Slack space (ou “espaço de folga”)! Saiba o que é…

No mundo da informática existem muitos conceitos que por vezes nem conhecidos são. Já ouviu falar em Slack space? Saiba o que significa no âmbito do sistema de ficheiros.

O slack space (ou "espaço de folga") é o espaço não utilizado dentro de um bloco de armazenamento (ou cluster) num disco. Na prática, este espaço surge quando o tamanho de um ficheiro não preenche totalmente o bloco que lhe foi atribuído pelo sistema de ficheiros.

Como funciona o Slack space?

• Os sistemas de ficheiros organizam os discos em clusters (por exemplo, de 4 KB cada).
• Quando guarda um ficheiro, ele ocupa um ou mais desses clusters.
• No entanto, se o ficheiro for mais pequeno do que o tamanho do cluster, o espaço que sobra fica vazio para o sistema operativo, mas pode passar a ter dados antigos — e isso é o slack space.

Exemplo prático

Considere que tem um ficheiro de 1,2 KB. O sistema usa clusters de 4 KB. Isto quer dizer que o ficheiro ocupa um cluster inteiro (de 4KB), mas vai sobre espaço (o espaço não utilizado: 4 KB - 1,2 KB = 2,8 KB é o slack space.

Esse espaço pode conter dados antigos que estavam guardados nesse cluster antes de ser reatribuído ao novo ficheiro. Na área da perícia forense digital, o slack space pode conter fragmentos de informação sensível.

Este "pedaço" dentro do cluster pode também ser usado para esconder dados de forma maliciosa. Além disso, pode revelar atividades passadas, mesmo que os ficheiros tenham sido apagados.

Slack space agrega três conceitos: file slack, RAM slack e drive slack.

File slack

• O file slack é o espaço não utilizado dentro do último cluster atribuído a um ficheiro.
• Surge quando o ficheiro não ocupa completamente o último cluster.
• Pode conter fragmentos de dados antigos (de ficheiros anteriores).

RAM Slack (Espaço de folga da RAM)

• É o espaço entre o fim real do ficheiro e o fim do sector físico onde esse ficheiro termina.
• Nos sistemas de ficheiros mais antigos (como FAT), um cluster pode conter vários sectores físicos.
• Quando um ficheiro termina a meio de um sector, o espaço restante é preenchido com dados da memória RAM (daí o nome).
• Pode conter dados sensíveis ou privados temporariamente na RAM, como passwords ou fragmentos de documentos.

Exemplo: Se um ficheiro terminar a meio de um sector de 512 bytes, o Windows pode preencher o resto com o conteúdo que estava na RAM naquele momento.

Drive Slack (Espaço de folga do disco)

• É o espaço entre o fim lógico do ficheiro (último byte de dados válidos) e o fim do último cluster físico atribuído ao ficheiro.
• Em muitos contextos, este conceito é usado de forma equivalente ao file slack, mas de forma mais ampla.
• Inclui tanto o RAM slack como o espaço não utilizado até ao fim do cluster.