Newsgroup: it.comp.hardware
Titolo: Ma la formattazione lascia tracce?

Ho letto un post su it.scienza in cui si parla di hex editor e di come
uno di questi programmi consenta di leggere tutte le informazioni che,
ignari, spediamo assieme ad un file di Word. Sempre nello stesso thread,
se ben ricordo, devo aver letto che la formattazione del disco rigido
non cancella tutto, ma lascia tracce che si possono recuperare.
E' vero?
Grazie,
 All

 wrote in message 3A665024...@tin.it...

si, è vero, ci sono alcune aziende specializzate che offrono questo servizio
a chi abbia "incautamente" formattato il proprio HD;
il costo dell'operazione non è proprio economica, diciamo che può trattarsi
anche di qualche milione;
comunque se esegui una formattazione di basso livello fai tabula rasa
completa :-))
ciao
Wally


 
E come si fa una formattazione di basso livello?
GRAZIE,
  All


Ho letto adesso gli ultimi mex del thread, ce n'è uno che parla di un
programma chiamato bulkerase. Ne sai qualcosa?
GRAZIE,
  All

 All
mmm la formattazione di solito lascia tutto o quasi recuperabile con
un software qualsiasi :)
comunque in genere sui supporti magnetici c'e' la possibilita' di
recuperare dati anche se questi sono stati sovrascritti fino ad una
trentina di volte.. in questo caso l'operazione e' meno banale e il
costo e' elevato.
ciao!

 ha scritto nel messaggio
news:wVZnOrvQY+Uy5e...@4ax.com...

Formattare a basso livello con gli hd attuali vuol dire buttarli, e poi per
cancellare tutto basta cancellare la partizione e ricrearla.
Ciao :-)

 
Non credo che la questione sia cosě semplice, ti invito a seguire il
thread su it.scienza, dall'intestazione _Ecco il grande fratello č
nascosto nel computer_ di mercoledě ore 10.58, e a riferire le tue
opinioni quě.
Grazie,
  All

 wrote in message 3A6727E9...@tin.it...

esistono software appositi, ma ora non mi ricordo i nomi, anche perchč non
ho mai avuto l'esigenza di formattare a basso livello;
in ogni caso di solito ce ne sono allegati al cd che contiene i driver della
MoBo (nel mio caso Abit kt7raid ad esempio)
e mi pare di ricordare che trovi qualcosa anche sul sito
www.hwupgrade.it
ciao
Wally


Concludendo: la low level format non serve a niente anzi peggiora la
situazione, e chi non ci crede lo invito a seguire alcuni corsi sulle
tecnologie di fabbricazione dei dischi fissi o a leggersi seriamente i data
sheet dei dischi stessi nei siti dei produttori.
La formattazione ( format /q ) lascia tutto così com'è perchè cancella solo
la FAT. Format /u cancella tutto perché riscrive i settori. Se poi prima
cancelliamo con Fdisk la vecchia partizione e ne creiamo una uguale, allora
abbiamola certezza che non si recupera niente!
Scusa ma la storia del Grande Fratello (ovviamente non quello della tv ...)
non c'entra nulla. Bisogna conoscere come funzionano DENTRO le cose..
Spero di non avervi annoiato  :-)

Ciao :-)
si sono intrecciati i discorsi... perfettamente d'accordo che fare un
low level format su u nhd da piu' di 2 giga vuol dire correre un
grosso rischio di buttarlo.
E' invece vero che un dato sull'hd lo puoi cancellare, riscrivere piu'
volte ma fino ad un certo livello e' sempre recuperabile.
ciao!

 ha scritto nel messaggio
news:OVppOj3uHA30T3...@4ax.com...


Scusa ma continuo a non essere d'accordo, Se cancelli la partizione, la
ricrei e formatti con /U non recuperi nulla. Hai proprio spianato tutto sul
disco. Prima di credere ciecamente a quello che mi racconta un giornalista
(con tutto il rispetto per il loro lavoro) ci ragiono un attimo sopra.
Soprattutto se si parla di argomenti che hanno a che fare con il mio lavoro,
e guarda caso lavoro in una multinazionale che produce hardware e faccio il
tecnico. Forse sono anche l'ultimo tecnico di questa azienda ma è anche vero
che spesso i giornalisti, anche tecnici, non sono tutti ingegneri. C'è un
limite a quello che si può fare o non fare, e quello che dici te "forse" è
possibile solo in camera bianca leggendo direttamente dalle testine dei
dischi e poi sperando di tirare fuori qualcosa di recuperabile. Per la gente
normale, è impossibile. Questa sindrome da Grande Fratello secondo me è
esagerata, trovo più giusto incavolarmi per i 10 tentativi di violazione in
5 minuti di collegamento, segnalati dal mio firewall che della possibilità
che qualcuno possa andare a leggere il mio hd dopo una cancellazione. Se non
c'è un rompicoglioni che va in giro per la rete a cercare di entrare dentro
i computer altrui non ha senzo preoccuparsi del proprio hd. Comunque , se
vuoi, vatti a rivedere come funzionava WipeFile e WipeDisk delle vecchie
Norton Utilities sotto Dos e poi ne riparliamo.
Ciao :-)

