Cancellazione file definitiva

[gabryflash]

Originariamente inviato da havanalocobandicoot

Chi e dove precisamente?
Io non conosco software che possano recuperare dati dopo una semplice sovrascrittura (cosa che fa anche il metodo ad una sola passata, per intenderci). Le successive sovrascritture (e il metodo Gutmann altro non è che una serie di sovrascritture una dopo l'altra regolate da un apposito algoritmo di Gutmann) servono a rendere via via più difficile il lavoro di recupero tramite costose attrezzature che permetterebbero di ricostruire il valore (0 oppure 1) dai residui della magnetizzazione della scrittura precedente, sempre che sia possibile. Gutmann dice che dopo non sia possibile recuperare assolutamente nulla, anche se Riazzituoi dice che anche quello è stato reversato:
http://www.hwupgrade.it/forum/showpo...2&postcount=19

In fondo, se è possibile recuperare dati in seguito ad una sola sovrascrittura, recuperare dati dopo le passate di Gutmann (ben 35!) dovrebbe essere solo più difficile principalmente per due motivi: il numero di scritture e l'algoritmo utilizzato (che dovrebbe essere il migliore esistente), anzi relativamente semplice se si riesce a reversarlo. Non so se per farlo basti solo un software o sono anche necessarie delle attrezzature particolari.

guarda io non ho mai tentato se non fino ad un certo punto ma ho fatto un piccolo esperimento poi abortito perche ho problemi col pc...in pratica ho duplicato una serie file di diverse dimensioni ..quasi tutti exe che scarico dalla rete (free ovviamente) e poi li ho cancellati tutti con il programma che vedi nell'imagine usando 3 passaggi..infine ho fatto una passata con ccleaner sugli spazi liberi con singola passata terminado poi con undelete plus (sempre usato e recupera sempre di tutto senza sbagliare un colpo)..ebbene mi segnalava la presenza degli exe ..ne ho recuperato solo 1 ..un file piccolo (3mb) e sembra che funzionasse... però avevo problemi di surriscaldamento percio non escludo che sia stato un caso .... ,,,cmq credo che il dip della difesa sara mica gnugnu a non controllare se funziona o meno ...oppure no?

[havanalocobandicoot]

Originariamente inviato da gabryflash

infine ho fatto una passata con ccleaner sugli spazi liberi con singola passata

Che c'entra CCleaner? Quello cancella i file temporanei e pulisce il registro, ma mica riscrive i file.

Originariamente inviato da gabryflash

terminado poi con undelete plus (sempre usato e recupera sempre di tutto senza sbagliare un colpo)..ebbene mi segnalava la presenza degli exe ..ne ho recuperato solo 1 ..un file piccolo (3mb) e sembra che funzionasse...

Magari l'eraser che hai usato riscrive solo il file e lo cancella senza alterarne il nome. Per quanto riguarda il file che hai recuperato, funzionava perfettamente? Magari era qualche file che avevi cancellato prima con Windows senza distruggerlo con l'eraser. Hai provato su una nuova partizione o comunque pulita con l'eraser?

Originariamente inviato da gabryflash

però avevo problemi di surriscaldamento percio non escludo che sia stato un caso ....

I problemi di surriscaldamento come hanno potuto impedire all'eraser di cancellare bene il file?

[man]

ciao,
non vorrei distogliervi dalle vs. considerazioni ; mi dite con quale programma provare a recuperare i fiel cancelalti con eraser?

Ciao

[Wikkle]

Originariamente inviato da man

ciao,
non vorrei distogliervi dalle vs. considerazioni ; mi dite con quale programma provare a recuperare i fiel cancelalti con eraser?

Ciao

guarda che é impossibile.... soprattutto se usi Gutmann.

[man]

penso che abbia utlizzato il metodo di default a 3 passate.

Voleva spostare una cartella con il metodo "secure move" e invece a cancellato

[gabryflash]

Originariamente inviato da havanalocobandicoot

Che c'entra CCleaner? Quello cancella i file temporanei e pulisce il registro, ma mica riscrive i file.


