New Technology File System ( NTFS ) es un sistema de archivos de registro en diario patentado desarrollado por Microsoft . [2] [1] A partir de Windows NT 3.1 , es el sistema de archivos predeterminado de la familia Windows NT . [11] Reemplazó a la Tabla de asignación de archivos (FAT) como el sistema de archivos preferido en Windows y también es compatible con Linux y BSD . El soporte de lectura y escritura NTFS se proporciona mediante una implementación de kernel gratuita y de código abierto conocida como NTFS3 en Linux y el controlador NTFS-3G en BSD . [12] [13] Al usar el comando, Windows puede convertir FAT32 /16/12 a NTFS sin la necesidad de reescribir todos los archivos. [14] NTFS utiliza varios archivos que normalmente están ocultos al usuario para almacenar metadatos sobre otros archivos almacenados en la unidad, lo que puede ayudar a mejorar la velocidad y el rendimiento al leer datos. [1] A diferencia de FAT y el sistema de archivos de alto rendimiento (HPFS), NTFS admite listas de control de acceso (ACL), cifrado del sistema de archivos, compresión transparente, archivos dispersos y registro en diario del sistema de archivos . NTFS también admite instantáneas para permitir copias de seguridad de un sistema mientras se está ejecutando, pero la funcionalidad de las instantáneas varía entre las diferentes versiones de Windows. [15]convert
A mediados de la década de 1980, Microsoft e IBM formaron un proyecto conjunto para crear la próxima generación de sistema operativo gráfico ; el resultado fue OS/2 y HPFS . Como Microsoft no estaba de acuerdo con IBM en muchas cuestiones importantes, finalmente se separaron; OS/2 siguió siendo un proyecto de IBM y Microsoft trabajó para desarrollar Windows NT y NTFS.
El sistema de archivos HPFS para OS/2 contenía varias características nuevas importantes. Cuando Microsoft creó su nuevo sistema operativo, tomó prestados muchos de estos conceptos para NTFS. [16] Los desarrolladores originales de NTFS fueron Tom Miller , Gary Kimura, Brian Andrew y David Goebel. [17]
Probablemente como resultado de esta ascendencia común, HPFS y NTFS usan el mismo código de tipo de identificación de partición de disco (07). Usar el mismo número de registro de ID de partición es muy inusual, ya que había docenas de números de código no utilizados disponibles y otros sistemas de archivos importantes tienen sus propios códigos. Por ejemplo, FAT tiene más de nueve (uno para FAT12 , FAT16 , FAT32 , etc.). Los algoritmos que identifican el sistema de archivos en una partición tipo 07 deben realizar comprobaciones adicionales para distinguir entre HPFS y NTFS.
Microsoft ha lanzado cinco versiones de NTFS:
El NTFS.sysnúmero de versión (p. ej. v5.0 en Windows 2000) se basa en la versión del sistema operativo; no debe confundirse con el número de versión NTFS (v3.1 desde Windows XP). [21]
Aunque las versiones posteriores de Windows agregaron nuevas funciones relacionadas con el sistema de archivos, no cambiaron el propio NTFS. Por ejemplo, Windows Vista implementó enlaces simbólicos NTFS , NTFS transaccional , reducción de particiones y recuperación automática. [22] Los enlaces simbólicos NTFS son una nueva característica en el sistema de archivos; todas las demás son funciones nuevas del sistema operativo que utilizan funciones NTFS que ya existen.
NTFS está optimizado para clústeres de 4 KB [a] , pero admite un tamaño máximo de clúster de 2 MB [a] . (Las implementaciones anteriores admiten hasta 64 KB) [6] El tamaño máximo de volumen NTFS que la especificación puede admitir es 2 64 − 1 clústeres, pero no todas las implementaciones alcanzan este máximo teórico, como se analiza a continuación.
