File Cancellati da Windows 10 perche i programmi recuperano i file corrotti ?

Molti anni fa quando un file veniva cancellato dal computer per errore si andava in completo panico nel terrore che quelle informazioni fossero perse per sempre.
La cultura informatica e l'informazione oggi consentono a qualsiasi utente domestico di scaricare un programma per il recupero dei dati e tentare in modo completamente autonomo il ripristino del file cancellato.

Cosa accade quando cancelliamo un file da un computer

La semplice cancellazione di file e cartelle in un contesto "Desktop" comporta semplicemente uno spostamento del file o delle cartelle nel "Trash" o cestino. Tale operazione non è una vera cancellazione in senso tecnico ma un semplice move o spostamento.
In seguito allo spostamento la directory che conteneva le informazioni dei file appena cancellati viene aggiornata e in modo assolutamente naturale I file non sono più disponibili in quell'indice.

E' infatti pratica comune andare a localizzare un file cancellato dal cestino per poi riposizionarlo con un semplice click nella cartella originaria.

Cosa accade quando svuotiamo il cestino

L'azione di svuota cestino corrisponde invece ad una vera cancellazione ed il file viene "flaggato" come non utilizzato e i settori del disco dove veniva associato vengono marchiati come liberi. Lo spazio disponibile viene gestito dalla BITMAP, un file di sistema specializzato per la gestione ottimizzata dei blocchi utilizzati del drive.
A questo stadio il file è definitivamente cancellato, non risulta presente nel computer ed esclusivamente un software di recupero dei dati è in grado di localizzarlo e recuperarlo.
Una volta che la BITMAP è stata aggiornata ed i settori che erano impegnati dal file cancellato sono stati aggiornati come "FREE" il sistema operativo avrà la facoltà di utilizzarli secondo le proprie esigenze per memorizzare altre informazioni. Utilizzare un computer in seguito ad una cancellazione comporta con alte probabilità un effetto di sovrascrittura dei settori precedentemente impegnati ai file cancellati, in quanto semplicemente lo spazio precedentemente allocato viene considerato libero.

Cosa accade internamente al computer in seguito alla cancellazione definitiva di file e cartelle

In seguito alla cancellazione di file o cartelle e allo svuotamento del cestino, è ancora possibile recuperare i file cancellati, a patto di non utilizzare il computer ed eseguire movimentazioni file.
Il livello di risultato ottenibile in termini di recupero dati in seguito ad una cancellazione dipende esclusivamente da due fattori:

1) Tipologia di File System Utilizzato

2) Utilizzo del drive dopo la cancellazione

Cancellazione dei dati nei File System Microsoft

Il sistema che gestisce i file nel File System NTFS è basato su un elemento fondamentale denominato $MFT o Master File Table.
La $MFT è una sequenza di elementi di dimensione fissa all'interno dei quali vengono definiti file e cartelle ed i loro "Attributi"

Un Record $MFT è ricchissimo di informazioni e puo' essere utilizzato in modo molto efficace per ricostruire strutture di file ed elementi cancellati anche successivamente lo svuotamento del cestino.

I Record $MFT in seguito alla cancellazione di un file o di una cartella eseguita in modo ricorsivo, vengono semplicemente modificati come "NOT USED" e rimarranno persistenti nella Master File Table senza alcuna alterazione.
Tale comportamento del file system NTFS è molto vantaggioso in seguito ad una cancellazione o ad un errore umano, in quanto il record sebbene non considerato utilizzato manterrà intrinsecamente tutte le informazioni utili al recovery, come il proprio ID, il codice ID del record padre ( il codice della cartella dove risiedeva ), il nome, la data di creazione, modifica ed ultimo accesso e fondamentale la RUN LIST ( le informazioni dei cluster utilizzati dal quel file ).

Una analisi condotta sulla Master File Table da un software specializzato, puo' restituire senza alcuna difficoltà i record associati ai file cancellati e la loro posizione originale sul drive.

Questa è la ragione perchè anche un software di data recovery relativamente costoso o addirittura gratuito come Recuva puo' ottenere risultati di recovery sorprendenti in seguito alla cancellazione di file e cartelle su file system Microsoft.

Ovviamente se i settori dove insistevano i file cancellati sono stati riutilizzati dal file system in quanto considerati "FREE" potremmo trovarci nelle condizioni in cui il file viene localizzato e recuperato ma risulterebbe "Corrotto" o "Illeggibile".

Cancellazione dei dati nei file System Posix / Unix

Gli effetti di una cancellazione di un file in ambiente posix, Linux o Unix è completamente diversa e le strategie di recovery applicabili sono molto ridotte.

Un file cancellato su sistema posix ha davvero poche speranze di essere recuperato, al netto di poter accedere al Log Transazionale e trovare la commit di quel record. L'alternativa in genere possibile è il file carving ma essendo le informazioni di frammentazione definiti negli extents del nodo azzerate, è comune che file molto estesi non possano essere recuperati integralmente.