Magari l'eraser che hai usato riscrive solo il file e lo cancella senza alterarne il nome. Per quanto riguarda il file che hai recuperato, funzionava perfettamente? Magari era qualche file che avevi cancellato prima con Windows senza distruggerlo con l'eraser. Hai provato su una nuova partizione o comunque pulita con l'eraser?


I problemi di surriscaldamento come hanno potuto impedire all'eraser di cancellare bene il file?

-ccleaner ha anche da qualche versione a questa parte l'opzione di bonificare lo spazio libero e si puo fare da 1 a 35 passate (gutmann)....


-su questo non saprei...pensavo che fosse implicito che eradicasse anche il nome .....

- si il file funzionava perfettamente ..prima ho sbagliato a scrivere : nn erano tutti .exe ma cerano anche jpg e quello era jpg...foto recuperata

-ho stoppato esperimento per problemi che ti ho detto prima...basta un programma impegnativo e le temp si alzano troppo a livelli d guardia

-sul riscaldamento temo di aver sparato io a casaccio in quanto questo mi rpovoca dei freeze al pc ..però non so se il progr quando freeza salta il processo in corso ..forse no...mi sa che in questa ultima affermazione ho sbarellato un poco eh?

[riazzituoi]

.

[gabryflash]

Originariamente inviato da riazzituoi

Le disposizioni più recenti sono quelle del NIST (anno 2006), comunque riguardano la "messa in sicurezza" dell'intero disco e non dei singoli file, che è un'altra storia.

Il punto principale nell'eliminazione dei singoli file, non è tanto il metodo utilizzato (faccio notare che le 3 passate, oppure le 7, o le 35 del metodo Gutmann sono equivalenti), quanto la corretta gestione del filesystem da parte del programma impiegato.

.

come sarebbe equivalenti??? quindi son tutte ugueli??

Originariamente inviato da riazzituoi

quanto la corretta gestione del filesystem da parte del programma impiegato.

.

detto per profani equivale a cosa???scusa ma l'argomento è interessante....

[havanalocobandicoot]

Originariamente inviato da gabryflash

-ccleaner ha anche da qualche versione a questa parte l'opzione di bonificare lo spazio libero e si puo fare da 1 a 35 passate (gutmann)....

Buono a sapersi. Ho trovato funzione tra le opzioni, ma come si fa a fargli fare la "bonifica"?

Originariamente inviato da gabryflash

- si il file funzionava perfettamente ..prima ho sbagliato a scrivere : nn erano tutti .exe ma cerano anche jpg e quello era jpg...foto recuperata

Ripeto... non è che era qualche file che avevi cancellato prima con Windows senza distruggerlo con l'eraser? Hai provato su una nuova partizione o comunque pulita con l'eraser?
Sarebbe interessante verificare l'integrità del file, e cioè se l'hash del file recuperato è uguale a quello del file originale.

Originariamente inviato da riazzituoi

In pratica è possibile che i file residenti non vengano completamente eliminati (anche se io personalmente non sono mai riuscito a riprodurre questo problema). La possibile spiegazione data sempre dallo sviuppatore è che il metadata $logfile tenga traccia di queste transizioni.

Questo significa che in alcuni casi comunque riesce ad eliminarli. Per riprodurre il problema non basterebbe cancellare il file ed andare a verificare se nella MFT è presente quel file? Con i programmi adatti non dovrebbe essere poi così difficile effettuare questa verifica. Nelle tue prove il file residente era sempre sovrascritto? Mi indicheresti qualche programma adatto a questa verifica? Quando parli di transizioni non ti seguo.

[gabryflash]

Originariamente inviato da havanalocobandicoot

Buono a sapersi. Dov'è questa funzione che non la trovo?

dunque devi andare su pulizia window e scendere su avanzate ....di default non è spuntata...

