Manutenzione e recupero dati con Knoppix Live CD

Introduzione
Come ottenere Knoppix
Informazioni sul sistema
Salvataggio dei dati da un sistema compromesso
Salvare intere partizioni
Editazione di file sull'hard disk
Recupero di file cancellati
Montare le partizioni NTFS anche in scrittura
Manutenzione delle unità disco
Creare, ridimensionare e spostare partizioni
Recuperare partizioni perdute
Distruggere con sicurezza dati riservati
Testare la memoria RAM
Approfondimenti sul web

Introduzione

Knoppix Live CD è una distribuzione GNU/Linux in grado di avviarsi da CD-Rom, senza alterare in alcun modo il contenuto dell'hard disk del computer. Essa è stata concepita dall'autore, l'ingegnere tedesco Klaus Knopper, come strumento per la manutenzione ed il ripristino di computer con sistema operativo compromesso, poi il suo utilizzo si è esteso a distribuzione utile per sperimentare Linux senza doverlo installare. È anche utilizzato per svolgere indagini di computer forensic.
Rispetto ad altre distribuzioni live, Knoppix è caratterizzato da una procedura di avvio molto semplice, è in grado di riconoscere automaticamente una vasta gamma di hardware, e include diversi tool utili per la manutenzione del computer. Naturalmente è costituito interamente da software libero

DISCLAIMER DOVEROSO: le operazioni descritte possono causare la perdita dei dati e/o del sistema operativo, l'utente le utilizza a proprio rischio e pericolo. L'autore non può in alcun modo essere considerato responsabile per danni, malfunzionamenti o perdite di dati.

Nota: dove si invita a guardare il manuale con la forma: comando(1) si deve digitare in consòle il comando:

man 1 comando

per visualizzare la guida al comando, che può essere scorsa con i tasti freccia su e giu. Per uscire premere 'q'.

Come ottenere Knoppix

Il sito ufficiale di Knoppix è www.knoppix.org.

Nella sezione 'download' sono elencati i mirror da cui scaricare la ISO per masterizzare il CD-Rom autoavviante. Esiste in due localizzazioni predefinite: tedesco (-DE) e inglese (-EN).

Le operazioni descritte devono in larga parte essere effettuate come utente 'root', ovvero l'utente con il controllo totale sul sistema. Per aprire una consòle di root in KDE cliccare:
KMenù -> KNOPPIX -> Root Shell

Per avviare Knoppix in modalità esclusivamente testuale digitare nella shell di boot la stringa:

knoppix 2

Si noti che la tastiera predefinita è quella inglese, pertanto i segni di punteggiatura ed altri caratteri speciali non corrispondono alla tastiera italiana. È possibile fare avviare Knoppix con layout italiano aggiungendo al boot il parametro 'lang=it' (l'uguale si ottiene premendo 'ì').

Il file KNOPPIX/knoppix-cheatcodes.txt presente nel CD-ROM include un elenco dei parametri di avvio di Knoppix.

Informazioni sul sistema

Con qualunque distribuzione Linux, Knoppix incluso, è possibile ottenere informazioni dettagliate sull'hardware del sistema accedendo da consòle alla directory /proc. Vi sono contenuti molti file di testo generati estemporaneamente dal Kernel, che mostrano informazioni estremamente dettagliate sul microprocessore, la memoria, le unità disco, le porte, le periferiche collegate e i parametri di ogni processo in esecuzione nel sistema.

La consultazione di questi ed altri dati può essere effettuata più comodamente tramite un apposita interfaccia inclusa in KDE:
Kmenù -> System -> KinfoCenter

Salvataggio dei dati da un sistema compromesso

Un primo impiego di Knoppix riguarda il recupero di file, documenti di lavoro ecc, da un computer non più in grado di avviarsi. All'avvio di KDE si trovano sul desktop una o più icone corrispondenti alle partizioni rilevate negli hard disk installati o nelle memorie USB collegate. Con un click del mouse si può aprire la partizione contenente i dati da recuperare e copiarli direttamente su floppy disk, su memoria USB oppure su un altro hard disk, dopo avere abilitato la scrittura con Cambia il modo lettura/scrittura.

Avendo a disposizione un masterizzatore non occupato dal CD Live di Knoppix, i dati possono essere copiati su CD-Rom, utilizzando il programma K3B. In tal caso effettuare la scrittura 'al volo', poiché non si ha abbastanza memoria a disposizione per contenere un file immagine temporaneo.

