Esplorazione dell’algoritmo di recupero dei file NTFS
-
Autore:
Anton Kryvoruchko
-
Editore:
Mykhailo Miroshnichenko
Scopri la guida essenziale per comprendere l’algoritmo di recupero file NTFS in questo tutorial completo. Se sei curioso di sapere come NTFS gestisce il recupero dei file o hai bisogno di approfondimenti sul suo funzionamento interno, sei nel posto giusto. Forniamo soluzioni ed spiegazioni di esperti per aiutarti a comprendere facilmente l’algoritmo di recupero file NTFS. Apprendi i passaggi critici e ottieni indicazioni su come garantire la sicurezza dei tuoi dati preziosi memorizzati nei file system NTFS.
File system NTFS
Rispetto a FAT, il NTFS è un file system quasi ideale per il recupero dei dati persi. Dopotutto è progettato per essere robusto e dispone di meccanismi integrati di protezione e recupero dei dati. Chiaramente, i suoi progettisti hanno considerato molti aspetti che non occorrevano agli sviluppatori dei file system precedenti. Di conseguenza, NTFS consente a uno strumento di recupero dati di identificare e ripristinare tutti i settori occupati da un dato file. L’unico (leggero) svantaggio di NTFS è la sua tendenza a perdere i nomi dei file eliminati, cosa che, per essere equi, si verifica solo in determinate circostanze.
| Parametro | FAT | NTFS |
|---|---|---|
| Nome completo | File Allocation Table | New Technology File System |
| Anno di sviluppo | 1977 | 1993 |
| Dimensione massima file | 4 GB | 16 TB (o più a seconda della versione) |
| Dimensione massima volume | 8 TB | 256 TB |
| Supporto journaling | No | Sì |
| Prestazioni | Elevate su volumi piccoli | Migliori su volumi grandi e con file di grandi dimensioni |
| Sicurezza | Nessuna protezione integrata | Supporta crittografia e controllo degli accessi |
| Compatibilità | Ampia, supportato da quasi tutti i dispositivi | Meno compatibile di FAT, ma supportato da Windows e da alcuni altri sistemi operativi |
| Utilizzo | Piccoli dispositivi di archiviazione, pendrive USB | Dischi rigidi, partizioni di sistema, utilizzo con file di grandi dimensioni |
Come accedere ai file system Windows e MacOS da Linux
Come NTFS elimina i file
Vediamo cosa accade quando Windows elimina un file da un volume NTFS (in contrapposizione al recupero di informazioni da volumi danneggiati con file system corrotti). Recuperare un file cancellato da un volume NTFS è più semplice rispetto al ripristino in molti altri file system. Ad esempio, se si utilizza FAT, la catena di puntatori della tabella di allocazione dei file che identifica i cluster occupati dal file verrebbe persa al momento della cancellazione. Questo non avviene in NTFS.
Quando si elimina un file da un HDD, disco USB, scheda di memoria CompactFlash, MicroSd, il suo nome viene rimosso dall’indice della directory padre; il corrispondente record MFT così come tutti i cluster occupati da quel file vengono rilasciati. L’indice viene riorganizzato e, in questo processo, le informazioni sul nome del file possono andare perse. Di conseguenza, il file eliminato non apparirà più nella directory che lo conteneva.
Tuttavia, questo piccolo svantaggio è compensato dal fatto che l’MFT memorizza tutti i record in un’unica tabella. Di conseguenza, diventa molto più semplice individuare i record disponibili. Ogni record contiene un attributo che include l’indirizzo base della directory padre. Questo, a sua volta, significa che, dopo aver individuato un record vuoto, possiamo determinare il percorso completo del record.
Per recuperare i file cancellati da un volume NTFS è necessario scansionare l’MFT alla ricerca di record vuoti (disponibili). Se si individua un record vuoto, potrebbe essere possibile determinare il nome del file, che è memorizzato in uno degli attributi. Come ricorderai, determinare i nomi dei file non è sempre possibile. Tuttavia, a differenza dei volumi FAT, tutti i puntatori ai cluster occupati da quel file continueranno a esistere. Questo significa che possiamo recuperare file di qualsiasi dimensione, anche se fortemente frammentati — naturalmente a condizione che i cluster non siano stati reclamati da altri file.
Come forse ricorderai, alcuni file molto piccoli possono essere memorizzati nell’MFT come attributi. Questi file sono detti file residenti. Se un file residente occupava un singolo record MFT, può essere recuperato fino a quando il record MFT non viene riallocato.
NTFS dispone di un algoritmo speciale per l’allocazione dei record MFT. Quando viene allocato un record MFT, Windows tenterà di utilizzare il primo record disponibile basandosi sul suo numero. Di conseguenza, i record con numeri MFT più bassi vengono allocati più frequentemente di quelli con numeri più alti.
Come riparare un disco RAW e recuperare dati da un HDD con partizioni RAW
Registro delle transazioni NTFS
Registro delle transazioni è una funzionalità essenziale di NTFS. Il registro delle transazioni NTFS registra le informazioni sulle operazioni di scrittura in un file speciale. Il registro delle transazioni NTFS non è sempre attivo; tuttavia contiene informazioni sull’eliminazione dei file e sull’ora dell’ultima modifica.
NTFS è un file system autoriparante. Il registro delle transazioni è uno degli strumenti che consentono al sistema di annullare le modifiche che hanno portato alla corruzione del file system. Spesso il file system viene danneggiato durante un’operazione di scrittura, ad esempio in caso di interruzione di corrente o di guasto di sistema mentre qualcosa viene scritto sul disco. Se il sistema rileva uno spegnimento improprio, o se durante il riavvio è impostato il flag “dirty”, Windows analizza il registro delle transazioni NTFS. Il registro delle transazioni contiene informazioni sugli aggiornamenti previsti ai metadati e registra tali aggiornamenti una volta che sono stati committati con successo.
Cosa succede se si verifica un errore durante un’operazione di scrittura? In questo caso Windows analizza il registro delle transazioni e ripristina lo stato del file system alla condizione precedente. Il registro delle transazioni NTFS non contiene i dati utente non residenti. Tuttavia, contiene tutti gli attributi residenti per consentire il ripristino. Di conseguenza, il registro delle transazioni non può essere utilizzato per recuperare file di grandi dimensioni.
Fondamentalmente, l’uso del registro delle transazioni per recuperare file è limitato. Il registro ha molto più senso quando si tratta di ripristinare l’integrità del file system annullando le modifiche non committate, il che comporta la perdita dei dati scritti più recentemente. Di conseguenza, Hetman Partition Recovery non utilizza il registro delle transazioni NTFS.
