Come recuperare file fscrypt eliminati e partizioni EXT4 crittografate
-
Autore:
Anton Kryvoruchko
-
Editore:
Mykhailo Miroshnichenko
L’eliminazione dei file da una partizione EXT4 non significa sempre che essi siano persi definitivamente. Tuttavia, il recupero dei dati diventa più complesso se erano stati crittografati con fscrypt. Questo meccanismo di crittografia a livello di file system protegge il contenuto di file e directory, pertanto i metodi di recupero standard potrebbero non produrre il risultato atteso. In questo articolo esamineremo come i dati fscrypt vengono memorizzati e crittografati in EXT4, cosa accade ai file dopo l’eliminazione e quali metodi possono essere utilizzati per individuarli e recuperarli.
- Come funziona fscrypt
- Come recuperare i file fscrypt eliminati e crittografati da una partizione EXT4
- Conclusione
- Domande frequenti
- Commenti
La perdita di accesso ai dati crittografati si verifica più spesso a causa di un danneggiamento del file system EXT4 stesso. Ad esempio, in seguito a un guasto hardware o software del computer. È inoltre frequente l’eliminazione accidentale di cartelle crittografate. Sulle unità flash USB, questo diventa un problema concreto perché i file vengono eliminati istantaneamente, bypassando il Cestino di sistema.
Un altro scenario tipico è il collegamento dell’unità a un altro sistema. Senza un ambiente configurato e la chiave richiesta, fscrypt blocca semplicemente la cartella, visualizzando una sequenza di caratteri incomprensibile al posto dei nomi effettivi dei file. A ciò si aggiungono i casi che coinvolgono il danneggiamento dei record di metadati inode e l’eliminazione accidentale di intere partizioni logiche.
È importante comprendere chiaramente: gli strumenti di Hetman Software non sono destinati all’estrazione di password e non decifrano i dati protetti. Lo scopo principale del programma è individuare e recuperare in sicurezza i file crittografati eliminati nella loro forma originale. Per accedere successivamente al contenuto, sarà comunque necessaria la chiave o la password originali.
La seguente dimostrazione di questo processo utilizzerà Windows come esempio, ma gli algoritmi del programma forniscono un recupero ugualmente efficace dei dati crittografati da supporti in esecuzione su Linux e macOS.
Come recuperare file crittografati fscrypt eliminati da una partizione EXT4
Come funziona fscrypt
Sebbene la crittografia sia uno standard di sicurezza, il recupero di file bloccati richiede soluzioni tecniche specifiche. Il supporto nativo per il meccanismo di crittografia fscrypt è stato implementato nel kernel Linux dalla versione 4.1 per EXT4, ed è inoltre ampiamente utilizzato in distribuzioni moderne come Ubuntu, Debian, Arch Linux e Fedora.
A differenza della crittografia completa del disco, fscrypt opera esclusivamente a livello di file system. L’utilità protegge solo le directory selezionate: il contenuto dei file viene crittografato in modo sicuro con l’algoritmo AES-256-XTS, mentre i nomi dei file vengono nascosti mediante AES-256-CTS. Tuttavia, le informazioni di servizio di base rimangono non crittografate.
È proprio questa caratteristica architetturale che consente agli algoritmi di Hetman Partition Recovery di analizzare i descrittori di indice non crittografati e ottenere dati precisi sulle dimensioni dei file e sulla frammentazione. Di conseguenza, il programma individua correttamente tutti i dati e ricostruisce integralmente la struttura originale delle directory, pronta per lo sblocco successivo con la chiave di accesso.
Per quanto riguarda l’archiviazione delle password: il sistema non conserva la password in chiaro. Le master key crittografate vengono memorizzate direttamente sull’unità, di norma in una speciale cartella di sistema nascosta denominata .fscrypt. Quando una directory viene sbloccata, la password personale o le credenziali di sistema vengono utilizzate per decifrare questa master key, che viene quindi caricata in modo sicuro nello storage delle chiavi del kernel Linux, il cosiddetto keyring.
| Fase | Come funziona fscrypt | Cosa accade ai dati |
|---|---|---|
| 1. Attivazione della crittografia | Viene configurata una policy di crittografia fscrypt per una directory o un file system EXT4. | Vengono definiti i parametri di crittografia e il metodo di accesso alla chiave. |
| 2. Creazione della chiave | fscrypt utilizza una chiave di crittografia per proteggere il contenuto dei file. | La chiave non viene memorizzata sul disco come un normale file di testo in chiaro. |
| 3. Crittografia dei file | I dati dei file vengono crittografati prima di essere scritti sul disco. | Il contenuto crittografato viene memorizzato sul disco. |
| 4. Crittografia dei nomi | fscrypt può crittografare non solo il contenuto dei file, ma anche i nomi dei file e delle directory. | I nomi originali vengono sostituiti con valori crittografati. |
| 5. Accesso ai file | Dopo lo sblocco della chiave, il sistema operativo decifra automaticamente i dati durante l’accesso. | L’utente vede i file nella loro forma normale e può lavorarci. |
| 6. Eliminazione dei file | Dopo l’eliminazione, il record del file può essere rimosso dal file system, anche se i relativi dati possono ancora rimanere sul disco. | Il recupero diventa più difficile a causa della crittografia e della necessità di accedere alla chiave corrispondente. |
| 7. Recupero | Viene analizzato il file system EXT4 e vengono cercate le tracce dei file eliminati. | Senza la chiave richiesta, i dati crittografati trovati potrebbero non essere utilizzabili per la decrittografia. |
Come recuperare i file fscrypt eliminati e crittografati da una partizione EXT4
FASE 1. Eliminazione dei file crittografati
Per una dimostrazione chiara, abbiamo predisposto un ambiente di test dedicato. Su un’unità flash USB sono stati simulati due scenari peggiori possibili.