Una ulteriore possibilità per trasferire i dati su un altro computer è di inviarli attraverso la rete locale, tramite condivisione Samba o NFS, su un server FTP oppure su una macchina Linux con il comando netcat(1). Inoltre possiamo inviare i documenti via e-mail, configurando Knoppix per l'accesso ad Internet. Per semplificare le operazioni e conservare i permessi di un filesystem Linux si può utilizzare il comando tar(1), per accorpare ed eventualmente comprimere intere directory in un unico file.

Infine è possibile attivare un server Samba accessibile via rete locale anche da un computer Windows con:
Kmenù -> KNOPPIX -> Services -> Star Samba Server

Salvare intere partizioni

Per mezzo di appositi programmi è possibile 'fotografare' una partizione dell'hard disk, creandone un'immagine in un file salvabile su un DVD-Rom o altro mezzo. In seguito ad un eventuale danno e sostituzione è sufficiente ricreare la partizione dall'immagine archiviata con lo stesso programma per ripristinare il computer esattamente nello stato esistente al momento del salvataggio. Naturalmente questo metodo può essere utile per altri scopi, come per esempio per tentare di recuperare dati operando su una partizione clonata, senza mettere a rischio l'originale. L'operazione deve sempre essere eseguita a partizione smontata.

Il comando dd(1) consente di creare copie bit a bit di file e device. Per creare l'immagine di una intera partizione su un file è sufficiente dare in consòle il comando:

dd  if=/dev/hda1  of=file_immagine

Il file così ottenuto può essere trasferito con un hard disk esterno per essere eventualmente analizzato su un altro computer. Su un sistema Linux è possibile accedere al file immagine come se fosse una normale partizione, montandolo con il comando:

mount  file_immagine  /mnt/test  -t [tipo_filesystem]  -o loop

Per copiare direttamente un disco su un altro di pari dimensione, ignorando gli errori di lettura dovuti a cluster danneggiati, si può usare:

dd  if=/dev/hdb  of=/dev/hdd  conv=noerror

Un programma interattivo che permette di fare questa operazione è partimage(1). Esso consente di salvare l'immagine della partizione su una unità locale oppure su un altro computer attraverso la rete locale, purché abbia installato anch'esso il pacchetto partimage. Prevede anche la possibilità di comprimere i dati con gzip(1) e bzip2(1).

Se si desidera salvare in locale l'immagine, montare l'unità di destinazione e verificare che abbia sufficiente spazio libero. Quindi avviare il programma in modalità root (o comunque utente con diritto di accesso al device), digitando in consòle il comando:

partimage

Nella prima schermata selezionare la partizione da salvare, scorrendo con i tasti cursore su e giù, quindi premere il tasto 'Tab' per proseguire. Digitare il percorso esatto ed il nome del file in cui salvare l'immagine, quindi premere 'Tab'. Lasciare l'azione predefinita su 'Save partition into a new file', quindi premere 'F5' per passare alla schermata successiva.

Scegliere ora il livello di compressione dei dati, tra 'nessuna', 'zip' e 'bz2'. In ordine crescente aumenta l'efficacia di compressione ma aumenta il tempo necessario per l'esecuzione dell'operazione. È possibile decidere di frammentare automaticamente il file per copiarlo su supporti di backup di dimensioni limitate. Spostarsi con il tasto 'Tab' fino a 'Continue' e premere 'Invio', oppure premere 'F5'.

La funzione che prevede il frazionamento in file di dimensioni pari a 2Gb è molto utile qualora si vogliano salvare i backup su partizioni FAT, che non sono in grado di gestire file di dimensioni maggiori.

Nella schermata successiva è possibile inserire una annotazione da allegare al file. Spostarsi su 'Ok' e premere 'Invio'.

Viene ora mostrata una schermata riassuntiva delle caratteristiche della partizione. Premere invio su 'Ok' per avviare l'operazione. Al termine saranno stati creati uno o più file con estensione .000, .001, .002 ecc.

Per effettuare invece il salvataggio via rete su di un server di backup, avviare su di esso il demone partimaged(8). Il processo si pone in attesa di connessioni e mostra l'elenco dei collegamenti in atto da parte dei client.

Nella schermata iniziale di partimage, attivare la voce 'Connect to server', quindi inserire il nome o indirizzo del computer server. Prestare attenzione al percorso attribuito al file, poiché questo è riferito al server, non al computer locale. Inserendo semplicemente il nome, il file viene creato nella directory in cui è stato avviato partimaged. Vengono inoltre richiesti i dati di login per l'accesso al server.

