Consigli rapidi
Indica prima la posizione. Dire a Recuva dove si trovavano i file accelera notevolmente la scansione.
Attiva la Scansione approfondita solo quando la scansione standard non trova nulla — è più lenta, ma più approfondita.
Recupera in modo selettivo. Controlla attentamente l'elenco codificato a colori prima di ripristinare.
Principio di funzionamento di Recuva: recupero dati a livello di file system
Cancellazione logica e metadati residui. Quando un file viene eliminato, il sistema operativo non sovrascrive fisicamente i cluster occupati — viene invece modificata la voce corrispondente nella struttura dei metadati del volume (una voce $MFT in NTFS, oppure un elemento della tabella FAT/exFAT), dove la catena di cluster viene contrassegnata come libera e il primo carattere del nome del file viene sostituito da un marcatore di servizio. Recuva esegue un'analisi di basso livello di queste strutture dati — Master File Table, Index Allocation e attributi $DATA — ricostruendo la continuità logica del file fino al momento in cui i suoi settori vengono effettivamente sovrascritti con nuovi dati.
Analisi delle signature e carving. Nei casi in cui i metadati sono andati irrimediabilmente perduti (formattazione, corruzione della tabella dei file, struttura del volume RAW), l'applicazione passa alla modalità di scansione approfondita — una lettura del supporto settore per settore che aggira il file system, identificando i dati tramite signature binarie di intestazione e coda (magic number) caratteristiche di specifici formati contenitore. Questo approccio, noto come file carving, consente di estrarre oggetti integri anche in totale assenza di un file system, senza tuttavia garantire il recupero dei nomi file corretti né della gerarchia delle directory.
Valutazione dell'integrità e della frammentazione. Prima del recupero, Recuva esegue una valutazione euristica dello stato della catena di cluster, confrontando la mappa di allocazione del volume con la dimensione attesa del file per individuare frammentazione e sovrascritture parziali. Il risultato viene classificato tramite un indicatore di conservazione (excellent/poor/unrecoverable), che tiene conto del grado di continuità dei cluster e della probabilità di collisione con dati appena scritti.
Gestione dei file system journaling. Durante l'analisi di NTFS, Recuva fa inoltre riferimento al journal delle transazioni $LogFile e al journal delle modifiche $UsnJrnl, che registrano le operazioni sulla struttura dei file in modo indipendente dalla MFT principale. Il confronto tra le voci del journal e lo stato attuale del volume consente di recuperare i metadati di file le cui voci MFT sono già state riutilizzate dal sistema per nuovi oggetti, oltre a ricostruire parzialmente la cronologia di rinomina e spostamento.
Gestione degli alternate data stream. Sui volumi NTFS, l'applicazione tiene conto degli Alternate Data Streams ($DATA:nome_stream) collegati alla voce primaria del file, un aspetto cruciale nel recupero di oggetti contrassegnati da una zona di provenienza (Zone.Identifier) o contenenti attributi aggiuntivi memorizzati al di fuori del flusso di dati principale.
Funzionamento con unità SSD e comando TRIM. Sugli SSD con supporto TRIM attivo, il controller viene immediatamente informato del rilascio degli indirizzi di blocco logico (LBA) dopo l'eliminazione di un file, il che attiva la garbage collection interna e la cancellazione fisica delle celle NAND ancor prima che un programma di recupero acceda al volume. In queste condizioni, Recuva può basarsi esclusivamente sui metadati del file system sopravvissuti, poiché il contenuto effettivo dei cluster potrebbe essere già andato irrimediabilmente perduto a livello hardware.
Estrazione sicura dei dati. Il contenuto recuperato viene copiato byte per byte in un'area di destinazione fisicamente isolata dal volume di origine, evitando così la sovrascrittura di settori non ancora elaborati ma potenzialmente recuperabili. È inoltre implementata una funzione di sovrascrittura sicura (Secure Overwrite) conforme a standard paragonabili al DoD 5220.22-M, utilizzata per garantire la distruzione dei dati residui dopo un recupero confermato.
