Článek
Na monitoru se objeví fotografie. Je ostrá, barevná a na první pohled úplná. Forenzní program ji označuje slovem deleted. V místnosti stačí jedna věta. Obnovili jsme smazaný snímek.
Zní přesně. Zní definitivně. A za pár sekund vytvoří příběh, který samotný nález možná vůbec neobsahuje. Skutečná otázka nezní, jestli se něco podařilo obnovit. Zní, jaký objekt jsme našli, jak vznikl, které jeho vlastnosti jsme přímo viděli a kde už začíná odhad.
Fotografie, která se „vrátila“
Na obrazovce může být obraz, který běžné rozhraní už neukazovalo. Může to být původní soubor nalezený díky zachovaným metadatům. Může to být i kus souboru vyříznutý podle typické hlavičky JPEG. Náhled, který vytvořil operační systém. Kopie z mezipaměti. Příloha uložená jinou aplikací. Záznam ze zálohy. Nebo směs bloků, které nástroj spojil podle technického pravidla.
Všechny ty výsledky se dají nazvat obnovenou fotografií. Forenzně nejsou zaměnitelné. Liší se původem, úplností, metadaty, vazbou na aplikaci i tím, jestli jejich přítomnost vůbec umíme spojit s jednáním konkrétního člověka.
NIST ve vědecké revizi digitálních vyšetřovacích metod shrnuje, že používané techniky mají pevný základ v informatice, pokud se použijí správně. Zároveň mají známé limity. Ne všechny stopy lze najít. Obnova smazaných dat může vrátit jen část souboru, přidat cizí materiál nebo spojit fragmenty, které k sobě nepatří.
Smazání není jedna událost
Když člověk stiskne Delete, vidí jednoduchou změnu. Položka zmizí. Počítač přitom nemusí provést jediné fyzické zničení dat.
Uživatelská akce se propadá několika vrstvami. Aplikace může jen odstranit položku ze seznamu. Databáze může řádek označit jako smazaný, obsah přesunout do volného prostoru nebo změnu zapsat do žurnálu. Souborový systém může zrušit vazbu mezi názvem a bloky a prostor označit jako volný pro další zápis. Řadič úložiště může logické adresy přemapovat na jiné fyzické buňky. A mimo zařízení dál žijí synchronizované kopie, zálohy, náhledy a data v cloudu.
U klasického souborového systému často není první krok přepis obsahu, ale změna evidence. Záznam přestane být aktivní a jeho prostor se uvolní pro další použití. Dokud není přepsaný, může se zachovat celý obsah nebo jeho část.
NIST sanitizaci nepopisuje jako metafyzickou nepřítomnost každého bitu. Popisuje ji jako stav, kdy je získání dat pro daný model útoku prakticky neproveditelné. Slovo smazané tedy popisuje stav v určité vrstvě. Samo neříká, co se stalo ve všech ostatních.
SSD změnil pravidla, ale ne jedním směrem
Disk SSD neukazuje operačnímu systému jednoduchou mapu, na které by jeden logický blok ležel pořád v jedné fyzické buňce. Mezi nimi pracuje řadič s překladem adres. Kvůli omezením paměti NAND používá přemapování, zápis na nové místo, vyrovnávání opotřebení a úklid bloků.
Příkaz TRIM dovoluje operačnímu systému říct disku, že určité logické bloky už nejsou potřeba. To není totéž jako přesně načasovaný fyzický výmaz. Co zůstane ve fyzické vrstvě a co lze reálně získat, záleží na zařízení, firmwaru, šifrování, stavu napájení i na tom, jak se data získávala.
Šifrování přidává další paradox. Bajty mohou ve fyzickém médiu pořád být, ale bez klíče jsou prakticky nepřístupné. U Applu s ochranou dat je každý soubor chráněný vlastním klíčem, zabaleným do hierarchie klíčů. Rychlé odstranění vyššího klíče může soubory kryptograficky znepřístupnit, aniž by se musel přepisovat celý flash.
Přítomnost, adresovatelnost a čitelnost jsou tři různé vlastnosti.
Telefon není malý pevný disk
Na telefonu neleží podstatná část významných dat jako samostatné dokumenty s názvem a cestou. Leží v databázích aplikací, v konfiguraci, v protokolech, v mezipaměti a v databázových žurnálech.