Il ripristino di una partizione viene effettuato in maniera altrettanto semplice, ma può essere effettuato solo su partizioni di dimensione uguale o maggiore dell'originale. In quest'ultimo caso è necessario un successivo ridimensionamento per occupare la dimensione massima.

Avviare il programma 'partimage' e selezionare la partizione da sovrascrivere, inserire il percorso e nome esatto del file immagine, compreso il termine ".000” aggiunto automaticamente in scrittura per identificare il primo file. Se necessario inserire i dati per la connessione al server di backup.

Editazione di file sull'hard disk

Naturalmente è possibile intervenire su singoli file contenuti nella partizione dell'hard disk montata, per modificare la configurazione o sostituire file difettosi. In Knoppix inizialmente la partizione viene montata in modalità a sola lettura (Read/Only), per cui occorre cliccare con il tasto destro sull'icona e selezionare 'Change read/write mode'. In alternativa è possibile effettuare il montaggio da consòle con mount(8). Le partizioni di tipo NTFS utilizzate da Windows XP non sono direttamente accessibili in scrittura dal Kernel di Linux. È però possibile utilizzare gli strumenti 'ntfsmount' o 'captive NTFS' descritti più avanti.

Recupero di file cancellati

Si può tentare il recupero di file cancellati da una partizione NTFS utilizzando il tool ntfsundelete(8). È necessario però che i cluster contenenti i file rimossi non vengano nel frattempo sovrascritti. Per questo motivo si consiglia di evitare di usare il sistema e procedere al più presto al recupero con il live CD.

L'operazione si divide in due fasi: la ricerca dei file ed il recupero vero e proprio.

Per prima cosa dare in consòle il comando:

ntfsundelete /dev/hda1

indicando al posto di '/dev/hda' la partizione su cui operare. Verrà mostrato un elenco (che può essere inaspettatamente lungo) di tutti i file potenzialmente recuperabili con indicato il numero di 'inode', il tipo, la percentuale di recuperabilità, la data, la dimensione ed il nome.

Per cercare i file con un nome specifico si può utilizzare il parametro '-m ' seguito dal nome o parte di esso più eventuali caratteri wildchar, come asterisco e punto di domanda per indicare rispettivamente qualunque sequenza di caratteri (anche vuota) e qualunque singolo carattere. Esempio:

ntfsundelete /dev/hda1 -m "*.doc"

cerca tutti i file terminanti per '.doc'

Una volta individuati i file da recuperare occorre annotarsi i corrispondenti numeri di inode, dopodiché si può procedere al recupero vero e proprio con la sintassi:

ntfsundelete /dev/hda1  -u 2,5,13500-14000

recupera i file con inode pari a 2, a 5 e tutti quelli con inode compresi tra 13500 e 14000; i file ottenuti vengono depositati nella directory corrente, da dove possono essere poi trasferiti su chiavetta usb o altro. Si noti che il disco di origine non viene in alcun modo alterato.

Con il parametro '-d' è possibile specificare il percorso esatto della directory dove collocare i file recuperati:

ntfsundelete /dev/hda1  -u 37250 -d /mnt/sda1

recupera il file con inode 37250 e lo scrive nella directory /mnt/sda1, dove potrebbe essere stato montato precedentemente un hard disk usb.

Montare le partizioni NTFS anche in scrittura

In precedenza si è detto che le partizioni del tipo NTFS utilizzate da MS Windows XP sono supportate dal Kernel di Linux in sola lettura. Il motivo deriva dal fatto che le specifiche tecniche di questo protocollo proprietario non sono state divulgate da Microsoft. La comunità Linux è comunque riuscita a comprendere la struttura del filesystem ed emularne il funzionamento fino a poterne leggere con sicurezza il contenuto ma non a scrivervi.

Sono stati sviluppati diversi progetti che aggiungono a Linux l'accesso anche in scrittura su partizioni NTFS.

FUSE (Knoppix 5.01 e superiori)

Dalla versione 5.01 di Knoppix è stato introdotto il supporto di NTFS attraverso FUSE, con cui è possibile montare le partizioni di MS Windows in read-write semplicemente cliccando sull'icona dell'unità presente sul desktop.

