Pen drive condivisa in rete lscia tracce sul server e sui client?

[nicobest]

Ciao,
volevo chiedervi una curiosità. Sappiamo ormai tutti che se formattiamo un hard disk, oppure cancelliamo un file e svuotiamo il cestino, un domani, con una serie di procedute, tecnologie e attrezzature è possibile recuperarne al 100% il contenuto. La mia domanda era invece un altra. Ho un programmino sotto dos, che apre un file .mdb che anzichè essere su c:\ è su una pen drive. Togliendo la pen drive automaticamente il file di archivio scompare dal Pc e non è più accessibile. La mia domanda era questa, se in un futuro remoto, questo Hd, ovviamente a pen drive rimossa, venga analizzato, se così possiaom dire. quel file .mdb potrebbe saltare fuori? e seconda domanda, per complicare la faccenda la penna è su un server, ed è condivisa per leggere questo file .mdb anche da altri 2 pc della rete, se viene analizzato l'hard disk di questi altri client, possono fuoriuscire tracce? Ovvio sappiamo tutti che le prime cose che possiamo trovare sono i collegamenti nei dati recenti, ma questo non mi interessa volevo capire queste cose, così da dare a chi me lo chiede risposte certe e non campate per aria. Problema numero due, su una pen drive anziche avere un archivio .mdn che viene aperto da un programma avessi dei file excel e word, inserisco la penna, li modifico, salvo e chiudo. Nel mio pc rimane traccia di questi file e del loro contenuto? Come ripeto è tutto al fine di dare risposte certe, e non cose del tipo, si, dovrebbero rimanere tracce, vorrei dare una risposta più professionale e tecnica. E l'ultima cosa, se rimangono tracce sia nel pc che condivide la penna, e nei client e in un pc che apre da pen drive file word, come posso fare per non fare tracce? fare tutto in anonimato? Grazie e ringrazio anticipatamente tutti voi per le risposte che mi darete.

[denis76]

Non è del tutto vero ciò che scrivi. Se in un pc ho un file, lo cancello e poi riempio il disco con atra roba il file non è più recuperabile.
Idem se formatto e poi riempio il disco.
So che la guardia di finanza ha dei programmini che ad esempio riescono a recuperare (non sempre) i nomi dei file cancellati ma non i file cancellati stessi come spiegato sopra.
Forse il pc tiene traccia al più del nome del file che è stato movimentato ma non ha in pancia una copia del file che era su penna usb.
Cioa ciao.

[nicobest]

Escludiamo il discorso di formattare, perchè tutti sappiamo che anche da un hard disk formattato, possiamo recuperare file e dati.Oppure se uno di questi file dalla penna viene eliminato sull'hd io posso comunque recuperarlo tra i file cestinati.
La mia domanda era quella che questi file archivio .mdb residenti sulla penna ed aperti da un programmino dos che parte da linea di comando, possono essere recuperati dall'hard disk una volta rimossa la penna? ed inoltre essendo la pen drive condivisa in rete, e questo programma eseguibile anche dai client che puntano al drive mappato sul server,è recuperabile qualcosa dai client?E' ovvio che se apro il file,nei dati recenti trovo il nome file che punta per esempio alla f:\, ma questo non è il problema.Il mio dubbio era se tolta la pen drive o hard disk esterno sul pc e sui client sono recuperabili tracce dell'intero file .mdb e del suo contenuto. Il resto vale anche per i file di word ed excel? Quando li si apre dalla pen drive vengono o rimangono memoria cache sul pc fisso?

[denis76]

Che il programma sia dos (interfaccia testuale) o Windows, che il file sia mdb o doc non cambia niente.
Il file è recuperabile dal disco solo se il programma lo copia sul disco a tua insaputa oppure se hai qualche procedura di backup o storicizzazione - archiviazione di profilo attiva.
A volte i file di quel tipo creano dei file temporanei nella cartella temp di chi li apre che potrebbero contenere tracce.
Se hai un dubbio lato server anziché usare un sistema Windows collega la penna ad un router usb oppure ad un nas con interfaccia usb. Di certo la loro gestione è molto più rudimentale di un sistema Windows.
Detto questo un disco formattato e riempito poi di dati stai certo che non permette di recuperare nulla di ciò che vi era prima.
E' chiaro che in televisione accade di tutto.

