Qualcuno formatta il disco sbagliato, o una scheda torna dalla fotocamera dichiarandosi vuota. Il file system, quello che sapeva dove iniziava ogni file e come si chiamava, è sparito. Eppure le foto tornano. Non tutte, non con i loro nomi, ma tornano.
La tecnica che lo permette si chiama carving, e capire cosa legge spiega insieme perché funziona e tutto ciò che non può restituirti.
Cosa legge davvero un carver
Nulla del file system. È tutto qui.
La documentazione di foremost, uno degli strumenti storici del genere, lo descrive come un programma forense per recuperare file perduti a partire dalle loro intestazioni, dai loro piè di pagina e dalle loro strutture dati interne, e aggiunge che le intestazioni e i piè possono essere definiti tramite un file di configurazione, oppure scelti fra tipi integrati con opzioni da riga di comando.
Rileggete l'elenco: intestazioni, piè, strutture interne. Nessuna directory, nessuna tabella delle partizioni, nessuna mappa di allocazione. Un carver percorre la superficie grezza del disco da un capo all'altro e, ogni volta che riconosce i pochi byte che segnano l'inizio di un tipo di file noto, comincia a scrivere tutto ciò che segue finché non ne riconosce la fine.
Un JPEG inizia con una firma precisa e si chiude con un'altra. Così un PDF, uno ZIP, un MOV. Quei pattern stanno dentro il file stesso, ed è per questo che sopravvivono alla distruzione di tutto ciò che gli stava intorno.
Perché la formattazione non lo ferma
Il manuale di PhotoRec ne enuncia la conseguenza direttamente: PhotoRec ignora il file system e va ai dati sottostanti, quindi funziona anche se il file system del supporto è gravemente danneggiato o formattato.
Sorprende, e non dovrebbe. Una formattazione rapida riscrive soprattutto la contabilità. Dichiara vuoti gli scaffali. I libri ci sono ancora finché qualcos'altro non prende il loro posto, ed è per questo che la cosa più utile dopo un errore è smettere subito di usare il disco.
I nomi sono spariti, e non sono mai stati nel file
È la parte che delude, e discende logicamente dal meccanismo.
La documentazione di PhotoRec elenca ciò che sparisce con la cancellazione: i metadati di quel file (nome, data e ora, dimensione, posizione del primo blocco dati o cluster, ecc.) vanno perduti.
Ogni voce di quell'elenco vive nel file system. Il nome della vostra foto non è mai stato scritto dentro la foto; era una voce in una tabella che puntava a essa. Il carving salta quella tabella per costruzione, quindi può dirvi con certezza che quei byte sono un JPEG valido, e assolutamente nulla su come lo chiamavate o in quale cartella si trovava.
Ecco perché un recupero per carving arriva come un mucchio piatto di f0012345.jpg, ordinato per tipo anziché per significato. Il contenuto è intatto. L'organizzazione no, e nessuno strumento può reinventarla, perché quell'informazione non esiste più da nessuna parte sul disco.
La frammentazione è il vero limite
Il carving presuppone che un file occupi un tratto continuo, prima l'intestazione, poi il piè. Quando il file system l'aveva sparpagliato sul disco, quel presupposto cade e il carver può chiudere il file nel punto sbagliato, restituendo una foto che si decodifica a metà e poi diventa rumore.
Gli strumenti reagiscono. La documentazione di PhotoRec descrive il suo approccio: quando un file viene recuperato con successo, PhotoRec riesamina i blocchi dati precedenti per vedere se era stata trovata una firma senza che il file potesse essere recuperato (perché troppo piccolo), e ci riprova. In questo modo alcuni file frammentati possono essere recuperati con successo.
La parola onesta di quella frase è alcuni. La frammentazione è il punto in cui il carving passa da affidabile a parziale, ed è la ragione per cui due recuperi da dischi apparentemente simili danno esiti molto diversi.
La regola che decide se tutto questo sia possibile
Un punto operativo pesa più della scelta dello strumento, e la documentazione di PhotoRec lo formula come istruzione e non come consiglio: non devi scegliere di scrivere i file recuperati sulla stessa partizione in cui erano memorizzati.
La ragione è meccanica. Lo spazio che contiene i vostri file perduti è, per il sistema operativo, libero. Tutto ciò che scrivete può finirci. Recuperare sul disco di origine significa che salvare ogni file recuperato può sovrascrivere il successivo, quello che non avevate ancora raggiunto.
Quindi: recuperate su un altro disco, sempre. E se l'unità si comporta in modo strano, createne prima un'immagine e fate il carving sull'immagine, perché una scansione completa è una lunga lettura di ogni settore, esattamente il carico che un disco morente sopporta peggio.
Fare carving su un disco formattato senza riga di comando
Scansione per firme con anteprima prima di confermare. Non può ripristinare nomi né struttura delle cartelle, perché quell'informazione non esiste più sul disco, e richiede comunque un disco di destinazione separato.
Quando il carving è la risposta sbagliata
Se la partizione si monta ancora e potete sfogliare l'albero delle cartelle, non vi serve il carving. Un recupero convenzionale lavora dai metadati e può quindi restituirvi nomi, date e struttura, cosa che il carving strutturalmente non può. Al carving si ricorre quando quello strato è sparito, illeggibile, o vi sta mentendo.
E se l'unità fa clic, sparisce a metà copia o mostra contatori di errori in crescita, la priorità non è il recupero. È creare un'immagine, una volta, con cura, e fare il carving sulla copia dopo.
In sintesi
Il carving legge la superficie del disco e riconosce i file da come iniziano e finiscono, ignorando del tutto il file system. Per questo sopravvive a una formattazione, e per questo restituisce contenuto senza nomi: il nome viveva nello strato che salta.
I suoi due limiti sono la frammentazione, dove i file salvati a pezzi tornano rotti, e la regola sulla destinazione, che non si negozia. Scrivete il recupero altrove e, quando l'hardware sta male, fate carving su un'immagine anziché sul paziente.
La descrizione del carving tramite intestazioni, piè di pagina e strutture dati interne, e l'opzione del file di configurazione, provengono dalla documentazione di foremost. L'affermazione che il file system viene ignorato e che il recupero funziona su supporti gravemente danneggiati o formattati, l'elenco dei metadati perduti compreso il nome del file, il comportamento sui file frammentati e l'istruzione di non scrivere i file recuperati sulla partizione di origine provengono dalla documentazione di PhotoRec. Tutto è stato consultato al momento della stesura. I link commerciali portano l'attributo rel="sponsored nofollow"; può essere applicata una commissione di affiliazione, senza costi aggiuntivi per te.
Guide correlate
- Recuperare file dopo una formattazione - la situazione per cui il carving serve più spesso, dall'inizio alla fine.
- Windows File Recovery - lo strumento di Microsoft, che offre una modalità a firme basata sullo stesso principio.
Recupera i tuoi file cancellati → EaseUS
Scansione gratuita · file cancellati, formattati, persi · Windows & Mac