- La prima partizione contiene una cartella crittografata con fscrypt dalla quale abbiamo eliminato intenzionalmente alcuni file.
- La seconda partizione conteneva gli stessi dati crittografati, ma li abbiamo eliminati completamente tramite Dischi in Ubuntu.
Vediamo come Hetman Partition Recovery gestisce queste operazioni.
FASE 2. Creazione e utilizzo delle immagini
Per evitare di mettere a rischio l’unità fisica, abbiamo creato in anticipo un’immagine virtuale esatta della stessa e lavoreremo con quell’immagine.
Creare una copia di questo tipo per qualsiasi dispositivo è molto semplice. Collegate il supporto al computer e avviate il programma: lo rileverà automaticamente e lo visualizzerà nella schermata principale.
Successivamente, selezionate il disco richiesto e fate clic su Salva disco nel pannello superiore.
Nella finestra che appare, specificate il percorso di salvataggio. Qui si applica una regola rigorosa: salvare il file immagine esclusivamente su un altro disco, non su quello che si sta copiando.
Al termine del processo, eseguite tutte le ulteriori operazioni di ricerca e recupero dei dati utilizzando questo file creato.
Ora, per iniziare a lavorare con l’immagine creata, è necessario montarla. A tale scopo, fate clic su Monta disco nel pannello superiore del programma e specificate il percorso del file salvato.
Il programma collegherà immediatamente l’unità virtuale e la visualizzerà nella finestra principale insieme ai dischi fisici. È ora completamente pronta per una scansione sicura e per il successivo recupero dei dati.
FASE 3. Recupero dei file eliminati
Sull’immagine montata della nostra chiavetta USB, il programma ha identificato tre partizioni. Tuttavia, lavoreremo solo con due di esse. Iniziamo con la scansione della prima.
Selezionate Analisi rapida. Il programma determinerà automaticamente il file system precedentemente utilizzato sull’unità. Quindi avviate la scansione.
Durante l’analisi, l’algoritmo rileverà la directory crittografata e richiederà una password per accedervi.
Al termine della scansione, il programma visualizzerà l’intera struttura del disco ed evidenzierà la cartella protetta trovata.
Dopo averla aperta, è possibile visualizzare sia i file esistenti sia quelli eliminati in precedenza. Tramite la finestra di anteprima, è possibile verificare facilmente l’integrità di documenti e video prima di salvarli.
Infine, selezionate semplicemente gli elementi richiesti e fate clic su Recupera.
Attenzione! Non salvate mai i file recuperati sullo stesso disco da cui li state recuperando. Assicuratevi di scegliere un altro dispositivo di archiviazione o una cartella sul disco rigido del computer per evitare di sovrascrivere le informazioni perse.
FASE 4. Ricerca e recupero di una partizione eliminata
Ora torniamo alla finestra principale con l’elenco delle unità. Il passo successivo consiste nel lavorare con la seconda partizione.
Osservate un dettaglio importante: questa partizione è eliminata. Tuttavia, l’algoritmo del programma la riconosce correttamente. E ciò funziona perfettamente anche se la partizione è stata eliminata in un sistema operativo completamente diverso.
Selezionatela e avviate Analisi rapida.
Come nel caso precedente, l’utilità individuerà rapidamente la directory protetta e richiederà immediatamente di inserire la password per accedere ai file.
Non appena il processo sarà completato, potrete aprire la cartella, valutare lo stato dei file nella finestra di anteprima e salvarli. E, come abbiamo già sottolineato, assicuratevi di salvare i dati recuperati su un altro disco.
Se i risultati dell’Analisi rapida non sono sufficienti, eseguite Analisi completa. Questa effettua una scansione più approfondita dell’unità e aiuta a individuare un numero maggiore di file eliminati e tracce di una struttura file danneggiata.
Conclusione
Il recupero dei file eliminati e crittografati con fscrypt da una partizione EXT4 è un’operazione più complessa rispetto al recupero di file ordinari. Anche se dopo l’eliminazione alcuni dati rimangono fisicamente sul disco, l’accesso al loro contenuto dipende dalla struttura del file system, dai metadati e dalle relative chiavi di crittografia.
Pertanto, il successo del recupero dipende non solo dal fatto che i dati siano stati sovrascritti o meno, ma anche dalla capacità di identificare correttamente gli oggetti crittografati e di ottenere le chiavi fscrypt richieste. Per aumentare le probabilità di recupero, dopo l’eliminazione accidentale dei file si raccomanda di interrompere la scrittura di nuovi dati sulla partizione EXT4 ed eseguire il recupero dalla sua copia o immagine del disco.