Ntfsmount (Knoppix 4.02)

Da consòle dare il comando:

ntfsmount /mnt/ntfs -o dev=/dev/hda1

Indicando come parametro la directory su cui montare il filesystem e con l'opzione 'dev' la partizione. Per creare la directory di montaggio (mountpoint) si può usare il comando:

mkdir /mnt/ntfs

Un limite di Ntfsmount è che non sempre permette la cancellazione di file e directory. Si veda il manuale di ntfsmount(8).

Captive NTFS (Versioni di Knoppix precedenti alla 4.02)

L'utilizzo di 'captive NTFS' si sull'utilizzo di moduli interni al Kernel di Windows (API), che effettuano le operazioni di lettura/scrittura su NTFS.

Per importare i file necessari è disponibile in KDE lo strumento:
Kmenù -> KNOPPIX -> Utility -> Captive NTFS

Si noti che legalmente per utilizzare questi file è occorre avere una licenza Windows XP valida. Una volta avviato il programma viene proposto di effettuare una scansione delle unità. Di dovrebbe cliccare 'Avanti' ed attendere. Purtroppo per chi utilizza Windows in italiano, l'applicazione è pensata per versioni di Windows in inglese e non è in grado di importare tutti i file necessari da versioni localizzate, in particolare il file indispensabile 'ntoskrnl.exe'. Per lo stesso motivo, indicare manualmente la directory di sistema di Windows risulta inefficace, quindi nella finestra successiva cliccare 'Skip'. L'ultima possibilità proposta è di scaricare direttamente dal sito Microsoft il 'service pack' contenente i file mancanti. Questa operazione comporta la ricezione di 30Mb di dati ed è consigliabile solamente se si dispone di connessione a larga banda. In alternativa allo scaricamento del 'service pack', si può effettuare a mano la copia dei file mancanti dalla directory c:/windows/system32 di Windows XP alla directory /var/lib/captive di Linux. In tal caso il programma indicherà erroneamente il file 'ntoskrnl.exe' ancora mancante.

Non utilizzare l'icona presente sul desktop per montare l'unità, che avverrebbe in sola lettura. Aprire invece una consòle di root:
KMenù -> KNOPPIX -> Root Shell

Supponendo che la partizione NTFS sia hda1, digitare il comando:

mount -t captive-ntfs  -o uid=knoppix  /dev/hda1  /mnt/hda1

L'opzione 'uid=knoppix' fa si che tutti i file contenuti nella partizione appaiano appartenenti all'utente 'Knoppix'.

Ora è possibile aprire una finestra di Konqueror sul percorso '/mnt/hda1'.

Ricordarsi al termine dell'utilizzo di smontare con:

umount /dev/hda1

In conclusione, constatato il livello di sviluppo ancora iniziale di 'captive ntfs' è consigliabile limitarne l'uso a situazioni di vera necessità e comunque salvaguardare prima i dati contenuti mediante backup. Se si devono condividere dati tra Windows e Linux, la soluzione più semplice e sicura è di creare una partizione FAT32 di dimensioni adeguate, che è immediatamente accessibile da entrambi i sistemi. Per approfondimenti tecnici consultare i manuali captive(7) e mount.captive(8).

Manutenzione delle unità disco

Filesystem check

Per verificare la presenza di errori logici su una partizione Linux o FAT è disponibile il comando 'fsck'.

Supponendo di operare sulla partizione 1 dell'hard disk EIDE primario, verificare l'integrità del filesystem con il comando:

fsck /dev/hda1

Viene riconosciuto automaticamente il tipo di filesystem, caricato automaticamente il modulo necessario e tentata la riparazione degli errori eventualmente presenti.

Per controllare filesystem NTFS (in maniera limitata e non sostitutiva dell'equivalente Microsoft scandisk) è disponibile il comando:

ntfsfix /dev/hda1

Le verifiche devono avvenire esclusivamente su filesystem non montati, in quanto diversamente si potrebbero causare alterazioni nei dati. Verificare quindi che l'unità sottoposta ad analisi non sia stata montata montata, ed in particolare che non sia stata montata automaticamente da Knoppix per ospitare un file di swap. In tal caso è possibile prevenire il montaggio già all'avvio digitando al boot il parametro 'noswap', oppure disattivare lo swap a sistema avviato digitando in terminale 'swapoff -a'.

Per ottenere l'elenco delle unità correntemente montate, digitare il comando 'mount', senza parametri.

