Lezione 5: File Systems (NTFS/FAT)

Il File System è come l'indice di un libro. Dice al sistema operativo dove iniziano e finiscono i file.

Obiettivo

Capire cosa succede quando cancelli un file.

Il Mito della Cancellazione

Quando svuoti il cestino, Windows NON cancella i dati (sarebbe troppo lento riscrivere tutto a zero). Fa solo due cose:

1. Marca lo spazio occupato dal file come 'Libero' nella Master File Table (MFT).
2. Cambia un carattere nel nome del file (es. da foto.jpg a $oto.jpg).

Risultato: I dati binari della foto sono ancora lì sul disco, intatti, finché non ci scrivi sopra qualcos'altro. Ecco perché i tool forensi possono recuperarli facilmente.