Recupero dati

Il servizio recupero dati (in inglese data recovery) consiste nel recupero delle informazioni residenti nei supporti di memoria danneggiati, corrotti o “irraggiungibili”. In alcuni casi il “guasto” è di tipo logico, cioè legato al sistema logico di memorizzazione ovvero ad errori dell'operatore o altro e non comporta un malfunzionamento fisico del supporto, che risulta correttamente funzionante, pur inibendo il raggiungimento dei dati. In tali circostanze è opportuno astenersi da tentativi azzardati (che potrebbero compromettere irrimediabilmente la perdita definitiva del dato) rivolgendosi dunque a personale esperto, addestrato, che ricorrerebbe, con alta percentuale di successo, a software e/o hardware dedicati e progettati per il recupero dati.

Quando il “danno” invece è “fisico”, è raro che un intervento software possa essere risolutivo. Il danno fisico solitamente si manifesta con blocchi della lettura, impossibilità completa di accesso al supporto, rumori anomali, guasti di componenti. Usualmente gli interventi volti al recupero non sono alla portata dell'utente comune, bensì appannaggio di ditte specializzate dotate di attrezzature specifiche e laboratori muniti di ambienti protetti (camere bianche).

In caso di errata cancellazione è altresì fondamentale agire correttamente e rapidamente, poiché i sistemi operativi potrebbero riutilizzare, anche celermente, gli spazi divenuti “disponibili”, sovrascrivendo definitivamente l’informazione e rendendo vano ogni successivo tentativo di recupero. Modificare il supporto o installare all’interno software di recupero è un'operazione sconsigliata, per l'alto rischio di sovrascrittura delle locazioni di memoria contenenti i dati smarriti.

I dispositivi mobili (telefoni, smartphone, tablet, sim card, ecc.) possono essere anch’essi sottoposti a recupero dati, sia tramite sistemi di mobile forensics (Ufed, Xry, Mobiledit, Paraben, ecc.) che, in casi particolari ed estremi, per mezzo di tecniche più o meno invasive:

• • Jtag: Joint Test Action Group è uno standard industriale concepito per testare circuiti stampati (PCB) utilizzando il “boundary scan” ed è stato progettato per testare rapidamente e facilmente PCB provenienti da una catena di montaggio. JTAG Forensics comporta la connessione delle Test Access Ports (TAP) ad un PCB tramite saldatura, molex o jig, utilizzando un JTAG Box supportato (Riff, Z3X, ATF, ecc.). In tal modo è possibile istruire il processore per acquisire i dati grezzi memorizzati sul chip di memoria collegato e dunque ottenere un'immagine fisica completa dal dispositivo. Questo processo non è distruttivo per il telefono.
• • Isp: In-System Programming (ISP) è la pratica di connettersi ad un chip di memoria flash eMMC o eMCP allo scopo di scaricarne il contenuto completo. La memoria eMMC e eMCP sono lo standard negli smartphone odierni e la pratica dell'ISP consente agli esaminatori di recuperare direttamente un dump di dati completo senza rimuovere il chip o distruggere il dispositivo. L'identificazione dei taps che si collegano al chip di memoria (utilizzando un multimetro) è richiesta nella tecnica ISP. Pertanto per ogni telefono in esame sarà necessario un secondo telefono identico che possa essere distrutto.
• • Chip-off: Chip-off Forensics è il processo in cui un chip di memoria BGA viene rimosso da un dispositivo e preparato in modo che un lettore di chip possa acquisire i dati grezzi per ottenere un dump dei dati fisici. Per eseguire la lettura è necessario un lettore di chip, come il programmatore UP 828P. A differenza del JTAG, il chip-off è un processo distruttivo e il dispositivo non sarà più utilizzabile.

• I sistemi di mobile forensics e le tecniche riferite possono consentire il recupero di molte informazioni dai dispositivi mobili, sia attive (visibili in chiaro) che cancellate:

• • Rubrica, registri chiamate, messaggi SMS, comunicazioni di posta elettronica, eventi calendario, file multimediali (foto/video/audio), posizioni GPS, celle telefoniche agganciate ed altro;

• • Messaggi chat Whatsapp, Skype, Facebook Messenger, Imessage, Kik, ecc.;
• • Chiavi di ricerca adottate in internet;
• • Cronologia della navigazione web;
• • Password utilizzate (wi-fi, account, ecc.);
• • Timeline degli eventi.