ricrei e formatti con /U non recuperi nulla.
Dunque, vediamo se mi tornano in mente i parametri di format (non sono
sicuro al 100%, cerco conferme o smentite):
1)Senza parametri, salva da qualche parte una copia della FAT. E' un
po' che non formatto, ma mi pare di ricordare una fase di "Salvataggio
delle informazioni di unformat". Poi controlla lo stato di "salute"
dei settori (sicuramente, altrimenti non ci metterebbe tutto quel
tempo). I settori non vengono sovrascritto
2)Con /q salva le informazioni di unformat, poi crea una nuova FAT,
lasciando stare le condizioni di "salute" dei settori.
3)Con /u non salva le informazioni di unformat, crea una nuova FAT, e
va avanti con il controllo dei settori.
Pensiamo un attimo al caso 3: lui non salva questa copia di riserva, e
già il comando unformat è, per così dire "fregato", ma non so cosa
succeda durante il controllo dei settori: li sovrascrive o no?
Se li sovrascrive, come fa ad esempio Zerofill, si fa' duro il
recupero, e bisogna ricorrere a quei metodi da agenzie di sicurezza
nazionale.
Se non li sovrascrive, un editor esadecimale che possa accedere a
basso livello al disco può recuperare qualcosa.

succeda durante il controllo dei settori: li sovrascrive o no?
Ho trovato la guida di format:
------------------------------------------------------
/Q
Specifica una formattazione veloce di un disco. Tramite questa
opzione,  FORMAT elimina la tabella di assegnazione dei file (FAT) e
la directory principale di un disco formattato in precedenza, ma non
esamina il disco per verificare la presenza di aree danneggiate. Si
dovrebbe utilizzare l'opzione /Q per formattare solo dischi già
formattati in precedenza che non sono sicuramente danneggiati.
/U
Specifica un'operazione di formattazione incondizionata per un disco
 floppy o un disco rigido. La formattazione incondizionata distrugge
tutti i dati esistenti sul disco ed impedisce di annullare la
formattazione in un secondo tempo. E' consigliabile utilizzare /U se
sono stati visualizzati messaggi di errori di lettura e di scrittura
durante l'utilizzo del disco. Per informazioni relative alla non
 formattazione dei dischi, vedere il comando UNFORMAT.
------------------------------------------------------
Quindi pare che sia come dici tu, /U sovrascrive tutta la partizione.
Chissà a che serve utlizzarlo, come consigliato, quando ci sono stati
messaggi di errori lettura e scrittura?

disco. Prima di credere ciecamente a quello che mi racconta un giornalista
non credo mai ai giornalisti ;)
pero' a tecnici che lavorano saltuariamente anche per la polizia si...
la magnetizzazione lascia sempre una memoria, e con un grosso lavoro
e' possibile ripescare dati piu' volte sovrascritti. Il lavoro non e'
certo banale e richiede apparecchiature fuori dal comune, ma e'
fattibile.

