File carving: como funciona a recuperação quando o sistema de ficheiros desapareceu, e porque os seus ficheiros voltam sem nome

Alguém formata o disco errado, ou um cartão volta de uma câmara a declarar-se vazio. O sistema de ficheiros, aquele que sabia onde começava cada ficheiro e como se chamava, desapareceu. E, ainda assim, as fotografias voltam. Não todas, não com os seus nomes, mas voltam.

A técnica que o consegue chama-se carving, e perceber o que ela lê explica ao mesmo tempo porque funciona e tudo aquilo que não lhe pode devolver.

O que um carver lê realmente

Nada do sistema de ficheiros. É esse o ponto todo.

A documentação do foremost, uma das ferramentas antigas do género, descreve-o como um programa forense para recuperar ficheiros perdidos a partir dos seus cabeçalhos, rodapés e estruturas de dados internas, acrescentando que os cabeçalhos e rodapés podem ser definidos por um ficheiro de configuração, ou escolhidos entre tipos integrados através de opções de linha de comandos.

Releia a lista: cabeçalhos, rodapés, estruturas internas. Nem diretórios, nem tabela de partições, nem mapa de alocação. Um carver percorre a superfície em bruto do disco de uma ponta à outra e, sempre que reconhece os poucos bytes que marcam o início de um tipo de ficheiro conhecido, começa a escrever tudo o que se segue até reconhecer o fim.

Um JPEG começa com uma assinatura precisa e fecha com outra. Um PDF também, um ZIP também, um MOV também. Esses padrões estão dentro do próprio ficheiro, e é por isso que sobrevivem à destruição de tudo o que o rodeava.

Porque é que formatar não o trava

O manual do PhotoRec enuncia a consequência diretamente: o PhotoRec ignora o sistema de ficheiros e vai aos dados subjacentes, pelo que funciona mesmo que o sistema de ficheiros do suporte esteja gravemente danificado ou formatado.

Isso surpreende, e não devia. Uma formatação rápida reescreve sobretudo a contabilidade. Declara as prateleiras vazias. Os livros continuam lá até que outra coisa ocupe o seu lugar, e é por isso que a coisa mais útil a fazer depois de um erro é deixar de usar o disco imediatamente.

Os nomes desapareceram, e nunca estiveram no ficheiro

É a parte que desilude, e decorre logicamente do mecanismo.

A documentação do PhotoRec enumera o que desaparece ao apagar: os metadados desse ficheiro (nome, data e hora, tamanho, localização do primeiro bloco de dados ou cluster, etc.) perdem-se.

Cada item dessa lista vive no sistema de ficheiros. O nome da sua fotografia nunca foi escrito dentro da fotografia; era uma entrada numa tabela que apontava para ela. O carving salta essa tabela por construção, pelo que lhe pode dizer com certeza que aqueles bytes formam um JPEG válido, e absolutamente nada sobre como lhe chamava ou em que pasta estava.

Daí que uma recuperação por carving chegue como uma pilha plana de f0012345.jpg, ordenada por tipo em vez de por sentido. O conteúdo está intacto. A organização não, e nenhuma ferramenta a pode reinventar, porque essa informação já não existe em lado nenhum do disco.

A fragmentação é o limite verdadeiro

O carving pressupõe que um ficheiro ocupa um troço contínuo, primeiro o cabeçalho, depois o rodapé. Quando o sistema de ficheiros o tinha espalhado pelo disco, esse pressuposto cai e o carver pode fechar o ficheiro no ponto errado, dando-lhe uma fotografia que descodifica até meio e depois vira ruído.

As ferramentas respondem. A documentação do PhotoRec descreve a sua abordagem: quando um ficheiro é recuperado com êxito, o PhotoRec reexamina os blocos de dados anteriores para ver se tinha sido encontrada uma assinatura sem que o ficheiro pudesse ser recuperado (por ser demasiado pequeno), e tenta de novo. Deste modo, alguns ficheiros fragmentados podem ser recuperados com êxito.

A palavra honesta dessa frase é alguns. A fragmentação é onde o carving passa de fiável a parcial, e a razão pela qual duas recuperações de discos aparentemente semelhantes dão resultados muito diferentes.

A regra que decide se algo disto é possível

Um ponto operacional pesa mais do que a escolha da ferramenta, e a documentação do PhotoRec formula-o como instrução e não como conselho: não deve escolher escrever os ficheiros recuperados na mesma partição em que estavam guardados.

A razão é mecânica. O espaço que contém os seus ficheiros perdidos está, para o sistema operativo, livre. Tudo o que escrever pode ser colocado ali. Recuperar para o disco de origem significa que guardar cada ficheiro salvo pode sobrescrever o seguinte, aquele a que ainda não tinha chegado.

Portanto: recupere para outro disco, sempre. E se a unidade se comporta de forma estranha, crie primeiro uma imagem e faça o carving sobre a imagem, porque uma análise completa é uma leitura longa de todos os setores, exatamente a carga que um disco moribundo pior suporta.

Quando o carving é a resposta errada

Se a partição ainda monta e consegue percorrer a árvore de pastas, não precisa de carving. Uma recuperação convencional trabalha a partir dos metadados e pode por isso devolver-lhe nomes, datas e estrutura, algo que o carving estruturalmente não consegue. Recorre-se ao carving quando essa camada desapareceu, está ilegível, ou lhe está a mentir.

E se a unidade faz cliques, desaparece a meio de uma cópia ou mostra contadores de erros a subir, a prioridade não é a recuperação. É criar uma imagem, uma vez, com cuidado, e fazer o carving sobre a cópia depois.

Em resumo

O carving lê a superfície do disco e reconhece os ficheiros pela forma como começam e terminam, ignorando por completo o sistema de ficheiros. Por isso sobrevive a uma formatação, e por isso devolve conteúdo sem nomes: o nome vivia na camada que ele salta.

Os seus dois limites são a fragmentação, em que ficheiros guardados aos pedaços voltam partidos, e a regra do destino, que não se negoceia. Escreva a sua recuperação noutro sítio e, quando o hardware está doente, faça carving sobre uma imagem e não sobre o paciente.

A descrição do carving por cabeçalhos, rodapés e estruturas de dados internas, e a opção do ficheiro de configuração, provêm da documentação do foremost. A afirmação de que o sistema de ficheiros é ignorado e de que a recuperação funciona em suportes gravemente danificados ou formatados, a lista de metadados perdidos incluindo o nome do ficheiro, o comportamento em ficheiros fragmentados e a instrução de não escrever os ficheiros recuperados na partição de origem provêm da documentação do PhotoRec. Tudo foi consultado no momento da redação. As ligações comerciais levam o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliação, sem custo adicional para si.

Guias relacionados

• Recuperar ficheiros após uma formatação - a situação para a qual o carving serve mais vezes, do início ao fim.
• Windows File Recovery - a ferramenta da Microsoft, que oferece um modo de assinatura assente no mesmo princípio.