Numéro de référence de fichier MFT

Le numéro de référence de fichier MFT (file reference number) est la manière dont NTFS désigne de façon unique un fichier ou un répertoire. Il s'agit d'une valeur de 8 octets composée de deux parties :

• le numéro d'entrée MFT (48 bits), l'index de l'enregistrement du fichier dans la $MFT ;
• le numéro de séquence (16 bits), un compteur qui change chaque fois que cet enregistrement est libéré puis réutilisé pour un autre fichier.

Cette combinaison est essentielle car les entrées MFT sont recyclées. Après la suppression d'un fichier, son entrée peut être attribuée plus tard à un fichier totalement différent. Le numéro d'entrée seul serait alors ambigu, mais le numéro de séquence permet de distinguer les deux. La référence s'affiche généralement sous la forme entrée-séquence, par exemple 84211-3.

Les références de fichier sont omniprésentes dans les métadonnées NTFS. Chaque attribut $FILE_NAME stocke la référence de son répertoire parent, ce qui permet de reconstruire les chemins complets. Les enregistrements du $UsnJrnl contiennent à la fois la référence du fichier et celle du parent, et les entrées d'index $I30 pointent vers les fichiers de la même façon.

Deux vérifications utiles en découlent. Si la référence d'un enregistrement de journal porte un numéro de séquence inférieur à celui de l'entrée MFT actuelle, l'enregistrement décrit un fichier antérieur, supprimé depuis. Et lors de la reconstruction du chemin d'un élément supprimé, faire correspondre entrée et séquence évite d'attribuer une activité au mauvais fichier. Voir aussi Master File Table (MFT).