El tamaño máximo de volumen NTFS implementado en Windows XP Professional es 2 32 − 1 clústeres, en parte debido a las limitaciones de la tabla de particiones. Por ejemplo, al utilizar clústeres de 64 KB, el tamaño máximo del volumen NTFS de Windows XP es 256 TB menos 64 KB . Utilizando el tamaño de clúster predeterminado de 4 KB, el tamaño máximo de volumen NTFS es 16 TB menos 4 KB. Ambos son muy superiores al límite de 128 GB [a] de Windows XP SP1 . Muchos firmware de BIOS limitan el tamaño de las particiones Master Boot Records (MBR) a 2 TiB, [23] que es el límite para discos duros con un tamaño de sector físico de 512 bytes, aunque para un sector físico de 4 KiB el límite de tamaño de partición MBR es 16 TiB. . Una alternativa es utilizar varios volúmenes de tabla de particiones GUID (GPT o "dinámicos") para combinarlos para crear un único volumen NTFS de más de 2 TiB. El arranque desde un volumen GPT a un entorno Windows con soporte de Microsoft requiere un sistema con interfaz de firmware extensible unificada (UEFI) y soporte de 64 bits [b] . [24] Los discos de datos GPT son compatibles con sistemas con BIOS.
El límite teórico máximo de NTFS sobre el tamaño de archivos individuales es 16 EB [a] [25] ( 16 × 1024 6 o 2 64 bytes ) menos 1 KB, lo que suma 18.446.744.073.709.550.592 bytes. Con Windows 10 versión 1709 y Windows Server 2019 , el tamaño máximo de archivo implementado es 8 PB [a] menos 2 MB o 9,007,199,252,643,840 bytes. [6]
Si bien las diferentes versiones de NTFS son en su mayor parte totalmente compatibles con versiones anteriores y anteriores , existen consideraciones técnicas para montar volúmenes NTFS más nuevos en versiones anteriores de Microsoft Windows. Esto afecta a los discos duros portátiles externos y de arranque dual. Por ejemplo, intentar utilizar una partición NTFS con "Versiones anteriores" ( Volumen Shadow Copy ) en un sistema operativo que no la admite resultará en la pérdida del contenido de esas versiones anteriores. [15] Una utilidad de línea de comandos de Windows llamada convert.exe puede convertir sistemas de archivos compatibles a NTFS, incluido HPFS (sólo en Windows NT 3.1, 3.5 y 3.51), FAT16 y FAT32 (en Windows 2000 y posteriores). [26] [27]
FreeBSD 3.2 lanzado en mayo de 1999 incluía soporte NTFS de sólo lectura escrito por Semen Ustimenko. [28] [29] Esta implementación fue portada a NetBSD por Christos Zoulas y Jaromir Dolecek y lanzada con NetBSD 1.5 en diciembre de 2000. [30] La implementación FreeBSD de NTFS también fue portada a OpenBSD por Julien Bordet y ofrece NTFS nativo de sólo lectura. soporte de forma predeterminada en las plataformas i386 y amd64 a partir de la versión 4.9 lanzada el 1 de mayo de 2011. [31] [29][actualizar]
Las versiones 2.1.74 y posteriores del kernel de Linux incluyen un controlador escrito por Martin von Löwis que tiene la capacidad de leer particiones NTFS; [32] Las versiones del kernel 2.5.11 y posteriores contienen un nuevo controlador escrito por Anton Altaparmakov ( Universidad de Cambridge ) y Richard Russon que admite la lectura de archivos. [33] [34] [32] La capacidad de escribir en archivos se introdujo con la versión 2.6.15 del kernel en 2006, que permite a los usuarios escribir en archivos existentes pero no permite la creación de otros nuevos. [35] El controlador NTFS de Paragon (ver más abajo) se ha fusionado en la versión 5.15 del kernel y admite lectura/escritura en archivos normales, comprimidos y dispersos, así como la reproducción de diarios. [36]
NTFS-3G es una implementación FUSE gratuita de NTFS con licencia GPL que fue desarrollada inicialmente como un controlador del kernel de Linux por Szabolcs Szakacsits. Fue reescrito como un programa FUSE para funcionar en otros sistemas compatibles con FUSE como macOS , FreeBSD, NetBSD, OpenBSD , [37] Solaris, QNX y Haiku [38] y permite leer y escribir en particiones NTFS. Los desarrolladores de NTFS-3G también ofrecen una versión comercial de rendimiento mejorado de NTFS-3G, llamada " Tuxera NTFS para Mac". [39]
Cautivo NTFS , un controlador 'encapsulado' que utiliza el propio controlador ntfs.sys de Windows , existe para Linux. Fue creado como un programa de sistema de archivos en el espacio de usuario (FUSE) y lanzado bajo la GPL, pero el trabajo en NTFS cautivo cesó en 2006. [40]
Las versiones del kernel de Linux 5.15 en adelante incluyen NTFS3, un controlador de lectura y escritura NTFS completamente funcional que funciona en versiones de NTFS hasta la 3.1 y es mantenido principalmente por Paragon Software Group .