Smazaná zpráva proto nemusí být soubor. Může to být řádek, několik propojených tabulek, záznam ve WAL souboru, příloha v jiné cestě a náhled v cache. Dokumentace SQLite říká, že běžné odstranění obsahu obvykle neznamená okamžité vymazání původních bajtů. Příkaz VACUUM databázi znovu sestaví, ale kopie téhož obsahu může přežít v souborovém systému, v jiné databázi, v záloze, v notifikaci nebo v synchronizovaném účtu.
Pracovní skupina SWGDE upozorňuje, že artefakt nalezený na Androidu mohl pocházet z jiného zařízení přihlášeného ke stejnému účtu Google. Fyzické umístění odpovídá místu, kde se věc našla. Nemusí odpovídat místu, kde vznikla, ani člověku, který ji spustil.
Čtyři významy slova obnovené
NIST popisuje tři běžné technické rodiny. Obnovu opřenou o metadata souborového systému. Carving podle charakteristických struktur souboru. A obnovu smazaných záznamů uvnitř formátů aplikací. V praxi se hodí přidat čtvrtou kategorii. Odvozenou kopii.
Obnova podle metadat umí obsah spojit s původním názvem a cestou, pokud ty struktury zůstaly použitelné. Ani tady název účtu automaticky nedokazuje autora obsahu.
File carving hledá typické hlavičky, patičky nebo vnitřní strukturu a nespoléhá na původní metadata. Umí najít hodnotný obsah. Často ale ztratí jméno, cestu a vztah k ostatním objektům. Může v sobě smíchat části různých původních věcí.
Databázový zbytek může nést identifikátor, text, příznak smazání nebo čas. Jeho význam závisí na správném rozpoznání schématu konkrétní verze aplikace. Parser, který kdysi odpovídal, může po aktualizaci stejné pole přečíst špatně.
Odvozená kopie je něco jiného. Miniatura může přežít originál a přitom vypadat jako jeho menší verze. Cache může vzniknout automatickým načtením. Takový nález může dokazovat, že systém obsah zpracoval. Nemusí dokazovat, že ho člověk vědomě otevřel nebo viděl.
Digitální nález začíná nízko. Určitá sekvence bajtů existuje v konkrétním zdroji. Software z ní pozná strukturu. Teprve potom se ptáme, co artefakt znamená jako událost. Až nakonec, jestli se událost dá spojit s člověkem, s vědomím a s úmyslem.
V běžném vyprávění se ty úrovně snadno slijí. „V cache prohlížeče byl obrázek“ se změní na „uživatel navštívil stránku“. „V databázi byl záznam zprávy“ se změní na „majitel telefonu zprávu napsal“. Každý z těch závěrů může být správný. Žádný není obsažený jen v první větě.
U času je hranice ještě ostřejší. Jedno číslo může znamenat vznik objektu, změnu souboru, synchronizaci, import, čas serveru nebo okamžik, kdy vznikl náhled. Teprve dokumentace, test stejné verze aplikace a srovnání s dalšími stopami dovolí říct, co dané pole opravdu reprezentuje.
Nástroj není svědek. Je to překladatel
Forenzní software zvládne za hodiny objem, který by člověk ručně procházel měsíce. Právě tahle síla vytváří iluzi, že položka v grafickém okně je přímý otisk reality. Není. Je výsledek algoritmu, pravidla parseru, databáze signatur, nastavení a verze nástroje.
Dva programy mohou stejné bajty pojmenovat jinak. Aktualizace nástroje může z téže akvizice vytáhnout další položky. Nový výsledek přitom neznamená, že se v důkazním obrazu objevila nová data. Změnila se schopnost je poznat.
SWGDE doporučuje významné artefakty ověřovat. Porovnat vzorek mezi víc nástroji, dohledat surové umístění a ručně zkontrolovat dekódování. Hash je výborný na ověření neporušenosti kopie. Neověřuje správnost parseru. Nedokazuje význam časového pole. A už vůbec neopravňuje skok od souboru k úmyslu člověka.
Jak zní poctivý závěr
Příliš silná věta zní takhle. Uživatel dne 12. května ve 22:14 smazal fotografii.
Technicky vymezená věta zní jinak. V nealokovaném prostoru akvizice byl pomocí file carvingu nalezen JPEG, který jde dekódovat. Původní záznam souborového systému, název a cesta se nenašly. Čas v interních metadatech souboru nelze bez další opory ztotožnit s okamžikem smazání. A nelze z něj určit osobu, která operaci provedla.