Gli iNodes su Linux EXT4, paragonabili ai Records NTFS Concettualmente, dispongono di molte meno informazioni di quelli Microsoft, a partire dalla informazione del Parent ( il nodo corrispondente alla cartella che lo conteneva ) ed in seguito alla cancellazione del file vengono modificati nella parte relativa agli extents, ovvero alle informazioni fondamentali per la localizzazione nel drive e la relativa frammentazione.

Cancellazione dei File da Windows 10 e successivi, il TRIMMING

Sebbene il file system Microsoft NTFS ( un progetto di file system fantastico ) , progettato nel 1993 non abbia subito updates rilevanti, e sia rimasto sostanzialmente lo stesso, l'effetto di una cancellazione su Windows 10 puo' avere degli effetti differenti rispetto i suoi predecessori.
E' comune infatti che i nuovi computer vengano configurati con unità disco SSD a stato solido, e che il sistema operativo abbia le opzioni di TRIMMING attivate.

Il TRIMMING su SSD è una feature del sistema operativo che è stata implementata per "Aiutare" e prolungare la vita del drive SSD.
Essendo le celle dei drive SSD soggette a degrado cronico, il firmware interno del Drive esegue una continua attività di remap delle celle, per ottimizzare il ciclo di vita del disco stesso. Le informazioni presenti sulle celle in fase di degrado con errori ECC vengono riposizionate sulle celle di riserva  ( SPARE ) in un contesto di ottimizzazione globale delle prestazioni e di utilizzo delle celle del drive stesso.

Possiamo paragonare l'attività di remap delle celle di una memoria flash alla inversione di ruote di una automobile. Le ruote posteriori che hanno un degrado inferiore vengono posizionate sull'avantreno per consentire un consumo omogeneo del treno di gomme.

L'attività di remap interna al drive SSD viene gestita internamente dal Wear Leveling e dal Flash Translation Layer ( FTL ) un algoritmo intelligente che gestisce lo spostamento e la riorganizzazione delle celle flash.

Windows 10 e successivi, utilizzano le funzioni di Trimming per rilasciare le celle non utilizzate associate ad elementi cancellati per "restituire" al disco elementi di riserva altrimenti non utilizzati, al fine di rendere la vita del drive più lunga possibile.

Quando cancelliamo un file da Windows 10 o Windows 11 installato su disco di sistema operativo SSD, le celle associate a quel file vengono comunicate al drive come libere appunto con le istruzioni di Trimming consentendo al Flash Translation Layer di poterle riutilizzare.

Effetti del trimming su una cancellazione di file e cartelle su Windows 10 

In seguito ad una cancellazione di file da Windows 10 su hard drive SSD, il trimming andrà inevitabilmente a distruggere le celle associate al file cancellato, ma per il funzionamento del sistema Microsoft, il record del file rimarrà nello stato originario, esattamente come spiegato precedentemente.

Se decidessimo di utilizzare un software di data recovery in seguito ad una cancellazione dati da SSD il risultato sarebbe il recupero integrale di file e cartelle strutturate, ma i contenuti sarebbero irrimediabilmente corrotti in quanto i blocchi associati al file sono stati già comunicati e gestiti dal Flash Translation Layer.

Nella maggior parte dei casi, un file cancellato da SSD con Windows 10 con le features di TRIMMING attivate puo' essere recuperato in termini di metadati ( nome e data originale ), ma il proprio contenuto risulta essere una sequenza di zeri 0x00.

La maggior parte degli utenti, di fronte ad una cancellazione accidentale o consapevole di dati da Windows 10, nel tentativo di recuperare i file con software specializzati, ottenendo file inutilizzabili, tenderebbe a pensare che il software non abbia eseguito correttamente le operazioni di recovery, o non sia di buona qualità.

In realtà il software ha recuperato correttamente i settori associati al file cancellato, ma tali settori sono già stati azzerati dall'infrastruttura interna del drive.

Conclusioni sul Recupero di File cancellati 

Il File System Microsoft offre grandi possibilità di restorare un file cancellato, anche in seguito allo svuotamento del cestino.
Nei computer moderni l'implementazione delle funzioni di Trimming associate ai drive SSD a stato solido ha cambiato le regole del gioco, e non sono ammessi errori. 
Se un file viene cancellato definitivamente, le celle associate al file stesso vengono riutilizzate dalla infrastruttura interna del drive e non potrà essere recuperabile in alcun modo. L'effetto del recovery utilizzando software specializzati è frustrante, in quanto il tool è in grado di localizzare file e cartelle cancellate, ma in seguito alla estrazione i file restituiti sarebbero irrimediabilmente corrotti.
Facciamo attenzione ad acquistare licenze di software per il recupero dei dati dopo aver visionato l'elenco dei file recuperabili, in quanto dobbiamo essere certi che tali file siano "effettivamente" funzionanti.