<font color="#000099"><font size="2"><font face="trebuchet ms,sans-serif"></font></font></font>On Sat, Oct 29, 2011 at 4:49 PM, Alasdair G Kergon <span dir="ltr"><<a href="mailto:agk@redhat.com">agk@redhat.com</a>></span> wrote:<br>

<div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;">markmc did some code that shows how to read the format a few years ago here:<br>
<a href="http://people.gnome.org/%7Emarkmc/code/merge-dm-snapshot.c" target="_blank">http://people.gnome.org/~markmc/code/merge-dm-snapshot.c</a><br>
<br>
Otherwise look at dm-snap-persistent.c in the kernel tree.<br>
<span class="HOEnZb"><font color="#888888"><br>
Alasdair</font></span></blockquote><div><br><font color="#000099"><font size="2"><font face="trebuchet ms,sans-serif"><span style="font-family: courier new,monospace; color: rgb(0, 0, 0);"><font face="courier new,monospace">Users can easily exhaust a LiveUSB snapshot overlay by writing<br>

too many changes to the OS filesystem, such as by performing<br>a yum update.<br><br>Would such an 'exhausted' overlay be amenable to some sort of<br>data recovery or forensics?<br><br>If so, how so; if not, why not?<br>

<br>(or suitable references)<br><br>Thanks,         --Fred<br>
        </font></span></font></font></font></div></div>