Druhá věta není opatrnická. Je informačně bohatší.
Nepřítomnost nálezu není automaticky důkaz zničení. Data mohla přepsat běžná práce systému, mohla zůstat mimo rozsah akvizice, mohla být šifrovaná, nebo v tom zařízení nikdy nebyla. Stejně tak přítomnost artefaktu není automaticky důkaz vědomého jednání. Mohl vzniknout sám, synchronizací, obnovou zálohy nebo činností jiné součásti.
Na monitoru je pořád stejný snímek. Mění se jen věta pod ním. Méně filmová formulace nemá triumfální návrat pravdy. Má hranici mezi tím, co se našlo, a tím, co si o nálezu teprve myslíme. Nejistota není vypínač, který důkaz znehodnotí. Je to údaj o dosahu konkrétního tvrzení.
Nejtěžší část digitální forenziky nezačíná ve chvíli, kdy data chybí. Začíná ve chvíli, kdy něco najdeme a máme odolat nutkání doplnit zbytek.
Forenzní přesnost není soutěž o nejtvrdší větu. Je to schopnost dát každému tvrzení právě takovou jistotu, jakou dovolují jeho opory. Celý soubor s ověřenou cestou, souhlasnými metadaty a podpůrnými logy dovoluje jiný závěr než bezejmenný fragment. Něco může přežít bez názvu. Název může přežít bez obsahu. Náhled může přežít bez originálu. Bajty mohou přežít bez klíče. A několik neúplných stop může dohromady vytvořit spolehlivější obraz než jeden soubor, který vypadá dokonale.
Zdroje
- Lyle, J. R. a kol. (2022). *Digital Investigation Techniques.* NIST IR 8354.
- Chandramouli, R. a Hibbard, E. (2025). *Guidelines for Media Sanitization.* NIST SP 800-88 Rev. 2.
- SQLite. Dokumentace k VACUUM, secure_delete a Write-Ahead Logging.
- SWGDE. Best Practices for Computer Forensic Examinations (2025); návrh Best Practices for Mobile Device Forensic Analysis (červen 2026).
- Apple Platform Security. Data Protection. Android Open Source Project. File-based encryption.
Původně publikováno na jinykontext.cz: https://jinykontext.cz/clanek/jiny-kontext-smazane-obnovene
Zní přesně. Zní definitivně. A za pár sekund vytvoří příběh, který samotný nález možná vůbec neobsahuje. Skutečná otázka nezní, jestli se něco podařilo obnovit. Zní, jaký objekt jsme našli, jak vznikl, které jeho vlastnosti jsme přímo viděli a kde už začíná odhad.
## Fotografie, která se „vrátila“
Na obrazovce může být obraz, který běžné rozhraní už neukazovalo. Může to být původní soubor nalezený díky zachovaným metadatům. Může to být i kus souboru vyříznutý podle typické hlavičky JPEG. Náhled, který vytvořil operační systém. Kopie z mezipaměti. Příloha uložená jinou aplikací. Záznam ze zálohy. Nebo směs bloků, které nástroj spojil podle technického pravidla.
Všechny ty výsledky se dají nazvat obnovenou fotografií. Forenzně nejsou zaměnitelné. Liší se původem, úplností, metadaty, vazbou na aplikaci i tím, jestli jejich přítomnost vůbec umíme spojit s jednáním konkrétního člověka.
NIST ve vědecké revizi digitálních vyšetřovacích metod shrnuje, že používané techniky mají pevný základ v informatice, pokud se použijí správně. Zároveň mají známé limity. Ne všechny stopy lze najít. Obnova smazaných dat může vrátit jen část souboru, přidat cizí materiál nebo spojit fragmenty, které k sobě nepatří.
## Smazání není jedna událost
Když člověk stiskne Delete, vidí jednoduchou změnu. Položka zmizí. Počítač přitom nemusí provést jediné fyzické zničení dat.
Uživatelská akce se propadá několika vrstvami. Aplikace může jen odstranit položku ze seznamu. Databáze může řádek označit jako smazaný, obsah přesunout do volného prostoru nebo změnu zapsat do žurnálu. Souborový systém může zrušit vazbu mezi názvem a bloky a prostor označit jako volný pro další zápis. Řadič úložiště může logické adresy přemapovat na jiné fyzické buňky. A mimo zařízení dál žijí synchronizované kopie, zálohy, náhledy a data v cloudu.
