Recupera ou não recupera ?

Um assunto balançou recentemente as estruturas de uma lista de discussões sobre Forense Computacional. Foi sobre um artigo e uma entrevista do CEO da Techfusion, uma empresa especializada em recuperação de dados. Nessa entrevista, o CEO alega terem conseguido recuperar dados apagados e sobre-escritos de um disco. Obviamente, isso causou um grande burburinho, primeiro porque foi em um caso famoso, onde os dados foram apagados enquanto estavam sob custódia da Polícia. Além disso, já há bastante "snake-oil" sobre esse assunto, muita gente diz que dá para recuperar e quem é especialista no assunto dizendo que não dá.

Esse assunto foi trazido na lista de discussões, e os especialistas lá conversaram sobre a entrevista. Dentre os comentários mais interessantes, cabe destacar:

- A opinião de todos é unânime em afirmar que não se consegue recuperar conteúdo sobre-escrito;
- O entrevistado, por ser um CEO, não tinha muito domínio técnico, e por vezes cometeu pequenas gafes técnicas;
- Alguns falaram sobre usar aquecimento/resfriamento como parte das técnicas, mas o Dr Craig Wright, experiente no assunto, negou que isso realmente ajude em recuperar arquivos sobre-escritos. Pode ser que ajude na recuperação de HDs que não leem por algum motivo, mas não recupera dados sobre-escritos.
- Além da re-afirmação de que não dá para recuperar dados sobre-escritos, um dos comentários mais interessantes foi o de que recuperar arquivos sobre-escritos pode ser possível. Apesar de tal recuperação não ser possível a partir de dados sobre-escritos, pode ser possível localizar fragmentos de um arquivo temporário que passara por um wipe. Por exemplo, um arquivo Word pode ser recuperado, mesmo depois de um Wipe, através do temporário que é aberto e depois apagado (aqueles arquivos que começam com um ~). Ou seja, não se recupera o dado sobre-escrito, mas é possível achar conteúdo que pertenceu ao temporário do arquivo, solto pelo disco.
- Ainda assim, o Dr Craig afirma que não seria o caso se um disco fosse passado por um processo completo de Wipe, já que dessa forma mesmo os fragmentos seriam também sobre-escritos.

Comentários ?


Até o próximo post !

De uma vez por todas

O Dr Craig Wright colocou um ponto final sobre um assunto que já se tornou bastante polêmico: Afinal, é possível ou não sobrescrever um dado e depois recuperá-lo ??? A resposta é um sonoro NÃO !

A controvérsia iniciou com um fundamento em parte correto (que eu já escutei e passei adiante, admito): Um bit 1 sobrescrito sobre um bit zero não seria realmente 1, mas algo em torno de "0.95", ao passo que sobrescrito sobre um bit 1 seria "1.05". Dessa forma, seria possível recuperar o conteúdo anterior buscando essas "variações com padrão" do 1. O problema é que isso não é mais verdade. Já foi, um dia, lá atrás, quando falávamos de drives de disquete. Os HDs atuais não teriam esse tipo de característica, nem de longe.

O artigo dele é muito interessante, e coloca outros fatores e técnicas. Uma delas até faz com que a recuperação seja possível, porém demoraria tanto tempo que não seria viável economicamente (na faixa de dezenas de anos). No final do artigo, ele mostra o resultado de uma pesquisa onde vários padrões de sobrescrita foram usados, a partir de drives muito utilizados ou mesmo em drives zerados de fábrica, novinhos. O resultado é que há cerca de 0.9% de chance de se recuperar UM bit. Dois bits já faz a probabilidade cair, um byte então, nem pensar ...

Isso põe em discussão outro ponto que é dado como certo. Vale a pena mesmo perder horas fazendo um wipe com zilhões de passadas, quando apenas uma daria certo e impediria a recuperação ?

Comente !!!

Até o próximo post !