Cosa accade quando generiamo un file sul nostro personal computer ?
Le azioni di scrittura sul disco possono essere molto diverse in base al file system utilizzato, ma in generale la creazione di un file su un sistema corrisponde alla creazione di metadati e alla copia e alla allocazione di settori su hard disk.
ecco Un record MFT ( la master file table è un record lei stessa )
Durante la creazione di un nuovo file viene creato un nuovo record , al quale viene assegnato come parent l'identificativo della cartella che lo contiene, quindi funziona tutto con una semplice associazione padre/figlio.
Viene inoltre modificato l'indice posizionato nella index allocation, una sistema creato per garantire una navigazione molto veloce del file system senza aver bisogno di leggere tutte le volte la tabella dati principale.
La index allocation è un attributo speciale dei records di file system che rappresentano le cartelle.
Al momento della copia del file e del trasferimento del contenuto , vengono allocate le catene cluster dove il file verrà posizionato , per poi copiare dalla memoria settore per settore nella posizione di destinazione.
L'evento di cancellazione tipicamente provoca uno spostamento del record file o di cartella dal padre originale alla cartella identificata come cestino.
Se avviene uno svuotamento del cestino o una cancellazione diretta il file scompare dalle index allocations e diventa LOST, un vero e proprio fantasma.
In realtà un file cancellato perde semplicemente il proprio identificativo a livello INDEX, ma la propria allocazione rimane integra ed il record originario rimane esattamente dove è stato creato.
Di seguito alla cancellazione di un file o di una cartella, quindi non accade assolutamente nulla di irreparabile.
Per questa ragione il recupero dei files cancellati da sistemi Microsoft è in generale una operazione semplice, ed esistono migliaia di tools per perfezionare l'azione di recupero.
La situazione diventa più complessa quando dopo la cancellazione continuiamo ad utilizzare il PC e a copiare , creare e cancellare dati.
Durante un utilizzo del pc normale creiamo e muoviamo migliaia di files, e la movimentazione del file system è sempre consistente.
Se file o cartelle hanno subito una cancellazione definitiva, le proprie informazioni di MFT rimangono sul file system perfettamente integre.
Il sistema di gestione dello spazio contestualmente però avrà accesso alle aree impegnate dai files cancellati perchè ormai considerate utilizzabili.
Il vero problema è questo.
Dopo una cancellazione si rischia di incorrere in una sovrascrittura trasparente ed assolutamente legittima dei settori dell'hard disk.
Non è determinabile quali e quanti clusters verranno sovrascritti e distrutti.
Il file system andrà ad impegnare aree contigue quanto piu' possibile per ottimizzare l'utilizzo dei nuovi files copiati sul sistema.