U klasického souborového systému často není první krok přepis obsahu, ale změna evidence. Záznam přestane být aktivní a jeho prostor se uvolní pro další použití. Dokud není přepsaný, může se zachovat celý obsah nebo jeho část.
NIST sanitizaci nepopisuje jako metafyzickou nepřítomnost každého bitu. Popisuje ji jako stav, kdy je získání dat pro daný model útoku prakticky neproveditelné. Slovo smazané tedy popisuje stav v určité vrstvě. Samo neříká, co se stalo ve všech ostatních.
## SSD změnil pravidla, ale ne jedním směrem
Disk SSD neukazuje operačnímu systému jednoduchou mapu, na které by jeden logický blok ležel pořád v jedné fyzické buňce. Mezi nimi pracuje řadič s překladem adres. Kvůli omezením paměti NAND používá přemapování, zápis na nové místo, vyrovnávání opotřebení a úklid bloků.
Příkaz TRIM dovoluje operačnímu systému říct disku, že určité logické bloky už nejsou potřeba. To není totéž jako přesně načasovaný fyzický výmaz. Co zůstane ve fyzické vrstvě a co lze reálně získat, záleží na zařízení, firmwaru, šifrování, stavu napájení i na tom, jak se data získávala.
Šifrování přidává další paradox. Bajty mohou ve fyzickém médiu pořád být, ale bez klíče jsou prakticky nepřístupné. U Applu s ochranou dat je každý soubor chráněný vlastním klíčem, zabaleným do hierarchie klíčů. Rychlé odstranění vyššího klíče může soubory kryptograficky znepřístupnit, aniž by se musel přepisovat celý flash.
Přítomnost, adresovatelnost a čitelnost jsou tři různé vlastnosti.
## Telefon není malý pevný disk
Na telefonu neleží podstatná část významných dat jako samostatné dokumenty s názvem a cestou. Leží v databázích aplikací, v konfiguraci, v protokolech, v mezipaměti a v databázových žurnálech.
Smazaná zpráva proto nemusí být soubor. Může to být řádek, několik propojených tabulek, záznam ve WAL souboru, příloha v jiné cestě a náhled v cache. Dokumentace SQLite říká, že běžné odstranění obsahu obvykle neznamená okamžité vymazání původních bajtů. Příkaz VACUUM databázi znovu sestaví, ale kopie téhož obsahu může přežít v souborovém systému, v jiné databázi, v záloze, v notifikaci nebo v synchronizovaném účtu.
Pracovní skupina SWGDE upozorňuje, že artefakt nalezený na Androidu mohl pocházet z jiného zařízení přihlášeného ke stejnému účtu Google. Fyzické umístění odpovídá místu, kde se věc našla. Nemusí odpovídat místu, kde vznikla, ani člověku, který ji spustil.
## Čtyři významy slova obnovené
NIST popisuje tři běžné technické rodiny. Obnovu opřenou o metadata souborového systému. Carving podle charakteristických struktur souboru. A obnovu smazaných záznamů uvnitř formátů aplikací. V praxi se hodí přidat čtvrtou kategorii. Odvozenou kopii.
Obnova podle metadat umí obsah spojit s původním názvem a cestou, pokud ty struktury zůstaly použitelné. Ani tady název účtu automaticky nedokazuje autora obsahu.
File carving hledá typické hlavičky, patičky nebo vnitřní strukturu a nespoléhá na původní metadata. Umí najít hodnotný obsah. Často ale ztratí jméno, cestu a vztah k ostatním objektům. Může v sobě smíchat části různých původních věcí.
Databázový zbytek může nést identifikátor, text, příznak smazání nebo čas. Jeho význam závisí na správném rozpoznání schématu konkrétní verze aplikace. Parser, který kdysi odpovídal, může po aktualizaci stejné pole přečíst špatně.
Odvozená kopie je něco jiného. Miniatura může přežít originál a přitom vypadat jako jeho menší verze. Cache může vzniknout automatickým načtením. Takový nález může dokazovat, že systém obsah zpracoval. Nemusí dokazovat, že ho člověk vědomě otevřel nebo viděl.
Digitální nález začíná nízko. Určitá sekvence bajtů existuje v konkrétním zdroji. Software z ní pozná strukturu. Teprve potom se ptáme, co artefakt znamená jako událost. Až nakonec, jestli se událost dá spojit s člověkem, s vědomím a s úmyslem.
