Persi e ritrovati: demistificare il recupero dei file eliminati!
-
Autore:
Anton Kryvoruchko
-
Editore:
Mykhailo Miroshnichenko
Ti sei mai chiesto perché i file eliminati a volte possono riemergere? In questo articolo, sveliamo il mistero dei file eliminati, spiegando perché possono essere recuperati e come funziona questo processo. Che tu sia un appassionato di tecnologia curioso o una persona preoccupata per la privacy dei dati, comprendere la resilienza dei file eliminati è essenziale nell’era digitale odierna. Scopri la verità sul recupero dei file eliminati!
- Come Windows elimina i file
- Come gli strumenti recuperano file eliminati
- Unità a stato solido: l'eccezione
- Domande e risposte
- Commenti
Come Windows elimina i file
I file sono memorizzati come blocchi di dati nei settori di un disco rigido. I settori possono essere disposti in modo sequenziale oppure dispersi casualmente sulla superficie del disco. La collocazione dei settori dipende da come erano organizzati i blocchi liberi al momento del salvataggio di un particolare file. Se il sistema non riusciva a trovare un blocco ininterrotto di settori sufficientemente grande per salvare il file come sequenza continua, il file veniva frammentato e le sue parti venivano scritte in blocchi non occupati.
Come recuperare file persi dopo la combinazione Ctrl+Z in Windows
Windows memorizza i file sul disco rigido e li indicizza nel file system. Il file system tiene traccia dei nomi dei file, delle dimensioni, degli attributi e, cosa più importante, della posizione esatta dei dati sul disco. Quando elimini un file (supponendo che il Cestino sia disabilitato), Windows in realtà non cancella, azzera o modifica i dati effettivi. Invece modifica rapidamente il record corrispondente nel file system per contrassegnare il file come “eliminato”. Né il record del file system né i dati originali del file vengono rimossi in questo momento.
Come puoi vedere, i file non vengono realmente cancellati quando li elimini. Windows altera il record del file nel file system, segnalando lo spazio occupato dal file come disponibile. Pur essendo i dati effettivi ancora presenti, lo spazio su disco che occupano è ora contrassegnato come disponibile per l’uso. Alla fine, quando il sistema avrà bisogno di spazio per scrivere un altro file, potrebbe assegnare quello spazio e memorizzarvi un file diverso. È in quel momento che i dati effettivi vengono persi. Fino ad allora, i dati esistono ancora sul disco e possono essere recuperati. Questo comportamento permette l’esistenza e il funzionamento di vari strumenti di recupero dati.
Come gli strumenti recuperano file eliminati
Se esegui uno strumento di recupero dati in un intervallo di tempo in cui il file è stato eliminato ma lo spazio su disco non è ancora stato utilizzato da un altro file, potrai recuperare quel file. Naturalmente, molto dipende dal tipo di strumento che utilizzerai.
Come recuperare i dati dopo aver ripristinato Windows 11
I più semplici strumenti di recupero dati esaminano il file system alla ricerca di tutti i record contrassegnati come eliminati. Analizzeranno quindi tali record nel tentativo di determinare i settori fisici del disco contenenti i dati appartenenti al file. Dopo un controllo incrociato per assicurarsi che lo spazio su disco non sia stato utilizzato da un altro file (non eliminato), lo strumento procederà a recuperare il contenuto dal disco, salvando i dati in un nuovo file.
A volte, tuttavia, questo approccio molto semplice non funziona. Windows riutilizza i record del file system, rendendo il riferimento al file eliminato non più disponibile. In questo caso non potrai recuperare il file con uno strumento semplice. Fortunatamente esistono strumenti che impiegano tecniche di analisi basate sulla ricerca per firma (signature search) consapevoli del contenuto per analizzare l’intera superficie del disco e individuare la posizione esatta di un file anche in assenza di un record nel file system.
Gli algoritmi essenzialmente cercano una combinazione di byte specifici sul disco che contrassegnano l’inizio o la fine dei file. Ad esempio, i file *.avi, *.docx, *.pdf, *.ppt, *.pst, *.zip iniziano rispettivamente con “52 49 46 46”, “50 4B 03 04”, “25 50 44 46”, “D0 CF 11 E0”, “21 42 44 4E” e “50 4B 03 04”. Leggi l’articolo sulla ricerca per firma per maggiori informazioni su questa tecnica.
| Fase | Descrizione |
|---|---|
| 1. Scansione iniziale | Il programma esegue una scansione a basso livello del disco, analizzando ogni settore per rilevare potenziali firme di file. |
| 2. Ricerca di firme | Lo scanner ricerca sequenze di byte uniche (firme) che identificano specifici tipi di file (es. PDF, JPEG, MP3). |
| 3. Identificazione del tipo di file | In base alle firme rilevate, il programma identifica il tipo di file e valuta la sua dimensione e struttura. |
| 4. Ricostruzione del file | Il programma ricostruisce i file combinando i dati rilevati in un singolo file che corrisponde alla firma identificata. |
| 5. Verifica dell’integrità | I file vengono verificati per controllare l’integrità e assicurarsi che non siano corrotti e possano essere aperti. |
| 6. Salvataggio dei dati recuperati | I file recuperati vengono salvati in una posizione specificata dall’utente, tipicamente su un dispositivo di archiviazione diverso per prevenire sovrascritture. |
Unità a stato solido: l’eccezione
La situazione è meno favorevole con le unità a stato solido (SSD). Quando un file viene eliminato da un SSD, Windows agisce allo stesso modo, lasciando intatto il contenuto e contrassegnando soltanto il record nel file system. Tuttavia viene eseguito un passaggio aggiuntivo: Windows invia il comando TRIM, segnalando all’unità che lo spazio precedentemente occupato dal file è ora disponibile. L’unità esegue quindi una cancellazione fisica di quello spazio, distruggendo di fatto il contenuto del file in modo permanente. Per quale motivo è necessario farlo? Le ragioni sono legate al modo in cui le SSD memorizzano le informazioni. Informazioni dettagliate sono disponibili in un articolo separato.
Come recuperare i dati dopo aver formattato un disco rigido, una chiavetta USB / scheda di memoria
