In che modo "rm" su un filesystem NTFS differisce dalla propria implementazione di Windows?

Ho un disco USB esterno con un filesystem NTFS su di esso.

Se rimuovo un file da Windows ed eseguo una delle varie utility "ripristina" (ad esempio TestDisk), posso facilmente recuperare il file (perché "è ancora lì ma è contrassegnato come eliminato").

Se rimuovo il file da Linux, nessuna utilità (a meno che non ne utilizzi una basata su firma di ricerca approfondita) può recuperare il file. Perché? Come viene implementato il collegamento nel codice del file system NTFS di Linux? Sembra che non solo "lo contrassegni come eliminato", ma cancella una struttura su disco, è questo il caso?

Ho dato un'occhiata alla fonte ntfs3g per curiosità.

Sembra che ci sia una funzione ntfs_delete(...)definita in dir.c, che fa l'eliminazione.

Rimuove definitivamente tutti i metadati del file / directory cancellati dalle strutture del filesystem.

Poiché esiste il codice sorgente per la versione di Microsoft non è disponibile, posso solo provare a indovinare come esegue l'eliminazione.

Sembra che Microsoft contrassegni la voce MFT solo come inutilizzata, poiché le utility non ripristinate sono in grado di recuperare la posizione e il nome del file eliminato.

Non conosco le specificità di Windows e NTFS, ma un modo comune per farlo su GUI di gestione file Unix / Linux e Finder di Mac OS X è in realtà non eliminare il file ma spostarlo in una speciale cartella nascosta denominata Cestino (o simile). il comando undelete recupera il file dalla cartella Cestino.

rm rimuove semplicemente il file senza preoccuparsi delle cartelle del cestino, come richiesto dall'utente.