V běžném vyprávění se ty úrovně snadno slijí. „V cache prohlížeče byl obrázek“ se změní na „uživatel navštívil stránku“. „V databázi byl záznam zprávy“ se změní na „majitel telefonu zprávu napsal“. Každý z těch závěrů může být správný. Žádný není obsažený jen v první větě.
U času je hranice ještě ostřejší. Jedno číslo může znamenat vznik objektu, změnu souboru, synchronizaci, import, čas serveru nebo okamžik, kdy vznikl náhled. Teprve dokumentace, test stejné verze aplikace a srovnání s dalšími stopami dovolí říct, co dané pole opravdu reprezentuje.
## Nástroj není svědek. Je to překladatel
Forenzní software zvládne za hodiny objem, který by člověk ručně procházel měsíce. Právě tahle síla vytváří iluzi, že položka v grafickém okně je přímý otisk reality. Není. Je výsledek algoritmu, pravidla parseru, databáze signatur, nastavení a verze nástroje.
Dva programy mohou stejné bajty pojmenovat jinak. Aktualizace nástroje může z téže akvizice vytáhnout další položky. Nový výsledek přitom neznamená, že se v důkazním obrazu objevila nová data. Změnila se schopnost je poznat.
SWGDE doporučuje významné artefakty ověřovat. Porovnat vzorek mezi víc nástroji, dohledat surové umístění a ručně zkontrolovat dekódování. Hash je výborný na ověření neporušenosti kopie. Neověřuje správnost parseru. Nedokazuje význam časového pole. A už vůbec neopravňuje skok od souboru k úmyslu člověka.
## Jak zní poctivý závěr
Příliš silná věta zní takhle. Uživatel dne 12. května ve 22:14 smazal fotografii.
Technicky vymezená věta zní jinak. V nealokovaném prostoru akvizice byl pomocí file carvingu nalezen JPEG, který jde dekódovat. Původní záznam souborového systému, název a cesta se nenašly. Čas v interních metadatech souboru nelze bez další opory ztotožnit s okamžikem smazání. A nelze z něj určit osobu, která operaci provedla.
Druhá věta není opatrnická. Je informačně bohatší.
Nepřítomnost nálezu není automaticky důkaz zničení. Data mohla přepsat běžná práce systému, mohla zůstat mimo rozsah akvizice, mohla být šifrovaná, nebo v tom zařízení nikdy nebyla. Stejně tak přítomnost artefaktu není automaticky důkaz vědomého jednání. Mohl vzniknout sám, synchronizací, obnovou zálohy nebo činností jiné součásti.
Na monitoru je pořád stejný snímek. Mění se jen věta pod ním. Méně filmová formulace nemá triumfální návrat pravdy. Má hranici mezi tím, co se našlo, a tím, co si o nálezu teprve myslíme. Nejistota není vypínač, který důkaz znehodnotí. Je to údaj o dosahu konkrétního tvrzení.
Nejtěžší část digitální forenziky nezačíná ve chvíli, kdy data chybí. Začíná ve chvíli, kdy něco najdeme a máme odolat nutkání doplnit zbytek.
Forenzní přesnost není soutěž o nejtvrdší větu. Je to schopnost dát každému tvrzení právě takovou jistotu, jakou dovolují jeho opory. Celý soubor s ověřenou cestou, souhlasnými metadaty a podpůrnými logy dovoluje jiný závěr než bezejmenný fragment. Něco může přežít bez názvu. Název může přežít bez obsahu. Náhled může přežít bez originálu. Bajty mohou přežít bez klíče. A několik neúplných stop může dohromady vytvořit spolehlivější obraz než jeden soubor, který vypadá dokonale.
## Zdroje
- Lyle, J. R. a kol. (2022). *Digital Investigation Techniques.* NIST IR 8354.
- Chandramouli, R. a Hibbard, E. (2025). *Guidelines for Media Sanitization.* NIST SP 800-88 Rev. 2.
- SQLite. Dokumentace k VACUUM, secure_delete a Write-Ahead Logging.
- SWGDE. Best Practices for Computer Forensic Examinations (2025); návrh Best Practices for Mobile Device Forensic Analysis (červen 2026).
- Apple Platform Security. Data Protection. Android Open Source Project. File-based encryption.
Původně publikováno na jinykontext.cz: https://jinykontext.cz/clanek/jiny-kontext-smazane-obnovene
01-111-kontrola-pevneho-disku
02-112-pametova-karta-pod-lupou
