Cancellato su un SSD — perché i dati spesso ci sono ancora
Dopo una cancellazione su un SSD nessun software di recupero trova più nulla — e molti ne concludono che i dati siano persi. Non è così: con molti controller recuperiamo i file cancellati, anche dopo il TRIM. Decisivo è ciò che lei fa nei primi minuti.
Perché cancellare su un disco rigido cancella quasi nulla
Su un disco rigido ogni posizione può essere sovrascritta direttamente. Perciò, quando lei cancella un file, non viene sovrascritto nulla — il sistema operativo si limita a togliere la voce dall’indice e a marcare i blocchi come liberi. Gli schemi magnetici restano finché prima o poi qualcosa di nuovo non viene scritto sopra. Proprio per questo i file cancellati si possono lì ritrovare spesso ancora dopo settimane.
Perché la memoria flash funziona diversamente
Un SSD non può semplicemente sovrascrivere. Si scrive per pagine, ma si cancella solo in blocchi molto più grandi. Per modificare quattro kilobyte l’SSD dovrebbe quindi svuotare un intero blocco — per questo non lo fa. Scrive la nuova versione in un punto libero e annota in una tabella di traduzione interna dove si trova la versione attuale.
Questa tabella è il vero cuore di ogni SSD. Traduce gli indirizzi usati dal sistema operativo nelle posizioni fisiche in memoria. Senza di essa il contenuto dei chip è solo un insieme disordinato di frammenti.
TRIM: segnalato come vuoto non vuol dire vuoto
Poiché l’SSD non sa da sé quali dei suoi dati servano ancora al sistema operativo, esiste un comando apposta. Alla cancellazione il sistema comunica all’unità: questi intervalli di indirizzi non servono più. È esattamente questo il TRIM, ed è attivo per impostazione predefinita ovunque da anni.
L’SSD registra allora le aree interessate come non valide e verso l’esterno le segnala subito come vuote. Chi legge attraverso l’interfaccia normale — ed è proprio ciò che fa ogni software di recupero — lì non vede più alcun dato. Fisicamente, però, in quel momento non è ancora stato cancellato nulla: i contenuti restano nelle celle di memoria.
Solo la garbage collection svuota davvero i blocchi, così che possano essere riscritti. Lavora in secondo piano non appena l’unità ha corrente, e non tutto in una volta. Tra la cancellazione e lo svuotamento fisico c’è quindi una finestra di tempo — ed è proprio lì che interveniamo noi.
Che cosa ne consegue
Come recuperiamo i file cancellati da un SSD
Il software di recupero interroga l’unità attraverso l’interfaccia normale — e per le aree cancellate riceve la risposta «vuoto». Noi scendiamo di un livello: con molti controller portiamo l’SSD in una modalità tecnica in cui la memoria si può leggere direttamente, aggirando la tabella di traduzione. Lì si trovano le pagine che il controller considera non valide, ma che non ha ancora svuotato.
Da questi frammenti ricomponiamo i file cancellati e il file system. Poiché a leggere è il controller stesso, viene sciolta anche una crittografia di fabbrica — la differenza decisiva rispetto alla dissaldatura dei chip di memoria.
Quando le prospettive sono particolarmente buone
L’unità è stata spenta subito
Senza corrente la garbage collection non lavora. Chi spegne subito dopo la cancellazione ci lascia la finestra di tempo più ampia.
Il controller è guasto
Se l’SSD non viene più riconosciuto, segnala una capacità errata o un nome di modello estraneo, di solito sono interessate l’elettronica o la tabella di traduzione — mentre il contenuto della memoria è intatto. Un controller che non lavora non fa nemmeno pulizia: i dati spesso ci sono allora ancora tutti.
La perdita non è dovuta a una cancellazione
Strutture di gestione danneggiate, una copia interrotta, una tabella delle partizioni difettosa: in questi casi i dati non sono stati segnalati come liberi e sono ancora integri.
SSD esterni senza inoltro del TRIM
Alcuni box USB non inoltrano il comando all’unità. Su tali supporti i file cancellati si comportano come su un disco rigido — e le prospettive sono di conseguenza buone.
E la crittografia
Molti SSD moderni cifrano nel controller tutto ciò che memorizzano — anche quando l’utente non ha mai attivato alcuna crittografia. La chiave nasce nel controller e non lo lascia. Leggere i soli chip di memoria non serve quindi a nulla, perché il loro contenuto è testo cifrato. La via passa dal controller originale — ed è proprio con esso che lavoriamo.
Risposte in breve.
Si possono recuperare i file cancellati da un SSD?
Sì, in molti casi — anche dopo il TRIM. È vero che l’SSD segnala subito verso l’esterno le aree cancellate come vuote, ma fisicamente i dati restano in memoria finché la garbage collection non svuota i blocchi. Con molti controller leggiamo direttamente la memoria e ricomponiamo i file cancellati. Decisivo è spegnere subito l’unità.
Ho cancellato un file sul mio SSD e ho spento subito il computer. C’è una possibilità?
Sì, buona. Più breve è il tempo tra cancellazione e spegnimento, più dati restano in memoria. Non riaccenda il dispositivo, ma ce lo spedisca o lo porti nel nostro laboratorio a Francoforte.
Perché il mio software di recupero non trova nulla?
Perché legge attraverso l’interfaccia normale — e lì, dopo il TRIM, l’SSD segnala le aree cancellate come vuote. Ciò non significa che i dati siano persi. Con molti controller leggiamo la memoria direttamente, aggirando questa interfaccia. La preghiamo di non installare altri software: ogni scrittura può avviare la garbage collection.
Aiuta smontare l’SSD e collegarlo a un altro computer?
No. Non appena l’SSD riceve corrente può ripulire in secondo piano — indipendentemente dal computer a cui è collegato e dal fatto che qualcuno vi acceda.
Perché è un buon segno se l’SSD non viene più riconosciuto?
Perché un controller che non lavora più non può nemmeno più ripulire. Questi casi sono tecnicamente più onerosi, ma i dati sono spesso ancora integri.
Sullo stesso tema.
Diamo un’occhiata al suo supporto.
La diagnosi Economy è gratuita. Saprà che cosa è possibile prima che qualcosa costi — e quanto costerebbe viene fissato per iscritto in anticipo.
Wasserweg 8–10 · 60594 Frankfurt am Main