I file spostati lasciano una traccia sull'unità su cui hanno creato?

SÌ, i file sono recuperabili anche quando vengono spostati o eliminati dai dischi . Iniziamo con come il sistema operativo colloca i file nei dischi rigidi. I file vengono salvati sul disco rigido in piccoli blocchi. Questi blocchi possono essere sparsi dappertutto, piuttosto essere posti in modo contiguo.

Il tuo File Manager del sistema operativo tiene traccia dei file conoscendo gli indirizzi di tutti i blocchi. Questi sono il numero inode , puoi considerarli come puntatori.
Quando elimini un file, ciò che fa il tuo sistema operativo è semplicemente rimuovere i dati che ha memorizzato su questi valori di inode. Quindi, ciò che realmente accade è che tutti i link vengono rimossi dalla tabella di File Manager System che conserva le tracce del file. La cosa importante da osservare è che i dati sono ancora lì. Gli HDD non cancellano mai i dati, vengono sempre sovrascritti.

A livello generale, ciò che gli strumenti di ripristino fanno è semplicemente controllare i dati sui dischi che non hanno valori di inode rivolti verso di essi. Usano algoritmi complessi che li aiutano a creare qualcosa di significativo, come un file con quei piccoli pezzi.

È persino possibile ripristinare i dati anche quando si è sovrascritto il particolare blocco con altri dati. Nel caso in cui si stiano utilizzando i dischi rigidi (HDD), i dati vengono memorizzati sotto forma di onde magnetiche . Questo è binarizzato prima di essere elaborato dal processore. Ci sono quattro possibilità quando i dati vengono sovrascritti una volta. Due sono quando, inizialmente il bit era 0 e poi scritto con 0 o 1, altri due quando inizialmente era 1 e poi sovrascritto con 0 o 1. Questi quattro valori daranno diverse tracce sul disco. Quindi, ciò che solitamente fa uno strumento di recupero è semplicemente creare quattro regioni attraverso soglie diverse e decidere quale fosse il valore precedente. Questo può essere esteso quando i dati vengono sovrascritti più volte.

Potresti aver notato che mentre formattavo i tuoi dischi o USB ti vengono date due opzioni, una è il formato veloce e una è il formato lento. Nel caso del formato veloce, vengono rimossi solo i collegamenti. Nel caso del formato lento, il sistema operativo riscrive tutti i blocchi più volte con dati casuali. Questo è un modo sicuro per formattare un disco. Un certo numero di volte questa iterazione può variare a seconda dell'OS e del comando (o utilità) che si sta utilizzando. Puoi usare il comando UNIX shred , che è una parte delle utilità di base di GNU.

shred -n 100 filename

Di default, shred sovrascrive 25 volte, ma usando -n puoi decidere il valore.

Modifica: I dischi a stato solido (SSD) hanno un meccanismo di funzionamento molto diverso rispetto agli HDD. Nelle unità SSD l'intera unità di archiviazione è suddivisa in blocchi o pagine e a ciascun blocco può essere chiesto di leggere / scrivere. Questi blocchi sono indirizzabili all'indice proprio come un array. Pertanto non vi è alcun sovraccarico per l'accesso ai dati come nel caso degli HDD. Per scrivere qualcosa in questi blocchi, è necessario prima cancellare i dati. Il SO del tuo dispositivo non accede direttamente a tutti questi blocchi, invece, parla con il microcontrollore presente nell'unità SSD o Flash. Questo microcontrollore tiene traccia di tutti questi blocchi usando una tabella (o una mappa). Poiché la cancellazione richiede molto tempo, il microcontrollore dell'unità Flash mappa dinamicamente il percorso richiesto per scrivere su un altro blocco che è vuoto e mantenere un log per se stesso per eliminare i dati nel blocco (che è stato chiesto) qualche volta dopo. Questo è ciò che consente lo spazio per il recupero anche quando hai cancellato i tuoi dati. Per ulteriori dettagli, puoi consultare questo documento .

Spostare un file su un altro computer è sufficiente copiarlo su un altro sistema e quindi cancellarlo localmente. Il solito modo di cancellare un file dal sistema operativo è solo contrassegnarlo come cancellato o rimuovere qualsiasi riferimento ad esso in modo che non sia più associato al nome di un file. Ciò significa che i dati stessi non vengono eliminati immediatamente, ma di solito solo se è necessario recuperare lo spazio su disco per scrivere nuovi dati (e peggio su SSD). In breve: è spesso possibile ripristinare il contenuto del file originale.

In Windows (o qualsiasi OS), c'è sempre una tabella MFT (Master File Table) che mappa lo spazio degli indirizzi nel disco rigido sul file associato. Quindi, quando si elimina il file o si sposta il file, entrambe le operazioni rimuovono solo l'indirizzo associato al file, quindi il sistema operativo ritiene che lo spazio sia vuoto ma conserva ancora i dati e può essere facilmente recuperato.

Per eliminare completamente o rimuovere i dati, è necessario anche inserire la posizione di indirizzo associata con un altro file o qualsiasi valore di garbage in modo che il file originale non possa essere recuperato. È possibile utilizzare strumenti come gomma per farlo.