December 5
Il recupero dei dati funziona modi diversi e dipende da come i dati vengono persi. Sebbene archiviazione computer può essere estremamente complessa, il caso più semplice è quella di un computer di casa che ha un disco rigido per l'archiviazione e quel disco ha una sola partizione.
Un computer di casa esegue un sistema operativo (Windows, Macintosh, ecc). Il sistema operativo sa sui file. Il disco rigido non sa sui file; si conosce settori. I settori sono piccole porzioni di dati, di solito 512 byte. Un file system (NTFS, HFS +, ecc), si traduce tra i file e settori del disco rigido. La perdita dei dati è quando il sistema operativo non può più leggere uno o più file dal disco rigido.
Nella sua forma più semplice, un file system è solo una tabella sul disco rigido con una colonna per il nome del file e un'altra colonna per i numeri dei settori utilizzati dal file. Quando il sistema operativo crea un file, il file sistema trova una riga vuota nella tabella, quindi scrive il nome del file e numeri del settore. Quando il sistema operativo legge un file, il file system cerca il nome del file e quindi legge i settori del disco.
Quando si svuota il cestino, il sistema operativo dice al sistema di file da eliminare ogni file nel cestino. La maggior parte dei sistemi di file in realtà non eliminare le informazioni; segnano semplicemente la riga della tabella come disponibili. Quella riga della tabella può essere riutilizzato dal file system in futuro. Alla fine, i settori possono essere riutilizzati sul disco, ma non sono riutilizzati immediatamente. Fino a quando non vengono riutilizzati, il file può essere recuperato dalla lettura delle informazioni del file system direttamente e agendo come se la fila erano disponibili. Salvataggio dei file e la deframmentazione del disco può rendere i file cancellati irrecuperabili riutilizzando le righe della tabella dei file e settori del disco rigido.
Un file è danneggiato quando non può essere letta a contatto. Il file può essere danneggiato da un bug software, un fallimento settore o da un file system danneggiato. Anche se le parti possono essere recuperati, file danneggiati in genere non possono essere recuperati completamente.
Le informazioni del file system è memorizzato sul disco, in modo che possa essere danneggiato come qualsiasi altro file. La maggior parte dei file system moderni o tenere un duplicato delle informazioni file system o tenere un diario che può essere riprodotto ricreare l'informativa. Anche quando un file di sistema non può essere completamente ripristinato, i file possono ancora essere recuperati leggendo direttamente le informazioni del file system. Alcuni file sono solitamente persi quando si ripristinano i file system corrotti.
Molti tipi di file contengono stringhe esadecimali distinti o firme che li identificano. I file JPEG, per esempio, iniziano con la stringa esadecimale 0xFFD8FF. Leggendo i settori del disco rigido direttamente e alla ricerca di settori disponibili che iniziano con 0xFFD8FF può consentire di recuperare un file JPEG. Tuttavia, questa tecnica, chiamata "carving dati", soffre di alcune limitazioni. E 'estremamente richiede tempo. I file non-JPEG possono anche cominciare con 0xFFD8FF. Si possono trovare molti file che non sono file JPEG. I settori sono riutilizzati e file possono essere frammentati. A volte, solo una parte del file viene recuperato. Non tutti i tipi di file possono essere riconosciuti da una semplice firma e quindi non tutti i file possono essere recuperati.