Problemi e compatibilità del File System
Problemi e soluzioni con i file persi
Un file trovato con l’aiuto di un algoritmo di ricerca dell’impronta del file, viene definito ‘perso’. Questo file può essere trovato in un drive senza nessun dato sul file system (questi drive verranno chiamati 'RawFS') o su un drive, dopo avere eseguito il processo di ricerca dei dati persi. Tipicamente, questo tipo di file può essere recuperato solo se sono memorizzati in uno o più cluster consecutivi sul drive.
Se la dimensione del file non può essere determinata, avrà una dimensione di default specificata nel menu "Oggetto/Opzioni/File". La dimensione di default potrebbe essere troppo piccola per il file in questione, ad esempio nel caso di un file bitmap potrebbe essere recuperato, ma l’immagine è tagliata. In questo caso la dimensione del file perso recuperato è troppo piccola e si dovrebbe adattare la dimensione per ogni singolo file selezionando Proprietà dal menu Oggetto. Non importa se si specifica una dimensione oltre la dimensione reale del file, dal momento che molti tipi di file memorizzano la loro dimensione corretta all’interno del file.Un altro problema si ha se il file è memorizzato nel formato OLE che è usato da molti nuovi formati di file, come le recenti versioni di Microsoft Word, Excel, PowerPoint e altri. In questo caso non può essere rilevata l’estensione corretta e file avrà l’estensione '.MOP'. Per riavere l’accesso al file bisogna rinominarlo (es. .DOC, .XLS o .PPT) e provare ad aprirlo con l’applicazione giusta.
Problemi e soluzioni con
FAT 32
In Windows® 2000/XP (tutte le versioni), ogni volta che una entry (file o cartella) viene cancellata vengono rimossi dal sistema operativo i 32 bit più alti della entry, che contengono il cluster di partenza dei dati. Per questo motivo il valore corretto del cluster di partenza, al momento del ripristino della entry, non è noto. Senza sapere l’esatto cluster di partenza nessuno strumento di recupero può trovare e ripristinare con successo una entry MFT. Per aggirare questo problema FILERECOVERY ha trovato una soluzione. In base alla dimensione del disco, vengono generati probabili valore del cluster di partenza della cartella o del file selezionato per il recupero. Nel caso di una cartella il programma proverà automaticamente tutte le possibili combinazioni di cluster – nel caso di un file chiederà all’utente di testare tutte le combinazioni.
Per vedere se il file è stato recuperato, si dovrebbe aprire il file con l’applicazione adatta per il file recuperato – se l’applicazione non riesce ad aprire il file bisogna far continuare FILERECOVERY nella ricerca delle combinazioni successive.
Se il numero dei cluster supera un certo limite (in base alla dimensione del disco), ci sono troppe combinazioni possibili (> 256) e questa caratteristica sarà limitata a questo numero di cluster.
Nel caso di NTFS il file system prova ad ottimizzare lo spazio usato dalla MFT ridimensionandola ogni volta che viene avviato il sistema. Una volta che la MFT è stata ridimensionata (se la dimensione è stata diminuita), non è possibile recuperare tutte le entry cancellate.
Per ottenere un risultato migliore, è consigliabile eseguire FILERECOVERY nella stessa sessione in cui sono stati cancellati i file.
File cancellati dal cestino con
Windows NT/2000/XP
Quando un file viene mandato nel cestino nei sistemi operativi basati su Windows NT, il nome del file viene perso. Il file viene rinominato in 'D lettera del drive del file cancellato #'.
Quando si devono recuperare file che sono stati cancellati dal cestino, cercare 'D' seguito dalla lettera del drive del file originale, seguito da un numero. Per esempio un file cancellato dal drive E: potrebbe essere chiamato 'DE10.DOC', uno cancellato dal drive C: potrebbe essere 'DC.XLS'. L’estensione del file e la data di eliminazione saranno preservati. Questo non sia applica ai file cancellati dal prompt dei comandi o all’interno delle applicazioni, infatti questi conserveranno il nome del file.
File compressi e criptati
con NTFS
Quando si salvano file compressi, assicurarsi di utilizzare un sistema operativo basato su Windows® NT che supporta la compressione dei dati (Windows® 2000/XP). Altrimenti i dati compressi non potranno essere decompressi e saranno salvati in un formato compresso usando l’estensione '.$compressed'. I file con questa estensione potranno essere importati in seguito in un sistema operativo basato su Windows® NT usando lo strumento 'comimport.exe' di FILERECOVERY.
Quando si salvano file criptati, assicurarsi di utilizzare un sistema operativo basato su Windows® NT che supporta la crittografia (Windows® 2000/XP) e salvare i file recuperati su un drive NTFS. Altrimenti i dati criptati non potranno essere decriptati e saranno salvati in formato raw, usando l’estensione '.$efs'. I file con questa estensione potranno essere importati in seguito in un drive NTFS usando lo strumento 'efsimport.exe' di FILERECOVERY.
Se hai recuperato un file criptato di un utente il cui account non è più disponibile, o che ha perso la sua chiave privata (ad esempio per un incidente al sistema) è possibile utilizzare una delle seguenti soluzioni per accedere di nuovo ai dati:
- Importare il certificato dell’utente usando il Certificates snap-in di Windows® NT e leggere il file. Questo presuppone che il certificato sia stato esportato in precedenza.
- Recupera il file come Recovery Agent (i file vengono criptati con la chiave dell’utente e con la chiave del Recovery Agent, un utente delegato, il cui account è configurato come Recovery Agent).
Il recovery agent può accedere ai certificati di recupero e alla chiave privata, ed effettuare il recupero dei file criptati. NOTA: Quando la presenza del recovery agents non è prevista, il recupero può essere effettuato da un computer qualsiasi usando l’account di amministratore, che è configurato per essere il recovery agent di default.- Fai un Back up dei file criptati (usando Microsoft Backup) in un file .bkf ed inviali al computer del Recovery Agentr. Il Recovery Agent dovrebbe essere in grado di recuperare i file su un sistema sicuro, decriptarli e rimandarli all’utente.
Fare riferimento al manuale del sistema operativo Windows® per avere maggiori informazioni sulla decodifica dei dati criptati (recupero crittografia) che sono stati salvati su un drive NTFS.
FILERECOVERY è compatibile con tutti i file system di Windows®. Potrebbe esserci qualche problema poiché alcuni anti-virus potrebbero riportare un errore, a causa del modo in cui FILERECOVERY accede ai dischi. Per un utilizzo migliore, disinstallare ogni software anti-visrus prima di eseguire FILERECOVERY .
Una volta che FILERECOVERY ha esaminato il disco, l’utente troverà un gran numero di cartelle chiamate "Nuova Cartella" o "Nuova Cartella(2)" e così via. Queste cartelle sono generalmente create quando un utente crea una nuova cartella con Windows® Explorer. Infatti in questo caso, a livello del disco avviene ciò che segue:
1) Viene creata una cartella chiamata “Nuova Cartella” nel path scelto dall’utente.
2) Dopo che l’utente la rinomina, “Nuova Cartella” viene cancellata e viene aggiunta al disco la cartella con il nome scelto.
Dal momento che FILERECOVERY non può in nessun modo distinguere se "Nuova Cartella" è una cartella valida o solo il nome iniziale di una cartella che è stata rinominata, mostrerà tutte le “Nuove Cartella” come cancellate.
FILERECOVERY è un marchio registrato di LC Technology
International, Inc.
Microsoft e Windows sono marchi registrati di Microsoft Corporation. Tutti gli altri
marchi sono proprietà dei rispettivi possessori.