Visão geral dos sistemas de arquivos

Quase toda pergunta que um perito responde sobre um computador, um telefone ou um cartão de memória passa pelo sistema de arquivos. O sistema de arquivos determina onde os dados são armazenados, como são chamados, quando foram alterados e o que acontece quando são excluídos. Entender como ele faz isso explica um dos fatos mais úteis da perícia: dados excluídos muitas vezes ainda podem ser encontrados. Os registros de data e hora têm uma aula própria (Aula 6.2), e os vestígios deixados por programas e usuários são abordados na Aula 6.3.

O que um sistema de arquivos faz

Um dispositivo de armazenamento é uma longa sequência de setores numerados, geralmente com 512 ou 4.096 bytes cada. Por si só, ele não tem arquivos nem pastas. Um sistema de arquivos organiza esse espaço e mantém o controle de quatro elementos:

• Nomes e pastas: a hierarquia que o usuário vê, como Documents\Invoices\march.xlsx.
• Metadados: informações sobre cada arquivo, como tamanho, registros de data e hora, proprietário e permissões.
• Alocação: quais partes do disco armazenam o conteúdo de cada arquivo.
• Espaço livre: quais partes do disco estão disponíveis para novos dados.

O espaço é distribuído em clusters (Windows) ou blocos (Linux e macOS): grupos de setores que constituem a menor unidade que um arquivo pode ocupar, frequentemente de 4 KiB. Portanto, um arquivo de 10 KiB ocupa três clusters de 4 KiB, e a parte não utilizada do último deles se torna uma evidência importante, conforme explicado abaixo.

Partições e volumes

Antes de haver um sistema de arquivos, um disco é dividido em partições, descritas por uma tabela de partições no início do disco.

• MBR (Master Boot Record), o esquema mais antigo, permite quatro partições primárias e, com setores de 512 bytes, discos de até 2 TiB.
• GPT (GUID Partition Table), usado por computadores modernos que inicializam com UEFI, oferece suporte a discos muito maiores e a muitas partições, e mantém uma cópia de segurança da tabela no final do disco.

Um volume é uma partição, ou um conjunto delas, que contém um sistema de arquivos. Um único disco de notebook normalmente contém várias: uma pequena partição de inicialização, uma partição de recuperação e o volume principal. Uma imagem física (Módulo 4) captura todas elas, incluindo o espaço entre partições que não pertence a nenhuma delas.

Os sistemas de arquivos que você encontrará

Macs mais antigos e algumas unidades externas usam HFS+, o antecessor do APFS. Reconhecer o sistema de arquivos logo no início é importante, pois ele determina quais ferramentas podem ler o volume, como os dados excluídos se comportam e como os registros de data e hora devem ser interpretados.

Por dentro do NTFS e do FAT

NTFS: a Tabela Mestra de Arquivos

O NTFS mantém uma Tabela Mestra de Arquivos (MFT), um arquivo especial que contém um registro, geralmente de 1 KiB, para cada arquivo e pasta do volume. Cada registro contém atributos, entre eles $STANDARD_INFORMATION (registros de data e hora e sinalizadores), $FILE_NAME (o nome, a pasta pai e outro conjunto de registros de data e hora) e $DATA (o conteúdo). Arquivos muito pequenos podem ser armazenados inteiramente dentro de seu registro na MFT, o que é chamado de dados residentes; arquivos maiores têm seu conteúdo em clusters em outros locais, e o registro indica onde. O NTFS também mantém diários de alterações recentes, como $LogFile e o diário de alterações $UsnJrnl, usados em trabalhos periciais para reconstruir atividades.

FAT: entradas de diretório e a tabela de alocação

O FAT armazena o nome, o tamanho, os registros de data e hora e o cluster inicial de cada arquivo em uma entrada de diretório dentro de sua pasta pai. A Tabela de Alocação de Arquivos propriamente dita é uma lista com uma entrada por cluster, que encadeia cada cluster de um arquivo ao próximo. A estrutura é simples, o que torna o FAT fácil de ler em praticamente qualquer dispositivo e fácil de examinar manualmente.