[NonCeLaFaccio+]

Per quanto risulta a me il discorso è molto semplice: ciò che viene scritto sul disco è recuperabile (almeno in parte) a meno che non si prendano contromisure molto accorte.

Per esempio il riempimento del disco proposto da denis76, a parte che è difficilmente praticabile, è efficace solo se viene effettuato su tutto il disco subito dopo la formattazione e se per effettuarlo vengono utilizzati file che abbiano una dimensione multipla della dimensione dei cluster così da non lasciare cluster ricoperti solo in parte.

Per spiegarmi meglio: se si memorizza su disco un file, ad esempio di testo, contenente un solo carattere, questo file occuperà un intero cluster (che in genere misura da 0,5K a 8K) ma avrà ricoperto solo il primo carattere del cluster, lasciando gli altri invariati.

Vuoi fare la prova? Crea un file di testo, mettici dentro un solo carattere, salvalo e chiudilo e poi vai a vedere che dimensioni ha nelle proprietà del file.

Un modo molto efficace ma lunghissimo per eliminare file o ripulire dischi sono i software appositi (tempo fa ne utilizzavo uno che si chiamava eraser ma non so neanche se esiste ancora) che vanno a ricoprire più e più volte i cluster occupati da un file o i cluster liberi di un disco riempiendoli di zeri binari ed eliminando così tutte le tracce.

Il motivo della ricopertura successiva (da tre a sette volte per essere sicuri) degli stessi dati è di eliminare del tutto le influenze magnetiche dei singoli bit sui bit circostanti del disco che potrebbero appartenere a cluster diversi e non essere quindi interessati dalla ricopertura.

Tornando al tuo problema la risposta è che se il trattamento del file comporta la scrittura dei suoi dati sul disco rigido del client e non prendi misure specifiche per eliminarli questi dati "fantasma" saranno recuperabili, almeno in parte, altrimenti no.

Ci sono quindi molte variabili da considerare come l'architettura del programma che usi per il trattamento, la quantità di memoria ram assegnata al processo nel momento del trattamento e altre cose di questo genere.
EDIT: leggo adesso il post di denis76 e aggiungo quindi alla lista i file temporanei indicati da lui

Se, per esempio, apri un'immagine di piccole dimensioni è facile che questa resti tutta in ram e non venga memorizzato nulla sull'HD ma se questa immagine cominci a modificarla con un pgm di trattamento delle immagini sarà inevitabile paginare sul file di swap e quindi lasciar tracce.

[nicobest]

Grazie per la tua esauriente e tecnica risposta.
Diciamo che il mio dubbio era partito dall'utilizzo di un software come dicevo sotto dos e non in windows. Questo programma parte da c:\ però legge un archivio access .mdb in f:\ che è una pen drive.Quindi io mi chiedevo se al momento della rimizione della pen drive,spegnimento del pc,estrazione dell'hard disk e analisi da un chi che sia xx ditta specializzata come tutte quelle che si occupano di recupero dati se si poteva recuparare qualcosa.La risposta che chiunque darebbe è quella di dire,No!!! non si può recuperare nulla,i miei dati sono in F:\,che io stacco e getto via e nessuno ne viene a capo.E quindi io da tecnico volevo dare una risposta tecnica,dicendo che comunque i file passanti per il pc,anche se sono su una memoria esterna usb,possono essere recuperati.Il problema si aggravava con il fatto che la penna,in condivisione ai client,da questi ultimi si poteva risalire a questo file archivio access .mdb. Invece excel e word, memorizzati su pen drive,io la collego,ci lavoro,salvo e chiudo,posso risalire ai file che erano sulla pen drive rimuovendo ed analizzando l'hard disk???

[NonCeLaFaccio+]

Come ti dicevo il problema non sono i dati in sè ma le copie di lavoro che ne vengono fatte dai programmi.

Non conta tanto che sia un programma dos o windows quanto piuttosto la dimensione dell'archivio trattato paragonata alla memoria a disposizione e le operazioni che ci si compiono ecc.

Per esempio se si tratta dui un piccolo archivio mdb che viene solo letto può darsi che resti tutto in memoria ma se ci fai delle update o delle delete (parlo proprio delle istruzioni sql) stai pur sicuro che qualsiaisi programma di trattamento fa una copia del dato che sta modificando per poter fare, all'occorrenza, una rollback.

