Записывать - сразу. Использовать дополнительный файл в качестве UNDO-буфера (записывать в него offset:length:olddata).

Eoltотменять правки прийдется слишком долгоВ любом случае какая-то одна из возможных операций окажется длительной. Я считаю, что длительный откат гораздо более логичен, чем длительный старт или завершение.
Eoltесли программа слетит, файл окажется исправленным, хотя пользователь мог не хотеть этого.Во-первых, падение программы никак не влияет на файл отката. Он останется, и никто не мешает перезапуститься и выполнить откат по имеющимся данным. Просто нехрен держать его открытым - если внесены изменения, выполняется open-append-close файла отката, и только потом пишутся изменения в тело файла.
Во-вторых, обязательно должна либо существовать кнопка "Фиксировать изменения" (файл отката чистится), либо при старте должен выдаваться запрос с предложением откатиться/очистить/продолжить как есть. А лучше и то, и другое, причём скорее всего - без возможности отключения запроса.