SMART

Al fine di una corretta diagnosi del guasto può essere utile verificare lo stato dell'unità disco per mezzo del servizio SMART (Self-Monitoring, Analysis and Reporting Technology).

Per verificare se un hard disk supporta SMART e questo è abilitato dare il comando:

smartctl -i /dev/hda

dove ovviamente /dev/hda corrisponde all'unità da analizzare (senza il numero di partizione).

Se il supporto è disabilitato abilitarlo con:

smartctl -s /dev/hda

oppure manualmente dai settaggi del BIOS del computer.

Per conoscere lo stato di salute dell'unità digitare:

smartctl -H /dev/hda

se la risposta è SMART Health Status: OK bene, se invece si ottiene una risposta negativa il disco potrebbe essere prossimo alla fine, per cui fare immediatamente un backup. Naturalmente consiglio di fare i backup anche se l'esito è positivo!

Informazioni molto dettagliate sullo stato si possono avere con:

smartctl -a /dev/hda

Per conoscere tutti i parametri accettati dal comando:

smartctl -h

Blocchi danneggiati

Per controllare l'integrità fisica della superficie del disco alla ricerca di blocchi difettosi, si utilizza il comando:

badblocks /dev/hda1 -v

Il parametro '-v' consente di conoscere lo stato di avanzamento della scansione, che può richiedere molto tempo. Normalmente il test viene effettuato in sola lettura, senza cancellare quindi i dati. Per effettuare un test in scrittura, più affidabile ma 'distruttivo', aggiungere il parametro '-w'.
ATTENZIONE: utilizzando il parametro 'w' tutti i dati saranno irreversibilmente cancellati, e così anche la struttura del filesystem, per cui la partizione dovrà essere riformattata! Se l'operazione è riferita ad una intera unità, questa dovrà anche essere ripartizionata.

Creare, ridimensionare e spostare partizioni

Da Knoppix Live CD si possono creare, rimuovere e ridimensionare partizioni non solamente di Linux, ma anche FAT, NTFS ed altre. Il programma 'QTParted', di uso molto intuitivo, sostituisce il noto programma Partition Magic.

L'avvio di QTParted in KDE avviene cliccando nel menù:
Kmenù -> System -> QTParted

In consòle per agire sulle partizioni sono disponibili i comandi fdisk(8), cfdisk(8) e parted(8).

Recuperare partizioni perdute

La suddivisione in partizioni all'interno di un hard disk è definita da una 'tavola delle partizioni primaria', che contiene la posizione dei punti iniziali e finali di ogni sezione. Con l'utilizzo di 'fdisk' o 'parted', l'utente può accidentalmente cancellare o alterare il contenuto della tabella in modo che non punti più alla posizione reale delle partizioni. Un errore software o la presenza di un cluster danneggiato in particolari posizioni può causare lo stesso problema. Qualunque sia la natura del danno, non è più possibile per il sistema accedere o montare le partizioni, in cui peraltro i dati sono ancora presenti ed integri, almeno fino a quando non si tenti di scrivervi sopra ripartizionando o formattando il disco. Un evidente vantaggio dei sistemi live è proprio di evitare qualunque scrittura sul disco.

Per rimediare al problema e tentare il recupero di partizioni è incluso in Knoppix il comando gpart(8), in grado di analizzare il contenuto dell'area dati del disco cercando di rilevare tracce di partizioni ancora esistenti. Sono supportati molti tipi di partizioni tra cui tutti quelli usati da Windows, Linux e FreeBSD.

Avviando il comando con indicata una unità come parametro, questa viene scandita ed al termine è presentato l'elenco delle partizioni identificate. Nulla viene scritto su disco in questa fase.

gpart /dev/hda

L'output sarà simile a questo:

Begin scan...
Possible partition(Windows NT/W2K FS), size(4706mb), offset(0mb)
Possible partition(Linux ext2), size(5373mb), offset(4706mb)
End scan.

Checking partitions...
Partition(OS/2 HPFS, NTFS, QNX or Advanced UNIX): primary 
Partition(Linux ext2 filesystem): primary 
Ok.

