NTFS : New Technology File System
Infrastructure
NTFS : New Technology File System, système de fichiers de Microsoft introduit en 1993 avec Windows NT 3.1. « La comptabilité qui tient, pour chaque fichier d'un disque Windows, son nom, ses droits, ses dates et l'emplacement de ses données », par analogie avec le registre d'une bibliothèque : rayer une ligne n'a jamais fait disparaître le livre de l'étagère.
Structure : Toutes les informations sur les fichiers sont rangées dans la table maîtresse des fichiers (MFT, Master File Table). Les très petits fichiers sont stockés directement dans leur enregistrement de cette table. NTFS gère aussi des listes de contrôle d'accès par fichier, un journal des transactions et le chiffrement de fichiers intégré (EFS, Encrypting File System).
Suppression : Supprimer un fichier marque son enregistrement et ses blocs comme libres, sans les effacer. Tant qu'ils ne sont pas réutilisés, des outils de récupération ou d'investigation les reconstituent, et les journaux internes ($LogFile, $UsnJrnl) gardent souvent la trace du nom et des dates du fichier disparu : NTFS oublie lentement, et rarement complètement.
Flux alternatifs : Un fichier NTFS peut porter des flux de données supplémentaires, invisibles dans l'explorateur. Windows s'en sert par exemple pour marquer les fichiers téléchargés depuis Internet (flux Zone.Identifier) ; des logiciels malveillants s'en servent pour cacher du contenu.
Ce qui arrive si on s'en passe
Croire qu'un fichier supprimé sur NTFS a disparu expose ses données à quiconque récupère le disque ou une image de celui-ci : contenu des blocs non réécrits, petits fichiers encore présents dans la MFT, noms et dates conservés dans les journaux. Un poste revendu, un disque envoyé en réparation ou une sauvegarde brute deviennent alors des sources de fuite. À l'inverse, oublier les flux alternatifs revient à laisser un logiciel malveillant entreposer sa charge dans un recoin que le regard humain ne visite jamais.
Explication de la marmotte
NTFS est la manière dont Windows organise les fichiers sur un disque. Il tient une grande table qui indique, pour chaque fichier, son nom, ses dates et l'endroit où ses données sont rangées. Quand on supprime un fichier, Windows retire surtout la ligne de cette table et marque la place comme libre, mais les données restent sur le disque tant que rien ne les remplace. C'est pour cela qu'on peut souvent récupérer un fichier effacé, et qu'il faut un vrai effacement pour faire disparaître des données sensibles.
Où ce terme est utilisé
- Auditer l'héritage des permissions et le droit effectif (13 occurrences)
- DAC, MAC, RBAC, ABAC ou ReBAC : quel modèle choisir (1 occurrence)
- Pourquoi supprimer un fichier ne l'efface pas (1 occurrence)