Smo-K,
J'ai complété mon #4.
Ce qu'il est bon de savoir :
Pour l'instant, les fichiers sont encore en place.
Une partition Linux contient des inoeuds (en anglais : inode) qui sont la table des matières de tes fichiers, répertoires, liens etc.
Ce sont les inoeuds qui portent l'information "toto.jpg est dans les secteurs 12.300 à 13.200 et (quand il y a un peu de fragmentation) 117.956 à 118.000".
C'est cette information qui sera la plus utile, dans un premier temps, pour récupérer tes fichiers (et l'arborescence de ton home).
Il importe donc de LA PRÉSERVER.
Mais, à chaque fois qu'on monte une partition, il y a des inoeuds qui sont réécrits. Même quand on croit ne rien écrire en se contentant de visualiser, il y a déjà des écritures ! Ce sont : compteur, dates d'accès aux fichiers visualisés, etc., cf.
https://www.cgsecurity.org/Articles/acquisition_disque/
Faire attention à ne pas modifier les systèmes de fichiers
Le simple fait de lister le contenu d'un répertoire ou de lire le contenu d'un fichier va modifier les dates d'accès. On risque aussi la création de fichiers temporaires, la création de miniature pour les images/pdf/..., l'indexation du contenu. Le simple fait de brancher un média déclenche sur la plupart des ordinateurs la détection d'une table des partitions et le montage des systèmes de fichiers (affectation d'une lettre d'unité sous Windows, montage en lecture/écriture dans /media sous Unix). Que ce soit une FAT16/FAT32/NTFS/ext2/ext3/..., chacun de ces systèmes de fichiers est modifié dès qu'il est rendu accessible en lecture/écriture: un flag est positionné pour indiquer que le volume est "dirty", ainsi si le média est déconnecté ou l'ordinateur éteint incorrectement, ce drapeau sera détecté automatiquement lorsque le média sera connecté/l'ordinateur redémarré.
Les systèmes de fichiers d'origine Unix ext2/ext3/jfs/reiserfs/xfs/... comportent de plus un compteur s'incrémentant à chaque fois que le volume est monté en lecture/écriture.
- -
Les fichiers sont encore en place, mais les secteurs qui les supportent sont réputés libres.
Donc la moindre écriture risque d'écraser un fichier et un inoeud.
Voilà pourquoi, même en live, il ne faut pas monter la partition à récupérer.
