som säker radering
Det här är viktigt om du ska sälja, ge bort eller återvinna en dator.
Att flytta personliga filer till papperskorgen och sedan tömma den är inte alltid ett säkert sätt att radera information.
På vissa lagringsmedier kan information fortfarande vara möjlig att återställa med särskild programvara.
Det gäller framför allt traditionella hårddiskar.
Vad menas med säker radering?
Säker radering innebär att man försöker göra gammal information praktiskt omöjlig att återskapa.
På en traditionell hårddisk kan det innebära att data skrivs över.
På SSD-enheter är vanlig överskrivning mindre lämplig eftersom enheten själv bestämmer var informationen faktiskt lagras genom en teknik som kallas wear leveling.
Därför finns särskilda kommandon och funktioner för säker radering av SSD-enheter.
Kryptering förändrar situationen
Moderna datorer använder allt oftare full diskkryptering.
Exempel är BitLocker i Windows och FileVault i macOS.
När en disk är korrekt krypterad lagras informationen i ett format som inte går att läsa utan rätt nyckel.
Det innebär att en återställd fil fortfarande kan vara värdelös för den som saknar krypteringsnyckeln.
Kryptering är därför en viktig del av skyddet för personliga data, särskilt om en dator blir stulen eller säljs vidare.
Fabriksåterställning är inte alltid samma sak på alla enheter
Mobiltelefoner, surfplattor och datorer erbjuder ofta någon form av fabriksåterställning.
På moderna krypterade enheter kan återställningen ibland fungera genom att den gamla krypteringsnyckeln raderas.
Data kan då tekniskt sett fortfarande finnas i minnet, men utan nyckeln blir informationen mycket svår att använda.
På äldre enheter eller system utan korrekt kryptering kan situationen vara annorlunda.
Därför är det klokt att följa tillverkarens rekommenderade metod för säker radering innan en enhet lämnar din ägo.
Molnlagring gör radering ännu mer komplicerad
Om filen ligger i en molntjänst räcker det inte alltid att tänka på den lokala datorn.
En molntjänst kan ha:
- Papperskorg med fördröjd radering
- Versionshistorik
- Säkerhetskopior
- Synkroniserade kopior på andra enheter
- Backups i leverantörens infrastruktur
En fil som raderas på datorn kan därför fortfarande finnas på en annan enhet eller i molntjänstens återställningssystem.
Hur länge den sparas beror på tjänsten och vilken typ av konto du använder.
Synkronisering är inte samma sak som backup
Det är en viktig skillnad.
Om en mapp är synkroniserad mellan datorn och molnet kan en radering på datorn även synkroniseras till molnet.
Det betyder att molnlagring inte automatiskt skyddar mot oavsiktliga raderingar.
En riktig backup bör helst kunna återställa äldre versioner även om originalfilen har tagits bort.
Vad ska du göra om du råkat radera en viktig fil?
Det viktigaste är att agera snabbt.
Om filen inte finns i papperskorgen bör du försöka undvika att skriva ny information till samma lagringsenhet.
Det innebär exempelvis att du bör undvika att:
- Installera nya program
- Ladda ner stora filer
- Kopiera data till samma disk
- Fortsätta använda datorn i onödan
Ju mindre enheten används, desto större chans finns det att den gamla informationen fortfarande finns kvar.
Installera inte återställningsprogrammet på samma disk
Det här är ett vanligt misstag.
Om du installerar ett dataåterställningsprogram på samma disk där den raderade filen låg kan installationsfilerna skriva över just den information du försöker rädda.
Om det är möjligt bör återställningsverktyget köras från en annan enhet.
Återställda filer bör också sparas någon annanstans.
Kan allt återställas?
Nej.
Det finns ingen garanti för att en raderad fil går att få tillbaka.
Resultatet beror bland annat på:
- Vilken typ av lagringsenhet som används
- Hur lång tid som gått
- Hur mycket enheten har använts efter raderingen
- Om TRIM är aktivt
- Om filens gamla område har skrivits över
- Om disken är krypterad
I vissa fall kan hela filen återställas. I andra fall går bara delar av den att hitta.
Varför tar datorn inte bara bort informationen direkt?
Det kan verka märkligt att operativsystemet inte omedelbart skriver över varje raderad fil.
Förklaringen är framför allt effektivitet.
Att bara markera utrymmet som ledigt är mycket snabbare än att skriva över hela filen.
Om du raderar en fil på 100 GB kan den därför försvinna från filsystemet nästan omedelbart, trots att en fullständig fysisk överskrivning skulle ta betydligt längre tid.
Operativsystemet behöver bara veta att utrymmet får användas igen.
Radering handlar egentligen om flera lager
När vi säger att en fil är raderad kan vi därför mena flera olika saker.
Filen kan:
- Ha flyttats till papperskorgen
- Ha tagits bort från filsystemets katalog
- Fortfarande ligga kvar fysiskt på disken
- Ha markerats för TRIM på en SSD
- Ha skrivits över av nya data
- Fortfarande finnas i en backup eller molntjänst
Det är först när man ser alla dessa lager som det blir tydligt varför frågan ”är filen verkligen borta?” inte alltid har ett enkelt svar.
Raderad för användaren betyder inte alltid raderad från lagringsmediet
För de flesta vardagliga situationer fungerar Radera-knappen precis som förväntat. Filen försvinner och lagringsutrymmet blir tillgängligt igen.
Men tekniskt sett är processen betydligt mer komplicerad.
På en traditionell hårddisk kan information ligga kvar tills den skrivs över. På en SSD kan TRIM och enhetens interna minneshantering göra den svårare att återställa. Kryptering, molnlagring och säkerhetskopior lägger ytterligare lager ovanpå detta.
Det betyder också att samma teknik kan vara både en fördel och en risk.
Om du råkar radera semesterbilder är det positivt att informationen kanske går att återställa. Om du säljer en gammal dator vill du däremot vara säker på att nästa ägare inte kan göra samma sak.
Nästa gång du trycker på Radera kan du alltså tänka på det som händer bakom kulisserna. Datorn förstör inte nödvändigtvis filen. Den slutar framför allt att betrakta utrymmet som upptaget.