Con la gran cantidad de productos de recuperación de datos que permiten recuperar archivos eliminados en cuestión de minutos, ¿alguna vez se ha preguntado cómo funciona exactamente este proceso y por qué es posible? En este artículo analizaremos qué hace Windows al eliminar un archivo y cómo estas herramientas permiten revertir la operación.
Contenido
- Cómo elimina Windows los archivos
- El auge de las herramientas para recuperar archivos eliminados
- Recuperación basada en el contenido
- La recuperación de datos es imposible en las unidades SSD
Cómo elimina Windows los archivos
Cuando se elimina un archivo —ya sea desde el Explorador de Windows, mediante otra aplicación o por el propio sistema operativo—, Windows no sobrescribe inmediatamente su contenido con ceros ni lo destruye de ninguna otra forma. De hecho, hacerlo de esta manera llevaría mucho tiempo. Intente eliminar un archivo grande que ya no necesite, como una película de gran tamaño que ya haya visto. Después, elimine un acceso directo pequeño. Observe que el tiempo necesario para eliminar ambos archivos es exactamente el mismo. Si Windows borrara físicamente todo el contenido de los archivos eliminados, tardaría mucho en eliminar esa película de gran tamaño. En otras palabras, sobrescribir el contenido de cada archivo eliminado ralentizaría enormemente el equipo. (Tenga en cuenta que esto ya no se aplica a las unidades SSD; hablaremos de ello más adelante).
Por tanto, si Windows no borra realmente el archivo, ¿qué hace al eliminarlo? En realidad, realiza una operación muy sencilla: marca como «eliminado» el registro del sistema de archivos que apunta a ese archivo. Es decir, indica que ya no existe, que está vacío y que no apunta a ninguna ubicación. Como resultado, el CONTENIDO del archivo sigue almacenado en algún lugar del disco (si no se trata de una unidad SSD), pero el REGISTRO DEL SISTEMA DE ARCHIVOS que apunta a él deja de existir (FAT32) o se marca como vacío (NTFS). Por supuesto, esta explicación simplifica considerablemente el funcionamiento real, pero en este punto no necesitamos más detalles técnicos. Pasemos a la recuperación.
El auge de las herramientas para recuperar archivos eliminados
De acuerdo, hemos comprobado que el archivo sigue existiendo en algún lugar del disco, pero que el registro correspondiente del sistema de archivos lo marca como «eliminado». ¿No bastaría con desactivar esa marca?
Precisamente esa era la idea de una de las primeras herramientas de recuperación de datos para Microsoft DOS. La herramienta se llamaba «undelete» y hacía exactamente eso: analizar el sistema de archivos para encontrar los archivos marcados como «eliminados» y restablecer el indicador correspondiente. (En aquella época, los archivos eliminados perdían el primer carácter de su nombre, por lo que, después de recuperarlos, se obtenía «~ocument.txt» en lugar de «document.txt»).
¿Cuál era el problema de este enfoque? Había varios. En primer lugar, el sistema de archivos de los sistemas operativos multitarea modernos cambia constantemente. Se crean nuevos archivos temporales y las numerosas tareas del sistema y aplicaciones en segundo plano escriben continuamente en archivos de registro y del Registro de Windows. Como consecuencia, los registros originales del sistema de archivos que apuntaban al archivo eliminado quedan obsoletos rápidamente, y el sistema operativo puede reutilizar algunos o todos esos registros para almacenar información sobre los archivos nuevos.
En este punto, el archivo eliminado original todavía puede permanecer en el disco, y todo el espacio que ocupaba puede seguir sin asignarse, aunque el registro del sistema de archivos que apuntaba a él ya no exista.
¿Ve el problema? Por eso actualmente utilizamos la segunda generación de herramientas de recuperación de datos.
Recuperación basada en el contenido
La siguiente generación de herramientas de recuperación de datos ya no depende exclusivamente de la información obtenida del sistema de archivos. Aunque las herramientas modernas siguen analizando el sistema de archivos y pueden recuperar fácilmente los archivos eliminados si la información sobre ellos todavía está disponible, también utilizan otras fuentes para localizar archivos eliminados. Así funciona la recuperación basada en el contenido.
Los productos modernos de recuperación de datos, como RS File Recovery o RS Partition Recovery, emplean métodos avanzados para recuperar los datos eliminados. Analizan toda la superficie del disco en busca de rastros de información borrada. ¿Qué buscan exactamente? Este es el proceso.
