Операционная система Windows 11 способна сохранять небольшие эскизы (миниатюры) графических файлов даже после того, как сами исходные изображения были удалены пользователем. На эту особенность обратили внимание после публикации в социальной сети X аккаунта @Ayzacoder 26 сентября. Утверждается, что система хранит миниатюры всех когда-либо удаленных фотографий в специальных базах данных, что часто используется экспертами при проведении форензики (цифровой криминалистики).
Как работает хранилище миниатюр в Windows
Данные кэша располагаются в профиле каждого пользователя по пути %LocalAppData%\Microsoft\Windows\Explorer. Система использует файлы баз данных, имеющие общее имя thumbcache_*.db. Примерами таких файлов являются thumbcache_32.db и thumbcache_256.db, причем точный набор этих файлов может отличаться в зависимости от версии операционной системы. Помимо фотографий, кэш также содержит предварительные просмотры видеороликов и некоторых типов документов.
Общий механизм кэширования был внедрен еще в Windows Vista, заменив собой локальные файлы Thumbs.db, которые ранее размещались в каждой папке в Windows XP. Если «Проводник» или стороннее приложение запрашивает эскиз, которого еще нет в кэше, Windows извлекает его из исходного файла и сохраняет отдельно, если только приложение явно не указывает флаг WTS_EXTRACTDONOTCACHE. В ходе тестирования, проведенного 27 сентября, после открытия и удаления трех изображений дата изменения файлов thumbcache_*.db не обновилась, а перезагрузка системы не привела к удалению сохраненных миниатюр.
Методы извлечения и удаления данных
Для восстановления изображений из кэша специалисты по компьютерной криминалистике часто применяют специализированное ПО, например, утилиту с открытым исходным кодом Thumbcache Viewer. Важно понимать, что этот инструмент позволяет извлечь именно уменьшенные копии, информативность которых зависит от конкретного изображения.
Компания Microsoft в своей документации рекомендует использовать политику «Отключить кэширование эскизов» (Turn off caching of thumbnail pictures) для корпоративных рабочих станций или компьютеров, где вопросы безопасности стоят на первом месте. Это обусловлено тем, что кэш эскизов доступен для чтения всем пользователям системы. Параметр доступен в редакторе локальной групповой политики на Windows 11 версий Pro, Enterprise и Education по пути: Конфигурация пользователя — Административные шаблоны — Компоненты Windows — Проводник.
Для пользователей домашней версии (Windows 11 Home) в качестве альтернативы можно выбрать в настройках «Проводника» опцию «Всегда отображать значки, а не эскизы». Это предотвратит создание системой новых превью. Полная очистка существующего кэша возможна следующими способами:
- Использование встроенного инструмента «Очистка диска» (запускается командой cleanmgr). В нем необходимо выбрать системный диск, отметить пункт «Эскизы» и нажать «Удалить файлы».
- Ручное удаление файлов баз данных из папки Explorer после предварительного закрытия «Проводника».
После удаления этих файлов Windows автоматически пересоздает базу данных по мере того, как пользователь просматривает содержимое папок.
