Quando un disco rigido comincia a dare segni di cedimento, il riflesso è quasi sempre lo stesso: lanciare un’altra scansione, copiare in fretta i file importanti o installare un programma di recupero. Ognuna di queste azioni sollecita un supporto di cui nessuno sa quante altre letture sopporterà. I laboratori fanno l’esatto opposto: prima fissano lo stato del disco in una copia fedele, poi lavorano solo su quella copia. Ecco perché questo passaggio cambia tutto, come si realizza e dove si fermano i limiti del clonaggio via software.
Copia dei file o clone settore per settore: due operazioni diverse
Copiare i file significa chiedere al sistema operativo di elencare ciò che vede e di leggere ogni file, uno dopo l’altro. L’operazione dipende quindi interamente dal file system: se la tabella che descrive la struttura delle cartelle è danneggiata, o se un solo settore di un file non è leggibile, la copia si interrompe oppure salta il file. Non include i file eliminati ancora recuperabili, lo spazio non allocato né le strutture interne (tabelle delle partizioni, metadati) di cui gli strumenti di recupero hanno proprio bisogno.
Un clone settore per settore ignora tutto questo. Legge il supporto blocco dopo blocco, senza cercare di interpretarne il contenuto, e riproduce ogni settore in modo identico su un altro disco (clone) o in un file (immagine). Gli strumenti di recupero possono poi lavorare su questa riproduzione come farebbero sul disco originale, comprese le parti che il sistema operativo non sa più interpretare.
| Criterio | Copia dei file | Clone o immagine settore per settore |
|---|---|---|
| Cosa viene letto | I file che il file system riesce ancora a elencare | Tutti i settori leggibili, senza interpretazione |
| File eliminati e spazio non allocato | No | Sì |
| Strutture (partizioni, metadati) | No | Sì |
| Reazione a un settore illeggibile | File in errore o copia interrotta | Il settore viene segnalato e la copia prosegue (secondo lo strumento) |
| Uso successivo | Consultazione diretta dei file copiati | Analisi e recupero sulla copia |
Una precisazione sui termini: il clone viene scritto su un disco di destinazione, l’immagine in un file. Un’immagine grezza occupa l’intera dimensione del disco copiato, mentre alcuni formati forensi, come E01, possono comprimerla. In entrambi i casi il principio non cambia: una lettura completa, senza filtri.
Perché non lavorare mai sull’originale di un disco difettoso
Su un disco sano, rileggere un file cento volte non cambia nulla. Su un disco con un difetto, ogni lettura è un rischio. Un normale programma di recupero percorre tutta la superficie, spesso in più passaggi, e torna continuamente sulle stesse zone fragili. Un disco con una testina in difficoltà o una superficie che si degrada può passare da “lento ma leggibile” a “non risponde” nel mezzo di una scansione, senza alcun preavviso.
Il ragionamento è semplice. Una scansione diretta che fallisce a metà lascia un disco ancora più danneggiato e un unico tentativo consumato. Un clone, anche se interrotto, lascia una copia parziale di quanto è stato letto, e il lavoro può proseguire da lì.
C’è poi un secondo pericolo, spesso sottovalutato: le scritture involontarie. Collegare un disco a un computer può innescare operazioni di scrittura (registro del file system, indicizzazione, proposte di riparazione automatica). Lanciare uno strumento di riparazione come chkdsk o fsck su un disco che restituisce errori di I/O modifica proprio le strutture da cui dipende il recupero. La documentazione di GNU ddrescue lo dice senza giri di parole: non tentare mai di riparare un file system su un disco con errori di I/O, perché probabilmente si perderanno ancora più dati.
Infine, il clone concede il diritto all’errore. Se un primo tentativo di ricostruzione di una partizione fallisce o dà un risultato incoerente, si riparte dalla copia senza aver danneggiato nulla. Alcuni segnali devono far scattare questo riflesso: ticchettii o rumori di sfregamento (si veda il nostro articolo su come capire se il disco rigido è morto), un disco che scompare a intermittenza, lentezza estrema o contatori SMART in peggioramento. Tra gli attributi SMART che Backblaze, grande operatore di storage, monitora per anticipare i guasti ci sono i settori riallocati (attributo 5), i settori in attesa (197) e i settori non correggibili (198): quando uno di questi supera lo zero, c’è motivo di approfondire.
Cosa sanno fare gli strumenti software
Tre strumenti ricorrono più spesso, ciascuno con il proprio ambito.
- dd: lo storico strumento Unix di copia a blocchi. Con l’opzione
conv=noerrorprosegue dopo un errore di lettura, ma legge in modo lineare, senza alcuna strategia per le zone difettose, e non conserva traccia di ciò che è stato letto o no. Con blocchi grandi, un solo errore può far perdere l’intero blocco. - Clonezilla: una suite di clonazione e backup che si avvia da una chiavetta USB. È pensata soprattutto per duplicare e migrare dischi. La modalità tollerante agli errori (opzione “rescue”) non è attiva per impostazione predefinita.
- GNU ddrescue: il riferimento open source per i supporti danneggiati. Nonostante il nome, non ha alcuna parentela progettuale con dd.