Guessed primary partition table:
Primary partition(1)
   type: 007(0x07)(OS/2 HPFS, NTFS, QNX or Advanced UNIX)
   size: 4706mb #s(9638937) s(63-9638999)
   chs:  (0/1/1)-(599/254/63)d (0/1/1)-(599/254/63)r

Primary partition(2)
   type: 131(0x83)(Linux ext2 filesystem)
   size: 5373mb #s(11004520) s(9639000-20643519)
   chs:  (600/0/1)-(1023/254/63)d (600/0/1)-(1284/254/58)r

A questo punto, dopo avere attentamente valutato la veridicità del risultato proposto, è possibile effettuare la sovrascrittura della tavola delle partizioni difettosa con quella corretta:

gpart /dev/hda  -W /dev/hda

Con l'uso di opportuni parametri, riportati nel manuale dell'applicazione gpart(8), è possibile personalizzare i modelli di identificazione per raggiungere un risultato quanto più corretto possibile.

Il comando può essere avviato anche in modalità interattiva:

gpart /dev/hda -i

Se l'operazione ha avuto esito positivo, dopo il riavvio del computer si potrà accedere alle partizioni recuperate.

Distruggere con sicurezza dati riservati

In alcuni casi si ha la necessità di cancellare dati dagli hard disk in modo ragionevolmente sicuro, nel caso per esempio in cui si debba cedere il computer. La cancellazione con i normali strumenti del sistema operativo, compreso lo 'svuotamento del cestino' e la formattazione dell'hard disk non eliminano realmente le informazioni, ma si limitano a toglierne il riferimento visibile. Con appositi strumenti software, tra cui alcuni comandi descritti in questo articolo, è possibile recuperare i file eliminati. L'unico modo per avere la certezza della distruzione di un file è quello di sovrascriverne il contenuto con byte casuali. Per questo scopo sono disponibili in Knoppix i comandi wipe(1) e shred(1). Entrambi sovrascrivono più volte i dati al fine di renderne ragionevolmente impossibile il recupero.

Il comando 'wipe' può essere applicato ad uno o più file:

wipe file1 file2 ...

Il comando 'shred', a differenza di 'wipe' di default non elimina il file dopo averlo sovrascritto e non chiede conferma prima di procedere. I file specificati vengono, previa conferma, ripetutamente sovrascritti e successivamente cancellati.

È importante notare che con alcuni filesystem, in particolare quelli "journalized" (es. NTFS e EXT3) e quelli compressi, questo comando può non raggiungere completamente l'effetto voluto, in quanto le scritture di di cancellazione possono avvenire in una posizione diversa del disco rispetto a quella del file da distruggere.

Inoltre il contenuto di un file aperto spesso può essere copiato dal sistema operativo in altre parti del disco, per esempio tra i file temporanei, oppure nel file di swap (pagefile.sys in MS Windows), nel file di ibernazione (hyberfil.sys), nei file di log ecc, per non parlare di luoghi più esoterici quali lo 'slack space' e gli 'alternate data streams' di NTFS.

L'unico metodo certo per cancellare tutto il contenuto di un supporto di memoria quale un hard disk, un floppy, una chiavetta USB è la sovrascrittura bit a bit dell'intera unità. Wipe per questo scopo può essere applicato sia a partizioni che ad unità disco:

wipe /dev/hda3

distrugge la partizione indicata; sarà necessario ricreare il filesystem (comunemente detto 'formattare').

wipe /dev/hda

distrugge il contenuto dell'intero disco; sarà necessario ricreare la tavola delle partizioni (ricordo che il numero che segue il nome dell'unità indica il numero della partizione, la sua assenza indica tutta l'unità nel suo complesso).

Prima di premere invio considerare attentamente quanto digitato, poiché il contenuto della partizione indicata, corretta o meno, verrà eliminato irreversibilmente. La cancellazione di una partizione o di un intero disco, sebbene sia una operazione che impiega moltissimo tempo (ore), è molto più sicura rispetto alla cancellazione di singoli file.

Testare la memoria RAM

Per controllare l'integrità fisica della memoria RAM è a disposizione il comando memtest(1). È avviabile da consòle (meglio come root) con il comando:

memtest all -l

dove il primo parametro indica la quantità di memoria da analizzare (in questo caso 'all' = tutta), mentre il parametro opzionale '-l' provoca la scrittura degli errori eventualmente rilevati nel log file "memtest.log".

In alternativa in Knoppix è compresa una versione avviabile direttamente dal boot, passando al prompt di avvio il parametro 'memtest'. In questo modo non viene occupata altra memoria oltre a quella usata dal programma stesso è il controllo è più completo ed affidabile.

In ogni caso l'operazione richiede molto tempo, anche diverse ore per effettuare un test approfondito.

Ver. 1.4 dicembre 2007