Originariamente inviato da havanalocobandicoot

Ripeto... non è che era qualche file che avevi cancellato prima con Windows senza distruggerlo con l'eraser? Hai provato su una nuova partizione o comunque pulita con l'eraser?
Sarebbe interessante verificare l'integrità del file, e cioè se l'hash del file recuperato è uguale a quello del file originale.

no era un file unico creato per l'occasione ed inconfondibile.. scaricato per l'occasione.. sull'ash non saprei dato che poi ho riformattato per problemi vari e per ora non risolvibili...

Originariamente inviato da havanalocobandicoot

Questo significa che in alcuni casi comunque riesce ad eliminarli. Per riprodurre il problema non basterebbe cancellare il file ed andare a verificare se nella MFT è presente quel file? Con i programmi adatti non dovrebbe essere poi così difficile effettuare questa verifica. Nelle tue prove il file residente era sempre sovrascritto? Mi indicheresti qualche programma adatto a questa verifica? Quando parli di transizioni non ti seguo.

e se in sede di formattazione eradichiamo anche la mtf?? si puo o sbaglio?? in quel caso sarebbe irrecuparabile???

[havanalocobandicoot]

Originariamente inviato da gabryflash

dunque devi andare su pulizia window e scendere su avanzate ....di default non è spuntata...

Si si, poi l'ho vista e infatti ho modificato il mio post. Però non capisco come si fa a fargli fare la "bonifica".

Originariamente inviato da gabryflash

e se in sede di formattazione eradichiamo anche la mtf?? si puo o sbaglio?? in quel caso sarebbe irrecuparabile???

Ma MFT è memorizzata come un qualunque altro file all'interno della partizione, quindi formattando viene cancellata anche quella. Se fai uno zero fill o una qualunque altra sovrascrittura della partizione di fatto la sovrascrivi.

[gabryflash]

spunta l'opzione e lancia il programma fara prima la solita pulizia poi la bonifica...pero se vuoi solo quella devi togliere le spunte a tutti gli altri modli di cc cleaner ...


quindi se formatto dovrebbe perdersi...e se dopo formattazione provo con programma di recupero senza aver alterato i dati con qualche metodo li posso recuperare immagino..oppure no??

[havanalocobandicoot]

Originariamente inviato da gabryflash

quindi se formatto dovrebbe perdersi...e se dopo formattazione provo con programma di recupero senza aver alterato i dati con qualche metodo li posso recuperare immagino..oppure no??

Non ho mai provato, però penso che, facendo la formattazione veloce, prima di recuperare i file si dovrebbe procedere all'undelete della partizione, a meno che il programma di recupero riesca a leggere la MFT "fantasma".
In merito ai diversi tipi di formattazione e alla MFT ti rimando a questa discussione che potrebbe esserti interessante:
http://www.hwupgrade.it/forum/showthread.php?t=1925337

[gabryflash]

ok la leggero con interesse...grazie... appena aggiusto tutto riprovo con un hdd verginello e vedo se la cosa funziona di nuovo...poi ti terro informato se ti/vi interessa...

[havanalocobandicoot]

Originariamente inviato da gabryflash

appena aggiusto tutto riprovo con un hdd verginello e vedo se la cosa funziona di nuovo...poi ti terro informato se ti/vi interessa...

Si si, è interessante. Testa e posta.

[riazzituoi]

.

[gabryflash]

Originariamente inviato da riazzituoi

Sono equivalenti a meno che non utilizzi un HD di 10 anni fa.
Una sovrascrittura ha lo stesso effetto di 3 o più sovrascritture

quindi anche le 35 passate di gutmann sono inutili??? e meno male che doveva essere un metodo definitivo..tanto vale una passata sola a meno che nn ci siamo intesi ed intendevi una passata nel senso di un solo intervento del programma per singolo file e nn sovrascritture in serie...

Originariamente inviato da riazzituoi

nel caso dell'NTFS (quello più usato), come già scritto è importante la corretta gestione dell'MFT per essere sicuri che le varie entrate siano rinominate, alterate (ad esempio il mace), ed eliminate. Poi deve gestire lo spazio slack, i file frammentati (anche se nell'NTFS questo non dovrebbe essere un grosso problema), i file compressi (a livello del fs), criptati (a livello del fs), ecc.

qui mi sono perso perche le mie scarsissime conoscenze mi lasciano vuoti ...potresti spiegarti riazzi per cortesia? cosa sono il mace e l'fs?

