[Linux-Biella] timestamp file cancellati

[Jumping Jack]

Il 27/06/2014 15:55, Leonardo Buffa ha scritto:
>
>
> On 27/06/2014 15:23, PaulTT wrote:
>
>>> che fs e'/era?
>>>
>> PS se sei riuscito, fa sape' ;)
>
> non ancora, fs vfat di una chiavetta usb
> reperto di reato, acquisita, ho bisogno di capire quando e' stato 
> cancellato un file che ho recuperato facendo carving
>
Se è vfat non c'è un timestamp della cancellazione. Ma il last access 
timestamp dovrebbe coincidere con la cancellazione, se il sistema lo 
aggiorna però (inoltre può essere falsato in ogni modo dato che dipende 
dall'ora locale).

JJ