Рисунок 1. Стандартная флешка.
Рассмотрим, чем отличается флешка в стандартном исполнении от монолита. На Рисунке 1 изображена стандартная флешка без корпуса. Виден USB разъем для подключения к компьютеру, плата электроники, на которой размещаются электронные компоненты, контроллер (в данном случае SM3267L) и микросхема памяти, на которой и сохраняется вся информация (в нашем случае -BGA152). Для восстановления данных с такой флешки достаточно выпаять микросхему памяти, прочитать ее на программаторе, а затем полученный дамп собирается в образ, содержащий информацию пользователя в исходном виде. Для выполнения таких работ используется программно - аппаратный комплекс PC300 Flash Edition, производства компании AceLab. Самой сложной частью работы по восстановлению данных с флешки в этом случае является сборка образа. По сути, нужно подобрать алгоритм преобразований, которые производит контроллер перед записью информации в микросхему памяти.
Рисунок 2. флешки монолит.
На Рисунке 2 - флешка, выполненная по технологии монолит. Сняв внешний металлический корпус мы увидим черный неразборный "кирпич", с четырьмя контактами USB интерфейса. Для того, чтобы снять дамп с микросхемы памяти минуя контроллер, необходимо получить доступ к технологическим контактам флешки. По этапам:
1. Зачищаем контактную площадку (рис.2 нижнее изображение)
2. Если для этого типа монолита известна так называемая "распиновка" (то есть расположение контактов и их предназначение), флешка распаивается микропайкой на программатор (рис. 3). Если распиновка неизвестна, к работе добавляется еще один этап - определение распиновки монолита. Это отдельное исследование, которое достойно отдельной статьи (и не одной). Вкратце: при помощи линейного анализатора на контакты подаются сигналы, а затем ответные сигналы анализируются. На основании анализа делается вывод о назначении того или иного контакта на технологической площадке монолита.
Рисунок 3. Монолит распаян для вычитывания.
3. Снимаем дамп с монолита. Этот этап также сопряжен с некоторыми трудностями: так как контроллер по-прежнему включен в цепь, он может оказывать влияние на качество дампа - вносить помехи в вычитываемые данные. Для того, чтобы исключить эти влияния применяются различные технологии - от охлаждения микросхемы до понижения питания, подаваемого на монолит при вычитывании дампа. Если и это не помогает получить корректный дамп - остается только физическое отключение монолита их цепи. Для этого сначала требуется обнаружить его местоположение. Проводится съемка внутренних структур флешки при помощи томографа. Затем можно провести процедуру отключения контроллера от цепи.
4. После получения корректного дампа производится сборка образа - эта часть работы ничем не отличается от той, что проделывается для флешки в стандартном исполнении.
Как видите, разница в проводимых работах для монолитов и стандартных флэш значительная. Сложность еще и в том, что мы не можем предсказать, потребуются ли дополнительные этапы работ, пока не дойдем до них. Поэтому определение окончательной стоимости работ по восстановлению данных с монолитов весьма затруднено. Мы обычно обозначаем "вилку" стоимости. Восстановление данных с флэш монолит - трудоемкий и высокотехнологичный процесс, требующий серьезной аппаратной базы и большого опыта сотрудников, проводящих восстановление данных с флэш. Эти работы значительно превышают по цене аналогичные для флэш в стандартном исполнении.
