Quando si cancella un file, nella maggior parte dei casi il suo contenuto non viene distrutto subito. Il sistema si limita a segnare lo spazio come libero e a rimuovere il riferimento dall'elenco dei file. Finché quello spazio non viene riutilizzato, i dati restano fisicamente sul supporto. È su questo principio che si basano le tecniche di recupero usate in informatica forense.
Cosa succede davvero quando cancelli un file
Un file system funziona un po' come l'indice di un libro: tiene traccia di dove si trova ogni file sul disco. Cancellando un file, di solito:
- la voce del file nell'indice viene segnata come eliminata;
- le aree del disco che occupava vengono dichiarate disponibili;
- il contenuto vero e proprio rimane al suo posto, finché non viene sovrascritto da nuovi dati.
Svuotare il cestino non cambia la sostanza: è un'ulteriore cancellazione logica, non una distruzione fisica dei dati. Anche la formattazione rapida di un disco, in molti casi, ricrea solo le strutture del file system lasciando intatto gran parte del contenuto precedente.
Due tecniche di recupero
Recupero tramite il file system
Se la voce del file nell'indice esiste ancora, anche se segnata come eliminata, è possibile ritrovare nome, date, dimensione e posizione dei dati. Il recupero in questo caso è spesso completo e conserva i metadati originali. Funziona bene con file cancellati di recente, prima che il sistema riutilizzi quelle voci.
File carving
Quando le informazioni del file system non ci sono più, si può cercare direttamente nei dati grezzi del disco. Molti formati di file iniziano e talvolta terminano con sequenze di byte caratteristiche, chiamate firme. Un'immagine JPEG, un documento PDF, un archivio ZIP hanno intestazioni riconoscibili.
Il file carving scansiona l'intero supporto cercando queste firme ed estrae i dati che le seguono. Ha però dei limiti:
- si perdono nome e date originali: i file recuperati ricevono nomi generici;
- i file frammentati sono difficili da ricostruire, perché le loro parti non sono contigue;
- si ottengono molti falsi positivi, frammenti che sembrano file ma sono incompleti o corrotti.
| Aspetto | Recupero da file system | File carving |
|---|---|---|
| Nome del file | Spesso conservato | Perso |
| Date originali | Spesso conservate | Perse |
| File frammentati | Recuperabili | Difficili |
| Funziona senza indice | No | Sì |
Quando i dati non si recuperano
Ci sono situazioni in cui il recupero diventa improbabile o impossibile.
Sovrascrittura
Se nuovi dati hanno occupato lo spazio del file cancellato, il contenuto originale è perso. Per questo, quando si sospetta una cancellazione, la prima regola è smettere di usare il supporto: ogni nuovo salvataggio, aggiornamento o installazione riduce le possibilità.
SSD e TRIM
Sui dischi a stato solido il sistema operativo comunica al disco quali blocchi non sono più in uso tramite il comando TRIM. Il controller del disco può quindi azzerarli in modo autonomo, anche in pochi minuti. Su un SSD moderno con TRIM attivo, il recupero di file cancellati da tempo è spesso impossibile. Su chiavette USB e schede di memoria il comportamento varia molto a seconda del dispositivo.
Cifratura
Su un volume cifrato, i dati recuperati dallo spazio libero sono cifrati anch'essi e inutilizzabili senza la chiave. Se il volume viene acquisito già sbloccato, il recupero procede normalmente.
Cancellazione sicura
Programmi specifici sovrascrivono deliberatamente il contenuto dei file prima di eliminarli. In questi casi il contenuto è perso, ma spesso restano tracce dell'uso del programma stesso, che può essere un elemento rilevante.
Fonti alternative
Quando il file non si recupera dal disco, può esistere altrove:
- copie shadow del volume e punti di ripristino;
- backup locali e nel cloud;
- cartelle temporanee e file di salvataggio automatico dei programmi;
- miniature e anteprime generate dal sistema;
- allegati di email inviate o ricevute;
- copie su altri dispositivi sincronizzati.
Il ruolo della copia forense
Il recupero non va mai tentato sul supporto originale con programmi installati su di esso. Si acquisisce prima un'immagine forense completa, compreso lo spazio non allocato, e si lavora su quella. In questo modo ogni tentativo è ripetibile e l'originale resta intatto.
In sintesi
- Cancellare un file di solito libera lo spazio ma non distrugge subito il contenuto.
- Il recupero dal file system conserva nomi e date; il carving funziona anche senza indice.
- Sovrascrittura, TRIM sugli SSD e cifratura possono rendere il recupero impossibile.
- Spesso esistono copie alternative in backup, anteprime e dispositivi sincronizzati.
- Il recupero va fatto su una copia forense, smettendo subito di usare l'originale.