Mac OS X 10.3 incluía la implementación de NTFS de sólo lectura de FreeBSD de Ustimenko. Luego, en 2006, Apple contrató a Anton Altaparmakov para escribir una nueva implementación NTFS para Mac OS X 10.6 . [41] La compatibilidad con escritura NTFS nativa se incluye en 10.6 y versiones posteriores, pero no está activada de forma predeterminada, aunque existen soluciones alternativas para habilitar la funcionalidad. Sin embargo, los informes de los usuarios indican que la funcionalidad es inestable y tiende a provocar pánico en el kernel . [42]
Paragon Software Group vende un controlador de lectura y escritura llamado NTFS para Mac OS X , [43] que también se incluye en algunos modelos de discos duros Seagate . [44]
El paquete NetDrive para OS/2 (y derivados como eComStation y ArcaOS ) admite un complemento que permite acceso de lectura y escritura a volúmenes NTFS. [45] [46]
Existe un controlador de lectura/escritura gratuito para uso personal de Avira para MS-DOS llamado "NTFS4DOS". [47] [48]
Ahead Software desarrolló un controlador "NTFSREAD" (versión 1.200) para DR-DOS 7.0x entre 2002 y 2004. Formaba parte de su software Nero Burning ROM .
NTFS utiliza listas de control de acceso y cifrado a nivel de usuario para ayudar a proteger los datos del usuario.
En NTFS, a cada archivo o carpeta se le asigna un descriptor de seguridad que define su propietario y contiene dos listas de control de acceso (ACL). La primera ACL, llamada lista de control de acceso discrecional (DACL), define exactamente qué tipo de interacciones (por ejemplo, lectura, escritura, ejecución o eliminación) están permitidas o prohibidas por qué usuario o grupo de usuarios. Por ejemplo, los archivos de la C:\Program Filescarpeta pueden ser leídos y ejecutados por todos los usuarios, pero modificados sólo por un usuario que tenga privilegios administrativos. [49] Windows Vista agrega información de control de acceso obligatoria a las DACL. Las DACL son el foco principal del Control de cuentas de usuario en Windows Vista y versiones posteriores.
La segunda ACL, llamada lista de control de acceso al sistema (SACL), define qué interacciones con el archivo o carpeta se auditarán y si se deben registrar cuando la actividad sea exitosa, fallida o ambas. Por ejemplo, se puede habilitar la auditoría de archivos confidenciales de una empresa, para que sus administradores sepan cuándo alguien intenta eliminarlos o hacer una copia de ellos, y si lo logra. [49]
El sistema de cifrado de archivos (EFS) proporciona cifrado transparente para el usuario de cualquier archivo o carpeta en un volumen NTFS. [50] EFS funciona junto con el servicio EFS, CryptoAPI de Microsoft y la biblioteca en tiempo de ejecución del sistema de archivos EFS (FSRTL). EFS funciona cifrando un archivo con una clave simétrica masiva (también conocida como clave de cifrado de archivos o FEK), que se utiliza porque lleva una cantidad de tiempo relativamente pequeña cifrar y descifrar grandes cantidades de datos que si se utilizara un cifrado de clave asimétrica. se utiliza. La clave simétrica que se utiliza para cifrar el archivo se cifra luego con una clave pública asociada con el usuario que cifró el archivo, y estos datos cifrados se almacenan en un flujo de datos alternativo del archivo cifrado. Para descifrar el archivo, el sistema de archivos utiliza la clave privada del usuario para descifrar la clave simétrica que está almacenada en el flujo de datos. Luego utiliza la clave simétrica para descifrar el archivo. Como esto se hace a nivel del sistema de archivos, es transparente para el usuario. [51] Además, en caso de que un usuario pierda el acceso a su clave, se ha incorporado compatibilidad con claves de descifrado adicionales en el sistema EFS, de modo que un agente de recuperación aún pueda acceder a los archivos si es necesario. El cifrado proporcionado por NTFS y la compresión proporcionada por NTFS son mutuamente excluyentes; sin embargo, se puede utilizar NTFS para uno y una herramienta de terceros para el otro.
