Co to jest index.dat: ślady Internet Explorera, które nie umierają

Czym index.dat naprawdę był

Internet Explorer trzymał historię, cookies i wpisywane adresy URL nie w luźnych plikach, lecz w ustrukturyzowanych bazach index.dat porozrzucanych po profilu użytkownika — w folderach Temporary Internet Files, History i Cookies. Każda odwiedzona strona dostawała wpis, wpisy przeżywały „wyczyszczenie historii” w przeglądarce, a pliki były trzymane otwarte przez system operacyjny, więc ręczne usunięcie kończyło się błędem „w użyciu”. Rosły też bez żadnego limitu — i tak maszyna z małym dyskiem kończyła z setkami megabajtów dziennika, o który nikt nie prosił. Dla narzędzi forensic i każdego, kto miał fizyczny dostęp do komputera, index.dat był idealnym zapisem: historia przeglądania, wierząca, że została usunięta.

Co Windows trzyma dzisiaj w zamian

Internet Explorer został ostatecznie wyłączony w lutym 2023 roku, a stare pliki index.dat są w praktyce historią na każdym komputerze z Windows 10 lub 11. Nawyk zapisywania przeniósł się jednak w nowe miejsca:

• WebCache (WebCacheV01.dat): baza ESE pod %LOCALAPPDATA%\Microsoft\Windows\WebCache, która nadal archiwizuje historię IE i starego Edge'a
• Listy skoków i Recent: menu prawym przyciskiem na pasku zadań notują, które pliki otworzył każdy program, w plikach, których większość czyścicieli nigdy nie dotyka
• Thumbs.db i cache miniatur: wizualny indeks zawartości folderów ze zdjęciami, łącznie z obrazami, które usunąłeś
• Baza SRU: własny dziennik użycia Windows — aplikacje, połączenia sieciowe, nawet jak długo każda działała
• AmCache: inwentarz każdego uruchomionego programu ze znacznikami czasu, prowadzony do diagnostyki i chętnie czytany przez narzędzia forensic

Co naprawdę usuwa wyczyszczenie historii przeglądarki

Czyszczenie historii w Chromie, Edge'u czy Firefoksie kasuje bazy tej konkretnej przeglądarki i nic więcej — pozostałości na poziomie systemu trzymają swoje zapisy, i to je przeczytałby ktoś, kto ma dysk. Tryb prywatny ścieni te ślady, ale nie zeruje ich: system nadal loguje plik wykonywalny, a lista skoków może odnotować pobranie. Jeśli model zagrożenia to obcy, który dziedziczy komputer, usunięcie historii jest najmniejszym możliwym gestem; prawdziwą odpowiedzią jest pełne wyczyszczenie dysku, zanim zmieni właściciela. Jeśli model zagrożenia to codzienna prywatność, praktycznym krokiem jest wiedza, których artefaktów faktycznie dotyka Twoje narzędzie do czyszczenia — wiele z nich wciąż reklamuje index.dat, plik, który już nie istnieje, ignorując bazy, które go zastąpiły.

Pytania i odpowiedzi

Przeczytaj także