Espace non alloué

L'espace non alloué (unallocated space) est la partie d'un volume que le système de fichiers considère comme libre. Sur NTFS, le fichier de métadonnées $Bitmap indique quels clusters sont utilisés ; tout cluster marqué comme libre est non alloué.

Supprimer un fichier n'efface normalement pas son contenu. NTFS marque l'enregistrement du fichier dans la $MFT comme inutilisé et libère ses clusters dans $Bitmap, mais les données restent sur le disque jusqu'à ce qu'elles soient écrasées. L'espace non alloué est donc une source majeure de documents, images, journaux et fragments d'anciens artefacts supprimés.

Ce qui subsiste dépend de plusieurs facteurs : l'activité du disque, l'ancienneté de la suppression et le type de support. Sur un SSD, la commande TRIM permet au disque d'abandonner les blocs libérés : les données supprimées disparaissent alors souvent bien plus vite que sur un disque dur mécanique. Les outils d'effacement sécurisé qui écrasent l'espace libre ont le même effet.

La récupération suit généralement deux voies. Si l'enregistrement MFT existe encore, ses data runs pointent directement vers les anciens clusters. Sinon, le carving de fichiers recherche des signatures connues dans l'espace brut. Dans les deux cas, le contenu récupéré manque souvent d'un nom, d'un chemin ou d'horodatages fiables, et doit être corroboré. L'espace non alloué n'existe que dans une image physique ou une image complète du volume : une collecte logique de triage ne peut pas le capturer. Des versions antérieures de fichiers peuvent aussi subsister dans les clichés instantanés de volume. Voir aussi slack de fichier.