Glossaire
Slack de fichier
L'espace inutilisé entre la fin des données d'un fichier et la fin de son dernier cluster alloué, qui peut contenir des restes d'anciens fichiers.
Le slack de fichier (file slack, parfois appelé espace résiduel) est l'espace restant à la fin du dernier cluster d'un fichier. Les systèmes de fichiers comme NTFS allouent le stockage par clusters entiers, souvent de 4 Ko. Un fichier de 10 Ko occupe donc trois clusters (12 Ko), et les 2 Ko situés après la fin logique du fichier constituent le slack.
Cet espace n'est pas forcément vide. Lorsqu'un cluster ayant appartenu à un fichier supprimé est réutilisé, le nouveau fichier n'écrase que ce dont il a besoin, et le reste du cluster peut encore contenir des fragments de l'ancien contenu. On y recherche donc du texte, des fragments de documents, des adresses e-mail ou d'autres traces de fichiers qui n'existent plus.
On distingue souvent deux parties :
- le RAM slack (ou slack de secteur), de la fin du fichier à la fin de son dernier secteur ;
- le drive slack, les secteurs entiers restants jusqu'à la fin du cluster.
Les versions modernes de Windows remplissent généralement le reste du dernier secteur avec des zéros : les restes récupérables se trouvent donc surtout dans le drive slack.
Les fragments trouvés dans le slack n'ont ni nom ni horodatage propres, ce qui les rend difficiles à rattacher à un utilisateur ou à une date. Traitez-les comme des pistes à corroborer avec d'autres artefacts. Le slack n'est visible que dans une image disque complète, pas dans une copie logique des fichiers. Voir aussi espace non alloué et carving de fichiers.