Alcuni principi distinguono ddrescue, e sono descritti nel suo manuale ufficiale. Mantiene un file di registro (il “mapfile”) che annota lo stato di ogni zona: il lavoro può essere interrotto e ripreso esattamente dove si era fermato, e vengono riletti solo i blocchi ancora necessari. Copia prima le zone sane e rimanda quelle difficili, seguendo cinque fasi (copia, rifilatura, scansione, raschiatura, nuovi tentativi). Le versioni recenti riducono anche i movimenti delle testine, un’ulteriore fonte di usura su un disco fragile. Non scrive zeri al posto dei settori illeggibili, e una nuova esecuzione sulla stessa destinazione colma i vuoti senza cancellare quanto già recuperato.
Alcune regole di prudenza valgono per qualsiasi clonazione via software. Il disco di destinazione deve essere diverso dalla sorgente e almeno altrettanto capiente, perché il suo contenuto verrà sovrascritto. I nomi dei dispositivi (per esempio /dev/sdb) possono cambiare da un riavvio all’altro: occorre verificare modello e numero di serie prima di avviare l’operazione. La sorgente non deve essere montata in lettura e scrittura durante la copia. E una destinazione che contiene partizioni non deve essere aperta da un sistema operativo che proponga di “ripararle”.
I limiti del clonaggio software su un disco con guasto fisico
- Il kernel conserva il controllo degli errori. Quando un disco non risponde più, è il sistema a decidere per quanto tempo attendere. Lo stesso manuale di ddrescue ammette che un disco in cattivo stato può bloccare lo strumento a lungo, finché il kernel non si arrende.
- Nessun controllo sull’hardware. Un software non sceglie quale testina usare, non toglie l’alimentazione per riavviare un disco che si è bloccato e non limita con precisione corrente e tempi di attesa.
- Niente da clonare se nulla è leggibile. Un disco non rilevato, con il motore che non parte o con le testine danneggiate non restituisce alcun dato al software. Il guasto va risolto prima sul piano hardware, in laboratorio, prima ancora di parlare di clonazione.
- I nuovi tentativi hanno un costo. Insistere su una zona illeggibile con un disco danneggiato meccanicamente accelera il degrado. Più il guasto è fisico, meno la lettura ripetuta è una buona idea.
In sintesi, il clonaggio software è adatto ai guasti lievi, come settori difettosi isolati su un disco con la meccanica ancora funzionante. Appena compaiono rumori anomali, un rilevamento instabile o un disco che si blocca, bisogna fermarsi e cambiare approccio. Su un disco rigido con danni interni, la decisione giusta è non insistere.
Gli imager hardware: leggere in modo diverso un disco instabile
I laboratori usano attrezzature dedicate, come DeepSpar Disk Imager, Atola Insight o i sistemi PC-3000. Un imager hardware dialoga direttamente con il disco e gestisce da sé gli errori, invece di lasciarli al sistema operativo. Secondo la documentazione di Atola, il suo imager offre l’acquisizione multipasso dei dischi danneggiati, la gestione automatizzata dei dischi che si bloccano e l’acquisizione selettiva per testina, in cui ogni testina viene trattata in base al proprio stato accertato in fase di diagnosi. Una regolazione di questo tipo non esiste in un software che passa dal driver standard del sistema operativo.
Per proteggere la sorgente, la pratica forense utilizza un write blocker hardware, che impedisce fisicamente ogni scrittura sulla sorgente, e calcola un hash (per esempio SHA-256) di sorgente e copia per attestare che siano identiche.
Caso particolare: array RAID e NAS
Per un server RAID la regola è la stessa, ma cambia la scala: ogni disco membro va clonato singolarmente, annotando la posizione originale, prima di qualsiasi ricostruzione o tentativo di assemblaggio. Una ricostruzione su dischi già fragili sollecita fortemente ciascuno di essi.
Le buone abitudini prima di qualsiasi clonazione
- Smettere di usare il disco ai primi segni di guasto e spegnerlo se compaiono rumori anomali.
- Non formattare, non reinstallare e non lanciare strumenti di riparazione del file system sul disco interessato.
- Evitare i rimedi di fortuna. Mettere il disco nel congelatore, ad esempio, non serve, come spiega il nostro articolo su il trucco del congelatore.
- Non aprire il disco fuori da una camera bianca: il minimo granello di polvere sui piatti peggiora la situazione.
- Predisporre una destinazione separata e di capacità sufficiente, e non installare mai uno strumento di recupero sul disco difettoso stesso.
- In presenza di segni meccanici, affidare il disco a un laboratorio invece di moltiplicare i tentativi software.
Clonare prima di recuperare significa trasformare una situazione in cui ogni errore è definitivo in una in cui si può provare, correggere e ricominciare. Il software è adatto ai guasti lievi; quando entra in gioco la meccanica, subentrano l’attrezzatura specializzata e l’intervento in laboratorio. Se il disco mostra segni di cedimento, la scelta più sicura è smettere di sollecitarlo e chiedere un parere prima di agire.