Современные твердотельные накопители NVMe требуют специальных подходов при их исследовании. С каждым годом скорость и объёмы таких устройств растут, что ставит ряд непростых задач, связанных как со скоростью, так и с надёжностью передачи больших объёмов данных. В новой статье мы рассмотрим результаты тестирования с использованием OSForensics и FTK Imager на быстром NVMe-диске Samsung 980Pro. В качестве бонуса мы протестировали наш прототип блокиратора записи для NVMe-накопителей; результат оказался интересным.
Казалось бы, снять образ с высокоскоростного накопителя проще и быстрее, чем с медленного, однако именно с быстрыми накопителями проявляется ряд проблем, которых не было при работе с более медленными дисками SATA. Вот лишь некоторые из них:
Таким образом, в реальных, а не лабораторных условиях добиться скорости снятия образа, хотя бы отдалённо приближающейся к паспортным характеристикам накопителя, практически невозможно. Результат, к которому следует стремиться — нижняя граница пропускной способности связки «порт USB + используемый адаптер», что, как правило, составляет 10 гигабит в секунду (с учётом накладных расходов протокола USB — теоретический предел составляет порядка 1 ГБ/с).
Мы подробно описывали различные варианты и протоколы носителей информации. В статье Накопители с протоколом SATA: технический обзор мы рассказали о дисках с протоколом SATA, а накопители NVMe описали в статье Накопители с протоколом NVMe: технический обзор. Различия между накопителями, поддерживающими разные протоколы, можно обобщить в следующей таблице:
Вооружившись этим знанием, перейдём непосредственно к тестированию.
В этот раз мы испольховали немного другой ноутбук, а именно Tecno MEGABOOK S1 с процессором Intel Core i7-13700H, память 32 ГБ, SSD 1024 ГБ, порты USB 3.2 Gen2 и USB 4.
Внешний накопитель (с которого снимался образ) подключался к 10-гигабитному порту Type-C, а образ создавался на внутреннем NVMe-накопителе, подключённым непосредственно к шине PCI Express, т.е. с существенным запасом по скорости.
Копирование проводилось с питанием как от внешнего источничника, так и от аккумулятора; с данной моделью ноутбука не наблюдалось падение скорости при отключении внешнего питания (отметим, что мы пока не поняли, почему эффект замедления при использовании встроенного аккумулятора был на предыдущем тестовом стенде: оборудование очень близкое по конфигурации, а нынешний процессор даже немного слабее).
Программы, которые мы использовали (самые свежие версии) вам уже хорошо знакомы: OSForensics и FTK Imager.
На сей раз мы тестировали не диски с интерфейсом SATA (хотя для проверки оборудования сначала проверили и работу с ними, ожидаемо получив такие же результаты, как и на прошлых тестах), а NVMe, а именно Samsung 980Pro (256ГБ).
Думаю, вы не будете сильно удивлены, узнав что OSForensics опять показал лучшие результаты. При подключении тестового NVMe-накопителя к порту USB 4.0 средняя скорость копирования превысила гигабайт в секунду (1007 МБ/с, если быть точным), а создание образа завершилось всего за 4 минуты. Подключив тот же диск к USB 3.2 Gen 2, мы получили примерно такую же скорость (всего на 1% меньше). Очевидно, ограничивающим фактором является скорость не порта USB, а адаптера, к которому подключался диск.
Для сравнения: FTK Imager справился с этой задачей лишь за 7 с половиной минут, и скорость была почти в два раза ниже (525 МБ/с).
Наконец, мы не могли не проверить и работу «инженерного» образца нашего блокиратора записи NVMe, который совсем скоро будет доступен для заказа. Результат приятно удивил даже нас самих: при подключении накопителя с полной защитой от записи скорость копирования составила 965 ГБ/с, или всего на 4% медленне чем при использовании обычного NVMe-адаптера.
Носители с интерфейсами SATA и NVMe являются самыми распространёнными — если, конечно, не считать USB-диски и флешки, а также карты памяти, используемые в фото- и видеокамерах, видеорегистраторах и смартфонах. До них мы ещё обязательно доберёмся; кроме того, очень хочется протестировать и программные средства блокировки, автономные блокираторы, и выполнить приблизительно те же тесты на других программных платформах, в частноста — Linux (с macOS существенно сложнее).
Мы уже писали о том, почему так важно стремиться к получению максимальных скоростей: вы сможете сэкономить огромное количество времени. Если, конечно, у вас есть подходящее оборудование: компьютеры, кабели, адаптеры, переходники и блокираторы записи, использование которых при исследовании любых носителей данных является просто необходимым условием, разумеется, кроме смартфонов.
Извлечение данных из Apple TV 4K второго поколения
Низкоуровневое извлечение данных из Apple Watch Series 4 и Series 5
Криминалистика "умного дома": извлечение данных из Apple Watch S4 и S5, Apple TV 4K (2 поколения)