Originariamente inviato da riazzituoi

Nelle prove che ho effettuato il file era sempre sovrascritto.
Puoi utilizzare WinHex come programma.

tutto il file anche il nome del file? perche io ho visto il nome del file ma non ho fatto il recupero perche avevo problemi hardware sopraggiuntiin quel momento e che ancora mi tormentano...

Originariamente inviato da riazzituoi

La formattazione effettuata da Windows non elimina completamente l'MFT, ma solo alcune entrate, inoltre non elimina i file.
Per rendere i file irrecuperabili via software è necessaria la sovrascrittura, ad esempio uno zero fill.

anche qui buio completo.. ... zero fil? non trovo su google ma magari cerco male ...

su windows ci siamo so che manca quella parte ma ci son programmi che si attivano totalmente o parzialmente dopo il booot e prima dell'avvio di windows come quelli di paragorno mi pare....

io comunque uso East-Tec Eraser molto completo a quanto ne posso capire in quanto offre anche la possibilità di scegliere a che livello di buffer fare la sovrascrizione...

[havanalocobandicoot]

Originariamente inviato da riazzituoi

Sono equivalenti a meno che non utilizzi un HD di 10 anni fa.
Una sovrascrittura ha lo stesso effetto di 3 o più sovrascritture

Non ti seguo, e penso di poter parlare anche a nome di gabryflash.
Le ulteriori sovrascritture rendono via via più difficile il recupero del valore tramite la magnetizzazione residua, quindi come mai hanno lo stesso effetto? Se così fosse non ci sarebbe stato bisogno d'inventare un metodo a più passate.

In hard disk vecchissimi le sovrascritture successive in cosa si rendono utili?

Originariamente inviato da riazzituoi

nel caso dell'NTFS (quello più usato), come già scritto è importante la corretta gestione dell'MFT per essere sicuri che le varie entrate siano rinominate, alterate (ad esempio il mace), ed eliminate. Poi deve gestire lo spazio slack, i file frammentati (anche se nell'NTFS questo non dovrebbe essere un grosso problema), i file compressi (a livello del fs), criptati (a livello del fs), ecc.

Tutto questo Eraser lo fa? Ci sono altri programmi migliori?

Originariamente inviato da riazzituoi

[transizioni: modifiche avvenute durante il processo di eliminazione del file]

Praticamente le transizioni sarebbero le operazioni di spostamento logico del file dal percorso originale al cestino e il togliere la spunta al flag "in uso" da parte della MFT?

[havanalocobandicoot]

Originariamente inviato da gabryflash

qui mi sono perso perche le mie scarsissime conoscenze mi lasciano vuoti ...potresti spiegarti riazzi per cortesia? cosa sono il mace e l'fs?

FS è l'abbreviazione per File System (NTFS è un FS, così come FAT32).
Del MACE Riazzituoi ne aveva parlato nella pagina precedente, definendolo "un valore che specifica la data di creazione, modifica, e ultimo accesso":
http://www.hwupgrade.it/forum/showpo...0&postcount=29

...E se ti piace l'inglese eccoti questo:

NTFS keeps track of lots of time stamps. Each file has a time stamp for 'Create', 'Modify', 'Access', and 'Entry Modified'. The latter refers to the time when the MFT entry itself was modified. These four values are commonly abbreviated as the 'MACE' values. Note that other attributes in each MFT record may also contain timestamps that are of forensic value.

Fonte: http://www.forensicswiki.org/wiki/NTFS

Originariamente inviato da gabryflash

anche qui buio completo.. ... zero fil? non trovo su google ma magari cerco male ...

Cerchi male perché intanto si chiama zero "fill" e non "fil". Poi comunque sarebbe bastato scrivere ad esempio "zero fil hard disk" senza virgolette e Google ti avrebbe già corretto fil con fill.
E' la scrittura di zeri su tutto il disco.

[riazzituoi]

.