E dove la mette la copia di sicurezza? Chi lo sa! Può metterla in memoria, su file di swap, su file temporaneo ... dipende da cosa ha deciso chi lo ha scritto o da come si comporta il dbrm a cui si appoggia e da tante altre cose.

E lo stesso vale per excel.

Quindi, se si tratta di file di testo di dimensioni modeste che ti limiti a leggere hai buone probabilità che una volta tolta la chiavetta e spento il server scompaia tutto ma in tutti gli altri casi mi sentirei di dire che qualcosa sul disco rigido resta ma mi sentirei anche di dire che ciò che resta sono frammenti sparsi e indecifrabili.

[nicobest]

Quindi diciamo che una risposta d apoter dare è quella che essendo file archivio da 15mb soli,il programmino dos li apri,legge e scrive nelle righe del database mdb e poi una volta spendo il pc,dalla ram vengono cancellati. in caso di programmi più complessi,o di file excel e word,aperti da pen drive,lavorati e salvati, anche se si trova un qualcosa non si può capire cosa c'era scritto in quel file? e se lo si trova anche sono solo un insieme di cose indecifrabili.

[NonCeLaFaccio+]

Mi sembra che tu voglia assolutamente sentirti dire che non vengono lasciate tracce ma io non sto dicendo questo, tutt'altro

Sto dicendo che, a mio avviso, le tracce verranno sicuramente lasciate e che saranno facilmente recuperabili ma difficilmente interpretabili.

E questo sia per quanto riguarda il programmino dos che excel o word.

Queste tracce comunque non saranno presenti in ram, lì sarebbe veramente impossibile per chiunque fare delle indagini o delle analisi ma sul disco rigido e precisamente nel file di paging e nei file temporanei (anche se cancellati).

Le tracce vengono lasciate perché qualsiasi programma che esegua qualcosa di più complesso della semplice visualizzazione di un file, ha bisogno di aree di memoria in cui appoggiare i dati e queste aree vengono allocate sulla ram che viene poi paginata sul file di swap cioè sul disco rigido.

Questi dati però non sono "in chiaro" ma sono codificati secondo i protocolli interni del programma che li ha generati, sono inoltre parzialmente perduti perché ricoperti da successive elaborazioni e, infine, sono anche frammentati perché la paginazione su file viene fatta dove c'è spazio, non necessariamente in aree contigue. Tutto questo li rende facilmente recuperabili ma difficilmente interpretabili. Sarebbe un po' come tentare di ricostruire un foglio di carta passato nel tritacarte, ci vorrebbe tanto tempo e resterebbe qualche buco ma il senso complessivo si riuscirebbe ad averlo.

Vuoi sapere come fare a cancellare buona parte delle tracce in modo abbastanza efficace? Con un bel gioco di quelli che impegnano enormemente la cpu (non li uso e quindi non li conosco ma certamente cercando un po' sul forum troverai qualcosa) perché se la cpu lavora molto vuol dire che sta elaborando tanti dati che dovrà paginare ... indovina un po' ... sul solito file swp che così verrà ricoperto da tutto ciò che c'era prima.

Non è un metodo scientifico però una bella pulizia la fa.

E poi ricordati di individuare la cartella dei temporanei e passarci un bell'eraser da 7 passaggi.

Comunque se non si era capito dai vari "credo", "a mio avviso" e simili che ho inserito ogni tanto, le mie sono convinzioni dettate dalla pratica, non da una conoscenza teorica approfondita della materia quindi potrei pure sbagliarmi.

[nicobest]

perfetto, le tracce qundi, ci sono sempre e qualsiasi sia l'appricazione e de venga eseguita da c:\ oppure da una pen drive.La cosa più stupida è quella che già il sempice word od excel nella sua cartella temporanea memorizza il file per eseguirlo durante l'elaorazione,e poi nel suo menù dei recenti portera il percorso del file,e fin qui tutto ok.stando su pen drive una parte verrà caricata sul disco rigido per l'elaborazione durante le modifiche dei file,le esecuzioni,ed i salvataggi,quindi la traccia rimane sempre,è però quasi indecifrabile o ricostruibile.Grazie.