Svatební fotky z flash disku s vadným řadičem - čtení NAND pod epoxidem

Svatební fotky na jediném USB a řadič je mrtvý

Do laboratoře dorazila běžná 32GB USB flashka, kterou majitel měsíc po svatbě použil k archivaci fotografií a videí. Jediná kopie. Po pár týdnech flashka přestala fungovat, počítač ji nerozpoznával, po připojení neblikala ani LED kontrolka. Na vadném USB tak ležely jediné kopie stovek fotografií, na které čekali oba manželé.

První pokus o softwarovou obnovu: flashka se nehlásila ani v disk managementu Windows, ani v Linuxu pod dmesg. Všechny běžné data recovery nástroje selhaly ještě před identifikací zařízení - bez funkčního řadiče nemá operační systém jak se k NAND paměti dostat.

Proč standardní chip-off nešel použít

Po diagnostice jsme identifikovali příčinu: vadný řadič ChipsBank CBM2199E, jeden z nejběžnějších kontrolerů v levnějších 32GB USB flashkách. Když selže řadič, disk se nehlásí vůbec a žádná softwarová metoda nemůže pomoci.

Standardní postup v těchto případech je chip-off: odpájení NAND paměťového čipu z PCB a jeho čtení v externím adaptéru. Tady byl ale problém - NAND čip byl pokrytý silnou vrstvou tvrdého epoxidu jako přídavná ochrana. Desoldering běžnou hot-air stanicí by znamenal zahřátí epoxidu na kritickou teplotu, při které hrozí destrukce samotné křemíkové struktury. Mechanické odstranění epoxidu před pájením je možné, ale extrémně choulostivé, jedna chyba, a data jsou nenávratně pryč.

U nenahraditelných svatebních fotek bylo riziko nepřijatelné. Potřebovali jsme cestu, která se NAND čipu fyzicky nedotkne.

Postup: odpájení řadiče, čtení z PCB stop

Zvolili jsme alternativní přístup. Místo destruktivní extrakce NAND jsme se rozhodli odpájet jen vadný řadič, ten epoxidem chráněný nebyl a dal se bezpečně sundat hot-air stanicí při 250 °C.

Jakmile jsme řadič odstranili, na PCB se odhalily datové cesty vedoucí původně mezi kontrolerem a NAND čipem. Jde o standardní ONFI / Toggle NAND rozhraní přímé datové linky pro čtení jednotlivých bloků paměti.

Na odhalené piny jsme se napojili tenkými vodiči a začali číst syrová data přímo z NAND (bez prostředníka v podobě řadiče). Paměťový čip zůstal fyzicky na svém místě, epoxidová ochrana ho chránila dál a nepřekážela.

Dekódování algoritmu CBM2199E

Čtení raw NAND dat je ale jen prvním krokem. Každý řadič používá proprietární algoritmus pro fyzické rozmístění dat v paměti:

• Wear leveling - rotace zápisů mezi paměťovými buňkami pro rovnoměrné opotřebení
• ECC (Error Correction Code) - redundantní kódování pro opravu bitových chyb
• XOR layer - některé řadiče XOR-ují data konstantním vzorem
• Mapping table - překlad logických adres na fyzické pozice v NAND

Bez znalosti tohoto algoritmu je raw NAND dump jen nesmyslná směs bajtů. Využili jsme Rusolut Visual NAND Reconstructor - specializovaný nástroj, který obsahuje databázi algoritmů pro tisíce modelů řadičů. Po identifikaci CBM2199E a analýze dumpu nástroj určil správnou kombinaci parametrů a rekonstruoval původní souborový systém FAT32.

Výsledek: 100 % dat, všechny svatební fotky zachráněny

Po dekódování algoritmu jsme získali kompletní souborový systém flashky. Celkem přibližně 320 svatebních fotografií ve vysokém rozlišení a několik videí z obřadu, zachráněných se 100% úspěšností.

Data jsme klientovi předali na nové médium spolu s doporučením: 3 kopie, 2 různá média, 1 kopie geograficky oddělená (cloud nebo externí disk u rodičů).

Poučení: nikdy nedržte kritická data jen na jedné flashce

Svatební fotky jsou klasický příklad nenahraditelných dat, nemůžete si je vyfotit znovu. Přesto je spousta lidí drží jen v jednom exempláři, často na drobných USB flashkách, které nejsou primárně navržené jako dlouhodobé archivační médium.

V tomto případě jsme měli štěstí, epoxidová ochrana naštěstí kryla jen NAND, ne celou architekturu. U některých moderních monolitických konstrukcí (kde je řadič a NAND integrován do jednoho čipu) už by podobný postup nebyl možný.

Platí jednoduché pravidlo zálohy 3-2-1:

• 3 kopie dat
• na 2 různých typech médií
• 1 kopie geograficky oddělená (cloud nebo jiná lokace)

Pokud se i vám stalo, že flashka přestala fungovat a jsou na ní nenahraditelná data - kontaktujte nás. Diagnostiku provádíme zdarma a platíte pouze v případě úspěšné záchrany.