RISOLTO Ma mica era spesso possibile recuperare i dati? [Caso Ramy]

[Numero 8]

ciao,

seguo poco la cronaca, ma oggi sono rimasto colpito (vista l’idea che mi ero fatto leggendo qui e altrove) dal sentire che è bastato cancellare un video anche dal cestino per non recuperarne traccia.

Esistono metodi più efficaci o le nostre forze dell’ordine si fermano davvero qui?

Grazie

@Liupen @michael chiklis

 

[Liupen]

Ciao. La mia esperienza riguarda esclusivamente hdd e ssd (casi che sono successi a me oltretutto).

@michael chiklis ha sicuramente il polso della situazione per i Recovery service.

Pagando un software pro si possono recuperare dati - purché non sovrascritti - da hdd non danneggiati, questo è sicuro.

Se l'hdd è danneggiato occorre un professionista che accede direttamente al disco (per l'elettronica, sostituire testine per poi fare una clonazione, ecc). L'importante è non utilizzare più l'hdd.

Per l'ssd e, in proiezione, gli smartphone, che ne usano la tecnologia, è molto più complesso.

Recupero Dati Smartphone, Cellulari e Tablet | Ontrack

Hai perso i tuoi dati importanti dal tuo smartphone o tablet? Ontrack può aiutarti a recuperarli. Contattaci oggi stesso per una consulenza gratuita.

www.ontrack.com

Guarda attentamente cosa dice Ontrack che è una della aziende più conosciuta in questi lidi.
Parla di recupero da telefoni danneggiati e non di recupero di dati cancellati.

Sottile ma determinante differenza che implica che il chip interno conservi ancora tutti i dati e sia lo smartphone, rotto.

Cancellare una foto o un qualsiasi dato da uno smartphone, specie se poi si continua a utilizzarlo (come mi pare di capire sia avvenuto), rende improbabile il recupero.
Non impossibile. Infatti un frame, il timing d'uso della fotocamera, ecc sono degli indizi circostanziali molto forti a favore della esistenza del video e dimostrano il buon lavoro fatto dal perito tecnico del tribunale.

 

[michael chiklis]

Dipende a quale tipo di dispositivo ti riferisci e da quanto/come è stato utilizzato il dispositivo dopo l'eliminazione del file dal cestino.
Su una memoria ssd (col trim attivo) una volta eliminato un file dal cestino (o direttamente) questo viene perso definitivamente perchè i blocchi su cui risiedeva vengono azzerati (trimming). Non ci sono modi di recuperare il file, il trimming di solito parte immediatamente ed è molto veloce.

Se invece ti riferisci ad un hdd allora il file appena eliminato dal cestino dovrebbe essere recuperabile con i software adatti, a patto di andarlo a salvare su un altro dispositivo (per non rischiare che vengano sovrascritti proprio i cluster su cui risiede quello eliminato nel momento in cui si tenta di recuperarlo).
Se però dopo l'eliminazione l'hdd viene ancora utilizzato salvando nuovi dati o si deframmenta o magari parte qualche software (o l'OS) con qualche operazione in background in scrittura, le chance di recupero si abbassano, sempre per lo stesso discorso dei cluster che vengono sovrascritti.
Quando si elimina un file da un hdd, normalmente viene semplicemente inviato un comando che va a contrassegnare sul filesystem che quel file non deve essere più indicizzato, anche se in realtà il file è ancora presente fisicamente e può essere recuperato. Immagina come se andassi in biblioteca per cercare un libro, andrai a cercare nello schedario in base al titolo o l'autore su quale scaffale si trova, ma se lo schedario è stato perso non vuol dire che il libro che cerchi non si possa trovare, ma sarà molto più complesso trovarlo.
I cluster su cui il file cancellato ancora risiede vengono abilitati alla sovrascrittura di nuovi dati (sarà il sistema operativo o il software che si sta usando per il salvataggio dei nuovi dati che deciderà su quali indirizzi salvare i nuovi dati), quindi è questione di tempo prima che i cluster di quel file eliminato vengano sovrascritti.
Se lo spazio sul disco è molto poco, le probabilità di perdere definitivamente il file appena eliminato per sbaglio sono molto alte se si continua ad usare il disco in scrittura, se non si provvede a recuperarlo al più presto. E' come in un parcheggio con pochi posti, le probabilità che una macchina appena entrata nel parcheggio vada ad occupare proprio quei pochi posti rimasti liberi che hai notato sono molto alte, se invece ci fossero molti più posti liberi allora le chance che ti rubino il posto che avevi appena trovato tu si abbassano.

Bisogna però dire che alcuni hdd di ultima generazione (tecnologia SMR) hanno anche il trim attivo come sulle ssd, per cui anche su questi i dati eliminati erroneamente vengono persi definitivamente quasi immediatamente come sulle ssd.

Comunque ho visto solo ora che si tratta di un video ripreso con lo smartphone, scusa ma non seguo quasi nulla della tv main stream.
Gli smartphone moderni sfruttano la funzione trim come le ssd per riorganizzare i cluster cancellati, quindi i dati vengono spazzati via all'istante una volta cancellati.
Se è stato recuperato un solo frame (almeno secondo quello che ho letto poco fa dalla prima fonte che trovato sul web), significa che è stata recuperata solo una thumb che faceva da anteprima al video. La thumb che fa da anteprima non si trova all'interno del file ma in un'altra locazione, ovvero sul filesystem insieme ad altri meta-dati. I meta-dati rimangono salvati anche dopo la cancellazione del file.
Alcune app salvano le thumb in una cartella a parte apposita, magari il tecnico forense è li che l'ha trovata, non so dipende dal app che è stata usata per girare il video.

 

[Numero 8]

Tutto interessante, grazie, tra