La tecnica del Data Carving

Quando si parla di data carving si fa riferimento a una tecnica di recupero dati che prevede di ricercare specifiche signature nella memoria del dispositivo su cui si sta lavorando; tali signature identificano i file a seconda della tipologia.
Un file di tipo office o doc, per esempio, può essere riconosciuto, e di conseguenza localizzato sulla superficie binaria del device, proprio perché è caratterizzato da una signature, vale a dire una firma ben definita. Grazie al data carving si ha l’opportunità di localizzare tutti gli elementi presenti in precedenza nel dispositivo e poi cancellati dalla superficie del supporto, indipendentemente dalla catalogazione di filesystem.
Il nome e tutte le altre informazioni di ogni singolo file, come per esempio la dimensione originale o la data di creazione, nel corso della localizzazione dei file si perdono in modo irrimediabile. Insomma, lo scopo è quello di localizzare, anche se alcune informazioni non sono più disponibili: ma a fronte del vantaggio di poter localizzare qualunque tipo di elemento transitato sul dispositivo, anche se in seguito è stato cancellato, si tratta di una pecca di cui non ci si può lamentare.
Per quel che riguarda le estensioni di file che possono essere recuperate adottando questa tecnica, non ci sono limitazioni né barriere: tutti i file possono essere recuperati, che si tratti di un database, di un documento in Word, di un video o di una fotografia, giusto per ipotizzare alcuni esempi.
La tecnica del data carving non è altro che un algoritmo tramite il quale la dimensione del file localizzato viene definita in funzione della signature di partenza. Vale la pena di mettere in risalto il fatto che gli archivi di posta elettronica e tutti gli altri file che sono soggetti a una frammentazione sistematica, come per esempio i database di sistema, non possono essere recuperati in maniera integrale, in quanto viene perduta l’informazione del file originale con la quale la loro allocazione viene definita. Diverso è, invece, il discorso che concerne tutti i file singoli, i quali non sono sottoposti a frammentazione e di conseguenza possono essere recuperati senza alcun problema e con la massima precisione.
Grazie alla tecnica del data carving, in sintesi, per qualsiasi elemento in linea con le condizioni di ricerca viene garantita la localizzazione matematica: nel corso della localizzazione, può succedere che siano identificati dall’algoritmo come validi degli elementi che sono stati oggetto di una sovrascrittura parziale o che siano stati cancellati. Non è raro, pertanto, che possano essere presenti, in un set di dati localizzati tramite il data carving, degli elementi corrotti o comunque non funzionanti. Una piccola macchia che, ad ogni modo, non compromettere la reale efficacia e l’utilità di questo tipo di sistema.