Il data carving è la tecnica che cerca i file leggendo il disco settore per settore e riconoscendoli dal loro contenuto, senza passare dal file system. Serve quando la struttura che teneva nomi e cartelle è andata persa: disco formattato, partizione cancellata, scheda di memoria riformattata. Funziona bene su foto e documenti, ma ha due limiti che è giusto conoscere subito: i file tornano senza il nome originale e quelli frammentati spesso tornano rovinati.
Qui trovi come funziona, quando lo usiamo, cosa si recupera e cosa no.
Come funziona il data carving
Quasi ogni tipo di file comincia con una sequenza di byte fissa, chiamata firma o intestazione. Una foto JPEG comincia sempre con i byte FF D8 FF, un PNG con 89 50 4E 47, un PDF con il testo “%PDF”. Molti formati hanno anche una firma di chiusura: il JPEG, per esempio, termina con FF D9.
Il programma di carving scorre tutto il disco, dal primo all’ultimo settore, e cerca queste firme. Quando ne trova una, stima dove finisce il file: con la firma di chiusura, con la lunghezza scritta nell’intestazione o con la struttura interna del formato. Poi copia quel tratto di disco come file a sé.
Il carving non usa il file system. Per questo funziona anche quando il file system non c’è più, ma per lo stesso motivo non sa niente di nomi, cartelle e date.
Quando serve
In laboratorio il carving è di solito l’ultimo passaggio, dopo aver provato a ricostruire il file system. Lo usiamo quando:
- il disco è stato formattato o reinizializzato e la nuova struttura ha coperto quella vecchia;
- una partizione è stata cancellata o ricreata;
- il file system è troppo danneggiato per essere ricostruito;
- una scheda SD di una fotocamera è stata riformattata dalla fotocamera stessa;
- su file system come Ext4 o HFS+ i riferimenti dei file cancellati sono stati azzerati.
Cosa si recupera bene e cosa no
Il carving dà buoni risultati con i file salvati in un unico blocco continuo:
- foto JPEG e RAW delle fotocamere;
- PDF e documenti di Office di dimensioni normali;
- video brevi, soprattutto da schede di fotocamere che scrivono in modo ordinato.
Va peggio con i file frammentati, cioè salvati a pezzi in punti diversi del disco. Il carving trova l’inizio del file ma non sa dove sta il pezzo successivo, quindi unisce dati che non c’entrano. Succede spesso con:
- archivi di posta, come i file PST di Outlook;
- database e file di gestionali;
- macchine virtuali e video lunghi;
- qualsiasi file scritto su un disco quasi pieno, dove lo spazio libero era sparso.
Ci sono poi casi in cui il carving non può aiutarti. I file di testo semplice non hanno una firma da cercare. I file sovrascritti non esistono più: il carving trova al massimo i pezzi rimasti (vedi la guida su come recuperare un file sovrascritto). E sugli SSD con il comando TRIM attivo i blocchi dei file cancellati vengono svuotati dall’unità stessa, spesso in pochi minuti.
Perché i file tornano senza nome
Nome, cartella, data di creazione e autore stanno nel file system, non dentro il file. Il carving non li vede, quindi restituisce i file con nomi in serie, del tipo f12345678.jpg.
Per le foto si recupera molto lo stesso: dentro un JPEG di una fotocamera ci sono i dati EXIF con la data dello scatto e il modello, che permettono di riordinare le immagini. Per i documenti di Office a volte restano titolo e autore nelle proprietà del file. In tutti gli altri casi, il riordino tocca a te: per questo, quando possiamo, ricostruiamo prima il file system e usiamo il carving solo per quello che manca.
Un’altra conseguenza: il carving trova anche file vecchi, cancellati anni prima e mai sovrascritti, e copie temporanee. Il risultato contiene spesso più file di quelli che cercavi, alcuni danneggiati.
Si può fare il carving da soli?
Esistono programmi gratuiti che fanno carving, come PhotoRec. Se decidi di provarli, segui tre regole:
- usali solo se il disco o la scheda funzionano bene, senza rumori, blocchi o errori di lettura;
- salva i file recuperati su un altro disco, mai su quello da cui li stai recuperando;
- se puoi, lavora su un’immagine del disco e non sull’originale.
Se il disco ticchetta, si scollega o è lentissimo, nessun programma va usato: una scansione completa legge ogni settore e può finire di rovinare la superficie. In quel caso spegnilo e rivolgiti a un laboratorio.
Come lo usiamo in laboratorio
Prima facciamo una copia completa del supporto, anche se ha settori danneggiati. Poi proviamo a ricostruire il file system, per restituirti i file con nomi e cartelle. Il carving arriva dopo, sulla copia, per recuperare quello che la struttura non descrive più. Alla fine controlliamo i file trovati e ti segnaliamo quelli danneggiati.
Lo usiamo nei casi di recupero dati da hard disk formattati, da 150 € + IVA per il guasto logico, e nel recupero dati da memory card, da 150 € + IVA per le schede fino a 32 GB. La diagnosi è gratuita, il preventivo arriva entro 4 ore dalla consegna in laboratorio e, se i dati non si recuperano, non paghi nulla.
Domande frequenti
Perché le foto recuperate non hanno il nome originale?
Perché il nome stava nel file system, che non c’era più. La data dello scatto, invece, di solito è ancora dentro la foto.
Il data carving recupera i video?
I video brevi sì, spesso. Quelli lunghi sono quasi sempre frammentati e tornano interrotti o con pezzi mancanti.
Funziona su un SSD?
Poco. Con il TRIM attivo l’SSD svuota i blocchi dei file cancellati, e dopo una formattazione di solito non resta niente da trovare.