 convinzioni) scrisse il lontano 6/12/2000:
Non riporto tutto perchè già così il post viene lunghetto.
Aderisco all'invito molto gentile e provo a rispondere:
Mi pare che ci siano alcuni livelli hardware e software che si sono
mescolati e sovrapposti (nel thread di it.scienza) e che quindi portano ad
un certo caos.
Quello che dice Sofri è corretto, nel senso che se il mio disco usa cluster
da 32K, quando leggo un file di 60K, per esempio, ne leggo 64K, perché
questa è la minima quantità che posso leggere (due unità da 32K). Quello che
si trova nei 4K in più dipende essenzialmente da quanto sono ordinato e
accurato nell'uso del PC. Se abilito la visualizzazione dei file nascosti e
di sistema in modo da poter vedere tutto quello che c'è veramente sul mio
disco, cancello gli "zombie" che si creano quando il sistema va in crash con
un applicativo aperto, se chiudo sempre correttamente gli applicativi, se
lancio scandisk regolarmente in modo da correggere gli errori in FAT e
deframmento spesso il mio disco, le probabilità che in quei 4K ci sia
qualcosa di "significativo" sono veramente scarse (ho provato sul mio disco
con l'HEX editor consigliato su una ventina di file diversi a caso e non ne
ho trovato uno che presentasse il problema in questione). In caso contrario,
cioè sono un po' "disordinato", il sistema mi va spesso i crash ma io me ne
frego, a volte tolgo l'alimentazione al PC senza aver chiuso gli applicativi
ancora aperti, etc. etc., è possibile che il mio file, a causa dei disordini
che si sono creati in FAT, abbia dei cross-link con pezzi di spazzatura
prodotti precedentemente, e che quando lo vado ad osservare in HEX mi
ritrovi pezzi di file che non c'entrano niente, tipo un pezzo di Excel in un
file Word. Altro punto, usando defrag spesso, si ricompattano i file
sovrascrivendo i buchi lasciati dai file cancellati e quindi si eliminano
potenziali pezzi obsoleti ancora presenti sul disco (sempre ammesso che vada
tutto bene con scandisk e la FAT).
Ad un livello ancora più banale, il caso di chi invece di aprire un nuovo
file Word entra in modifica in un file vecchio e ha il salvataggio veloce
abilitato: è chiaro che si tira dietro tutto il vecchio, ma anche qui mi
pare sia più una questione di ignoranza che di difetto del software.
Veniamo ora ad un altro livello: quando si fa fdisk e si distruggono le
partizioni si cancella la "mappa" del disco, ed in questo modo si impedisce
al software (sistema operativo) di capire il significato, la strutturazione
dei bit presenti sul disco. Fdisk e format (tranne nella sua variante più
dura, /u) si limitano a eliminare ogni traccia dell'organizzazione dei dati
sul disco, ma i bit dei dati sono ancora presenti perchè non viene eseguito
un wipe dell'intero disco, ma solo della parte iniziale, quindi usando
software particolari e leggendo "fisicamente" bit per bit tutto il disco è
ancora possibile rileggersi tutto.
Naturalmente quello che si può decodificare facilmente sono pezzi scritti
direttamente in ASCII perchè se il file è stato creato con un applicativo
particolare non è per niente detto che si riesca a decifrare qualcosa (ho
aperto in hex un mio file di Money e a parte identificare qualche voce tipo
Automobile, Alimentazione etc. non si capiva proprio niente). Inoltre se i
file sono spezzettati non sarà troppo facile seguirne uno in particolare,
proprio perchè manca la famosa "mappa". Conclusione: i dati si possono
recuperare , ma è un'operazione molto costosa (in termini di attrezzatura,
skill e tempo) giustificata solo a fronte di particolari indagini o di
spionaggio industriale su dati molto importanti, non certo per andare a
leggersi la lista dei siti porno visitati da qualcuno negli ultimi mesi.
Altro livello ancora: il famoso low level format (oppure, con meno rischi,
usando le utility di Wipe citate o eseguendo un format /u che mi ricopre
tutto il disco con F6h). Tralasciamo i discorsi sulla sua pericolosità (del
LLF) per il disco e concentriamoci solo sulla sua capacità di cancellare
tutto. Ammesso che l'utility funzioni come da contratto e cioè che riempia
veramente tutto il disco con un pattern fisso che sovrascrive tutto, andando
a rileggere il disco come spiegato sopra rileggerò solo più il pattern fisso
e nient'altro. Qualcuno dirà: mi sono molto probabilmente rovinato il disco
con il low level format, ma almeno ho sconfitto il Grande Fratello!! A parte
che era più semplice e sicuro ottenere lo stesso risultato con format/u
(come giustamente rilevato da Carlo Cavallucci), purtroppo non posso ancora
essere sicuro di nulla. Infatti, smontando il disco e "leggendolo" con
sofisticate apparecchiature da laboratorio, e ricavando il segnale analogico
(non digitale come fa la logica di lettura del disco che interpreta certi
livelli analogici e li identifica con dei valori discreti ben precisi)
emesso dallo strato di ossido, e tenendo conto del pattern fisso usato dalla
formattazione a basso livello o dal format /u, è possibile far trasparire i
dati sottostanti e rileggerseli come se non si fosse effettuata la
formattazione. Notizie non del tutto confermate sostengono che CIA ed FBI
sono in grado di recuperare i dati da dischi formattati a basso livello per
tre o quattro volte di seguito. E' un po' come far passare la matita su un
foglio bianco che è stato cancellato e far trasparire la traccia lasciata
dalla matita durante la scrittura precedente.
Questo si spiega con il fatto che il campo magnetico emesso dalla testina
modifica lo strato di ossido magnetico e lo porta in uno stato che poi viene
identificato dal disco come un certo carattere/valore (A ad esempio) ma a
livello analogico questa A scritta su un precedente 0 è diversa dalla stessa
A scritta su un 3 (o su una C), e quindi riconoscendo i profili dei segnali
analogici si può risalire a quanto scritto sotto (come al solito se si
potessero mostrare un paio di figure sarebbe più semplice da capire).
E' chiaro che qui i costi sono stratosferici e quindi i casi di applicazione
non dovrebbero riguardare le persone normali!!
Allora non c'è scampo? Secondo me, se uno è proprio paranoico, prima di
cedere il suo disco può cancellare tutto (con fdisk), ricrearsi una nuova
partizione, crearsi un file inutile ma grande (per esempio rippandosi un CD
(una dozzina di file per un totale di 650MB) o meglio ancora un DVD (un po'
di file da 1 GB ciascuno), e poi spalmarselo su tutto il disco. Ripetere le
stesse operazioni una o più volte (a seconda del livello di paranoia)
cambiando l'ordine dei file e delle directory e infine rimuovere le
partizioni con fdisk. A questo punto è molto improbabile che perfino la CIA
possa risalire al contenuto precedente.
La soluzione assolutamente definitiva è quella di aprire il disco, smontare
i piatti e distruggerli con un bel martello!! :-))
Scusate per la lunghezza, ma spero di essere stato abbastanza chiaro.
Massimo