En primer lugar, una herramienta de recuperación basada en el contenido analiza el sistema de archivos. Aunque no exista información sobre el archivo eliminado, este análisis permite crear un mapa de los bloques del disco que pertenecen a otros archivos existentes y excluirlos de los análisis posteriores. Se trata de un procedimiento eficaz, ya que un disco duro convencional destinado al uso doméstico suele estar ocupado en más de la mitad de su capacidad. Por tanto, dedicar unos segundos a analizar el sistema de archivos puede ahorrar una hora o más de análisis del disco físico.
A continuación, la herramienta comienza a leer el disco y analiza, uno tras otro, los sectores que no aparecen marcados como ocupados por otros archivos. Cada bloque leído se compara con una base de datos que contiene numerosas firmas características capaces de identificarlo como el inicio de un tipo de archivo determinado. Por ejemplo, las imágenes JPEG siempre comienzan con «JFIF», mientras que los archivos PDF contienen «%PDF%» al principio. (Por supuesto, esta explicación también es una simplificación, ya que las firmas utilizadas en realidad son binarias).
Cuando se encuentra una coincidencia con una firma determinada, la herramienta realiza una comprobación adicional para determinar si se trata de una coincidencia aleatoria o si la firma indica realmente el comienzo de un archivo. Esta comprobación consiste básicamente en verificar el encabezado del archivo en un formato concreto. Si la comprobación es correcta, la herramienta de recuperación de datos analiza el encabezado para determinar la longitud del archivo. Después de calcularla, lee del disco el número de bloques necesario y los guarda como un archivo nuevo en otra unidad.
Suena bien, pero… ¿ve el problema? Este método funciona perfectamente cuando todos los archivos del disco están almacenados en bloques contiguos y completos. Pero ¿qué ocurre si están distribuidos por el disco en varios fragmentos pequeños o, en otras palabras, si están fragmentados? En ese caso, la recuperación basada en el contenido puede fallar. Para obtener más información sobre cómo recuperar archivos fragmentados, consulte nuestro otro artículo: Recuperar archivos fragmentados.
La recuperación de datos es imposible en las unidades SSD
¿Recuerda que dije que Windows elimina los archivos sin sobrescribir realmente su contenido con ceros? No era del todo cierto. El contenido de los archivos eliminados permanece intacto, pero solo en los discos duros tradicionales (magnéticos) y en algunos tipos de dispositivos de almacenamiento de estado sólido, como las tarjetas de memoria y las unidades flash USB. ¿Qué ocurre entonces con las veloces unidades SSD? Es una situación diferente.
Al eliminar un archivo de una unidad SSD, Windows tampoco borra su contenido, a pesar de que estas unidades son muchas veces más rápidas que los discos duros magnéticos. El procedimiento es prácticamente el mismo, con una diferencia: Windows envía a la unidad un comando «TRIM», informando a su controlador de que determinados bloques de datos ya no están en uso. A partir de ese momento, la unidad SSD puede gestionar esos bloques de datos como considere oportuno. Puede borrarlos para acelerar las operaciones de escritura posteriores, intercambiarlos con otros bloques de datos lógicos para distribuir el desgaste de manera uniforme («nivelación de desgaste») o incluso trasladarlos a una zona especial no direccionable formada por bloques de datos reservados, también con el objetivo de nivelar el desgaste.
Como resultado, todo el contenido del archivo eliminado de una unidad SSD prácticamente desaparece en el mismo momento en que se elimina. Es posible que los datos sigan físicamente en algún lugar de la unidad durante cierto tiempo. Sin embargo, el controlador de la SSD devolverá siempre ceros si se intenta leer ese bloque. No existe ninguna forma de evitarlo, por bajo que sea el nivel de acceso. Incluso los equipos especializados de adquisición de imágenes utilizados en muchos laboratorios forenses no pueden recuperar datos a los que se haya aplicado TRIM.
¿Se ha perdido todo? No necesariamente. Algunas unidades SSD no admiten TRIM y, en ocasiones, aunque lo admitan, es posible que no estén configuradas correctamente para aceptar este comando. Si la unidad SSD está formateada con FAT32 (o exFAT) en lugar de NTFS, Windows no enviará el comando TRIM. Además, si el sistema de archivos se corrompe, los datos perdidos no se marcarán mediante TRIM. Por eso todavía merece la pena ejecutar una herramienta eficaz de recuperación de datos en la unidad SSD, como Partition Recovery, para comprobar qué información sigue disponible.
