Formattazione e reinstallazione sistema operativo Windows NTFS

A moltissimi utenti esperti, e non, è capitato di formattare un hard disk contenente dati e essersi resi conto di aver commesso un errore.

In generale una semplice formattazione errata di un filesystem Microsoft NTFS impegnato da dati non ne causa la perdita definitiva, in quanto il livello di danneggiamento prodotto dalla inizializzazione dati non è tale da precluderne il recupero con comuni software per il recupero dei dati.

Un File System di tipo NTFS residente e funzionante è composto da diversi elementi:

Boot Record di partizione

Journal e Transaction Log

Bitmap di allocazione

Master File Table ( $MFT )

Durante una formattazione tutti gli elementi pre-esistenti vengono letteralmente resettati, provocando una sovrascrittura tipica dei primi 10 record di base della $MFT ed i corrispondenti 10 record di $MFT MIRROR.

Tutti record appartenenti alla $MFT preesistente vengono lasciati inalterati.

Recupero dei dati file system dopo formattazione

Una semplice formattazione su file system NTFS non produce danni tali da precluderne il recupero, per cui con una scansione con un software commerciale si possono ottenere eccellenti risultati in termini di recupero dei dati in seguito a formattazione accidentale.

Il livello di qualità del recupero dei dati in seguito ad una formattazione è direttamente legato infatti al livello di sovrascrittura del file system.

Cosa avviene in caso di reinstallazione di sistema operativo

Se in seguito alla formattazione viene anche eseguito un trasferimento di dati sul nuovo file system, i record pre-esistenti nel file system verranno gradualmente sovrascritti, causando il danneggiamento non solo delle dichiarazioni di file contenute nei RECORD MFT, ma anche delle data runs, ossia le allocazioni dei files e la loro distribuzione in termini di frammenti nell'hard disk drive.

Reinstallazione del sistema operativo

Quando si reinstalla il sistema operativo, un notevole numero di files viene creato e trasferito nel nuovo file system.

Tale operazione produce danni gravissimi al file system pre-esistente producendo una sovrascrittura letale per le definizioni dei file memorizzati precedentemente.

Quali sono i files che vengono sovrascritti

Durante la sovrascrittura dovuta a nuova installazione su file system formattato il livello di sovrascrittura e di danneggiamento prodotto è indeterminabile.

Potrebbero essere sovrascritti completamente tutti i dati pre-esistenti, senza alcuna possibilità di recuperarli.

Come recuperare i dati in seguito a formattazione e sovrascrittura

Per poter recuperare i dati in seguito ad un evento tanto distruttivo per il file system pre-esistente la formattazione, è necessario utilizzare un software che sia in grado di localizzare frammenti del file system precedente, memorizzare i dati di allocazione del file system attualmente in servizio ed eseguire una indicizzazione degli spazi non allocati basata su ricerca delle signatures dei file ( data carving ) sullo slack space ( spazio non allocato ).

Tale metodo puo' essere efficace per il recupero di files non sovrascritti di cui sia stata distrutta la dichiarazione, basato sulla ricerca di estensioni comuni ( esempio .jpg o documenti ).

Non potranno essere ricostruite strutture complesse come database gestionali o installazioni di software complessi, in quanto probabilmente il nome del file originale oltre la sua classificazione di parentela ( il file system NTFS per ogni record file o cartella assegna un valore parent al record ) sarà stato distrutto e non potranno essere recuperati files ad accodamento sistematico come i file di posta elettronica, database o files in generale soggetti a frammentazione.

Durante il processo di analisi infatti l'unica informazione disponibile sarà lo start di un file riconosciuto in base alla propria firma binaria, determinandone la fine con un algoritmo di tipo guess.

Quali files potranno essere recuperati

Dopo una formattazione e reistallazione di sistema operativo il livello di risultato possibile è casuale ed indeterminabile, potremmo recuperare per esempio tutte le fotografie che per noi sono più importanti come assolutamente nulla.

In generale, il livello di recuperabilità assoluto è inversamente proporzionale al livello di sovrascrittura.

Se però il file system precedente aveva un impegno di file system importante, potremmo avere risultati migliori, ma in ogni caso con un livello di inderminabilità in termini di risultato elevato.

Potremmo recuperare tutti i film scaricati che per noi non hanno alcun valore e perdere tutte le nostre fotografie.

Quali risultati aspettarsi da un recupero dati da file system formattato

Quando un utente, utilizzando un software per il recupero dei dati, non ottiene i risultati che si aspetta, ne prova un altro ed un altro ancora.

Ci sono utenti che provano decine e decine di software prima di arrivare alla conclusione: non sono riuscito a recuperare niente.

Comprendere cosa avviene ad un file system in seguito ad una formattazione e successiva sovrascrittura è fondamentale prima di utilizzare in modo improvvisato decine di strumenti senza comprenderne il significato dei risultati.

Se abbiamo reinstallato il sistema operativo dobbiamo aspettarci che nel 90% dei casi non saremo in grado di recuperare nomi e file precedenti la formattazione, nè la propria organizzazione in file e cartelle e molto probabilmente perderemo tutti i files con dimensioni importanti come database, posta elettronica e file di macchina virtuale.

Saranno invece recuperabili tutti i files non sovrascritti che siano classificabili come comuni ( nel senso che vengano riconosciuti dagli algoritmi di riconoscimento di signatures del software che stiamo utilizzando ) considerando anche il fatto che un centro di data recovery professionale dispone di strumenti e capacità per la creazione di signatures personalizzate per una ricerca personalizzata.

Se la nostra è stata una semplice formattazione di file system NTFS invece possiamo aspettarci un recupero pressochè totale, con la struttura della cartelle originali e una qualità dei dati eccellente.