Espaço alocado, espaço não alocado e espaço residual de arquivo

• Espaço alocado pertence a arquivos existentes e é o que um usuário, ou uma cópia lógica, vê.
• Espaço não alocado está marcado como livre. Ele não está necessariamente vazio: muitas vezes contém o conteúdo de arquivos excluídos e fragmentos de dados mais antigos.
• Espaço residual de arquivo é o espaço não utilizado entre o final de um arquivo e o final de seu último cluster. Ele pode conter vestígios do que ocupava aquele cluster anteriormente.

Somente uma imagem física ou de volume (Módulo 4) preserva o espaço não alocado e o espaço residual, o que é um dos motivos pelos quais os peritos preferem essas imagens quando dados excluídos podem ser relevantes.

O que a exclusão realmente faz

Excluir um arquivo no Explorador de Arquivos do Windows ou no Finder do macOS normalmente o move para a Lixeira, que é apenas outra pasta. Esvaziá-la, ou excluir diretamente, altera os registros do sistema de arquivos, e não o conteúdo:

• No NTFS, o registro na MFT é marcado como não utilizado e os clusters do arquivo são marcados como livres. O conteúdo permanece onde estava até que novos dados o sobrescrevam, e o próprio registro na MFT pode sobreviver por algum tempo.
• No FAT, o primeiro caractere do nome na entrada de diretório é substituído pelo byte E5 (hexadecimal), e a cadeia de clusters do arquivo na tabela de alocação é apagada. O conteúdo geralmente permanece, mas encontrar todas as partes de um arquivo fragmentado se torna mais difícil.

Portanto, dados excluídos muitas vezes podem ser recuperados em discos rígidos e cartões de memória. Em unidades de estado sólido, o TRIM (Módulo 1) pode fazer com que a unidade apague os blocos liberados logo após a exclusão, de modo que a ausência de dados excluídos em um SSD é esperada, e não suspeita.

Recuperação por assinatura

Quando os registros do sistema de arquivos já não existem, o conteúdo ainda pode ser encontrado por recuperação por assinatura: a varredura de dados brutos, geralmente no espaço não alocado, em busca das assinaturas conhecidas que marcam o início e o fim de tipos de arquivo. Uma imagem JPEG começa com os bytes FF D8 FF e termina com FF D9; um PDF começa com o texto %PDF; arquivos DOCX e XLSX são arquivos ZIP, que começam com as letras PK. Arquivos recuperados por assinatura não têm nome original, pasta nem registros de data e hora do sistema de arquivos, e arquivos fragmentados podem resultar incompletos ou misturados com outros dados, por isso os resultados da recuperação por assinatura devem ser verificados e relatados como tais.

Um exemplo prático

Um cartão de memória da câmera de uma fotógrafa está formatado em exFAT. A proprietária diz que excluiu um conjunto de fotos semanas atrás e tirou muitas fotos desde então. O perito cria uma imagem do cartão por meio de um bloqueador de escrita e encontra as entradas de diretório restantes de alguns arquivos excluídos, com nomes e tamanhos; a recuperação por assinatura no espaço não alocado recupera dezenas de outros JPEGs sem nomes. Algumas imagens recuperadas por assinatura estão parcialmente cinzas nos pontos em que seus clusters foram sobrescritos por fotos mais recentes. O relatório separa as fotos recuperadas com seus metadados do sistema de arquivos das fotos recuperadas por assinatura e informa que as datas das fotos recuperadas por assinatura só podem vir dos dados contidos nas próprias imagens.

Foco no exame: As questões partem do que um sistema de arquivos controla (nomes, metadados, alocação, espaço livre), o que são clusters e blocos, as diferenças entre MBR e GPT e onde NTFS, FAT32, exFAT, ext4 e APFS são usados. Conheça a Tabela Mestra de Arquivos do NTFS e os dados residentes, as entradas de diretório do FAT e a tabela de alocação, e a diferença entre espaço alocado, espaço não alocado e espaço residual de arquivo. Uma questão típica é o que a exclusão altera no NTFS e no FAT; outras tratam de por que SSDs muitas vezes não mantêm dados excluídos e do que a recuperação por assinatura pode e não pode recuperar.