Il recupero dati da supporti di memorizzazione danneggiati o formattati rappresenta uno degli interventi tecnici più delicati nel campo dell’informatica forense e della gestione avanzata dei sistemi. Quando un disco rigido subisce un guasto meccanico o elettronico, oppure quando una memoria flash (come una chiavetta USB o una scheda SD) viene formattata accidentalmente o intenzionalmente, l’integrità delle informazioni archiviate è messa a rischio. Tuttavia, nella maggior parte dei casi, la perdita dei dati non è definitiva, purché si intervenga seguendo protocolli rigorosi e senza compromettere ulteriormente il supporto.
Anatomia di un Guasto: Hard Disk Meccanici e a Stato Solido
Gli hard disk tradizionali (HDD) si basano su piatti magnetici rotanti e testine di lettura/scrittura che operano a distanze microscopiche. Un danno fisico, come una caduta del dispositivo o l’usura dei componenti meccanici, può causare il cosiddetto “head crash” o la corruzione del settore di avvio. In queste situazioni, forzare l’accesso al disco tramite i normali strumenti del sistema operativo può aggravare il danno, rendendo i piatti illeggibili.
Nei dischi a stato solido (SSD) e nelle memorie flash, la struttura è completamente diversa: non ci sono parti in movimento, ma chip di memoriaNAND flashgestiti da un controlla. Quando un SSD si guasta, spesso il problema risiede nel controlla stesso o nella tabella di traduzione degli indirizzi (translator). Intervenire su questi dispositivi richiede attrezzature specifiche per la lettura diretta dei chip di memoria (tecnica nota comechip-off) o l’uso di terminali di servizio dedicati per dialogare direttamente con il firmware del controlla.
Il Problema della Formattazione nelle Memorie Flash
La formattazione di una memoria flash, che si tratti di una chiavetta USB, di una scheda microSD o di un’unità SSD, viene spesso confusa con la cancellazione definitiva dei file. In realtà, una formattazione rapida (quick format) si limita a eliminare i puntatori logici e la tabella dei file, lasciando intatti i blocchi di dati effettivi finché questi non vengono sovrascritti da nuove scritture.
Tuttavia, nei dispositivi moderni dotati ditecnologia TRIM(comune negli SSD e nei sistemi operativi recenti), il comando TRIM cancella attivamente i blocchi di memoria non appena viene effettuata la formattazione o l’eliminazione, azzerando i dati per motivi di efficienza e usura. Nelle schede di memoria e nelle chiavette USB tradizionali, dove il TRIM spesso non è attivo o non è supportato, le possibilità di recuperare la totalità dei file dopo una formattazione accidentale rimangono elevate, a patto di interrompere immediatamente qualsiasi utilizzo del supporto.
Metodologie e Protocolli di Acquisizione Forense
Quando si affronta un’operazione di recupero dati, specialmente incontesti professionali o legali, la regola fondamentale è preservare l’integrità della prova o del reperto digitale. Si procede quindi alla creazione di un’immagine forense bit a bit del supporto originale utilizzando strumenti di basso livello che operano in sola lettura.
Per i supporti danneggiati, si ricorre spesso a lettori di firmware avanzati o camere bianche (clean room) nel caso in cui sia necessario sostituire parti meccaniche danneggiate dell’hard disk per estrarre temporaneamente i dati. Nel caso delle memorie flash formattate, si utilizzano algoritmi di scansione profonda (deep carving) in grado di riconoscere i file in base ai loro header e footer binari (le firme caratteristiche dei vari formati di file, come JPEG, PDF o documenti office), ricostruendo la struttura dei dati anche in assenza del file system originario.
