Récupérer un SSD : la méthode de laboratoire

Contrairement au disque dur, un SSD n'a aucune pièce mobile : les données vivent dans des puces de mémoire NAND, pilotées par un contrôleur qui en orchestre l'écriture, l'usure et la correction d'erreurs. Cette architecture le rend plus rapide et plus robuste aux chocs — mais paradoxalement plus dangereux à récupérer, car le SSD gère lui-même sa mémoire et peut effacer des données sans intervention humaine.

Ce chapitre s'adresse à qui veut comprendre la logique d'une récupération flash avant de décider. Pour la physique de la NAND, voyez le chapitre correspondant du Manuel ; pour confier un support, la prestation SSD.

1 · Le piège du TRIM — pourquoi le temps compte

C'est la différence majeure avec un disque dur. Sur un HDD, un fichier supprimé reste physiquement présent jusqu'à réécriture. Sur un SSD, le système d'exploitation envoie une commande TRIM qui prévient le contrôleur que des blocs sont libres ; le SSD les efface alors physiquement, en arrière-plan, pour préparer de futures écritures. Résultat : des données supprimées peuvent devenir irrécupérables en quelques minutes, même sans aucune action de l'utilisateur.

2 · Reconnaître le type de panne

Panne logique

SSD sain et détecté, mais fichiers supprimés, partition formatée, système RAW. Récupérable à ~90 % — à condition que le TRIM n'ait pas déjà fait son œuvre, d'où l'urgence.

Panne firmware / contrôleur

SSD affiché en SATAFIRM S11, capacité 0, mode Busy, ou disparu après une mise à jour : la table de translation (FTL) qui relie adresses logiques et pages NAND est corrompue. La donnée est intacte mais inadressable. ~82 % de réussite.

Dégradation NAND (Bit Rot)

Erreurs de lecture massives, ralentissements : les cellules s'usent électriquement et l'ECC ne suffit plus. On lit alors les puces en modifiant les seuils de tension. Pronostic variable.

Contrôleur détruit / SSD mort

Aucune réponse, après chute ou surtension. Seul le chip-off (dessoudage des puces NAND) permet de tenter une lecture. 50 à 70 % selon le chiffrement intégré au contrôleur.

3 · La démarche du laboratoire

Phase 1 — Arrêt & diagnostic

Coupure immédiate de toute écriture, diagnostic électronique, identification du contrôleur et du type de NAND. On détermine si le contrôleur est adressable ou s'il faudra passer par les puces.

Phase 2 — Voie contrôleur (mode Safe & reverse FTL)

Si le contrôleur répond, on le force en Safe Mode via un loader chargé en RAM, puis on reconstruit la table de translation (reverse FTL) à partir des métadonnées résiduelles — sans firmware d'origine. C'est la voie la plus fiable quand elle est possible.

Phase 3 — Voie NAND (chip-off & reconstruction)

Si le contrôleur est mort, on dessoude les puces en station BGA, on lit leur contenu brut, puis on reconstitue logiciellement l'entrelacement (interleaving), le brouillage (scrambling/XOR) et l'ECC propres au contrôleur. Lorsque les cellules sont fatiguées, le Read Retry ajuste les seuils de tension et le décodage LDPC soft corrige les erreurs binaires.

Phase 4 — Cas Apple (board-level & déchiffrement)

Sur MacBook à SSD soudé (T2, M1–M4), on répare d'abord les rails d'alimentation au niveau composant, puis on lit le SSD via une interface DFU matérielle. Le déchiffrement n'est possible que si le Secure Enclave est fonctionnel et que la clé FileVault ou le mot de passe est connu.

Phase 5 — Extraction & VeriFiles

Reconstruction du système de fichiers, vérification, puis liste VeriFiles validée avant paiement. Restitution sur support neuf chiffré.

4 · Taux de réussite par scénario

• Panne logique (sans TRIM déclenché) — 90 %
• Firmware / contrôleur réparable — 82 %
• MacBook board-level (T2 / M-series) — 80 %
• Chip-off NAND + reconstruction — 50 à 70 %
• SSD passé en secure erase — autour de 15 %

5 · Les erreurs qui détruisent les données