La compatibilidad con EFS no está disponible en las versiones Basic, Home y MediaCenter de Windows y debe activarse después de la instalación de las versiones Professional, Ultimate y Server de Windows o mediante el uso de herramientas de implementación empresarial dentro de los dominios de Windows.
NTFS es un sistema de archivos de registro en diario y utiliza el registro NTFS ( $LogFile ) para registrar los cambios de metadatos en el volumen. Es una característica que FAT no proporciona y es fundamental para NTFS para garantizar que sus complejas estructuras de datos internas permanezcan consistentes en caso de fallas del sistema o movimientos de datos realizados por la API de desfragmentación , y permite revertir fácilmente los cambios no confirmados en estas estructuras de datos críticas. cuando se vuelve a montar el volumen. Las estructuras notablemente afectadas son el mapa de bits de asignación de volumen, modificaciones a los registros MFT, como movimientos de algunos atributos de longitud variable almacenados en registros MFT y listas de atributos, e índices para directorios y descriptores de seguridad .
El formato ( $LogFile ) ha evolucionado a través de varias versiones:
La incompatibilidad de las versiones de $LogFile implementadas por Windows 8 , Windows 10 y Windows 11 impide que Windows 7 (y versiones anteriores de Windows) reconozcan la versión 2.0 de $LogFile . La compatibilidad con versiones anteriores se proporciona al degradar $LogFile a la versión 1.1 cuando un volumen NTFS se desmonta limpiamente. Se actualiza nuevamente a la versión 2.0 cuando se monta en una versión compatible de Windows. Sin embargo, al hibernar en el disco en el estado de cierre de sesión (también conocido como arranque híbrido o arranque rápido, que está habilitado de forma predeterminada), los sistemas de archivos montados no se desmontan y, por lo tanto, los $LogFile de cualquier sistema de archivos activo no se degradan a la versión 1.1. La imposibilidad de procesar la versión 2.0 de $LogFile en versiones de Windows anteriores a la 8.0 da como resultado una invocación innecesaria de la utilidad de reparación de disco CHKDSK . Esto es particularmente preocupante en un escenario de arranque múltiple que involucra versiones anteriores y posteriores a la 8.0 de Windows, o cuando se mueve con frecuencia un dispositivo de almacenamiento entre versiones más antiguas y más nuevas. Existe una configuración del Registro de Windows para evitar la actualización automática de $LogFile a la versión más reciente. El problema también se puede solucionar desactivando el arranque híbrido. [52]
El diario USN (Actualizar diario de números de secuencia) es una función de administración del sistema que registra (en $Extend\$UsnJrnl ) los cambios en archivos, secuencias y directorios en el volumen, así como sus diversos atributos y configuraciones de seguridad. La revista está disponible para que las aplicaciones realicen un seguimiento de los cambios en el volumen. [53] Este diario se puede habilitar o deshabilitar en volúmenes que no son del sistema. [54]
La función de enlace físico permite que diferentes nombres de archivos hagan referencia directamente al mismo contenido del archivo. Los enlaces físicos solo pueden vincular a archivos en el mismo volumen, porque cada volumen tiene su propio MFT. Los enlaces físicos se incluyeron originalmente para admitir el subsistema POSIX en Windows NT. [55]
Aunque los enlaces físicos utilizan el mismo registro MFT ( inodo ) que registra los metadatos del archivo, como el tamaño del archivo, la fecha de modificación y los atributos, NTFS también almacena en caché estos datos en la entrada del directorio como una mejora del rendimiento. Esto significa que al enumerar el contenido de un directorio utilizando la familia de API FindFirstFile/FindNextFile (equivalente a las API POSIX opendir/readdir), también recibirá esta información almacenada en caché, además del nombre y el inodo. Sin embargo, es posible que no vea información actualizada, ya que se garantiza que esta información solo se actualizará cuando se cierre un archivo, y solo para el directorio desde el que se abrió el archivo. [56] Esto significa que cuando un archivo tiene varios nombres a través de enlaces físicos, la actualización de un archivo a través de un nombre no actualiza los datos almacenados en caché asociados con el otro nombre. Siempre puede obtener datos actualizados utilizando GetFileInformationByHandle (que es el verdadero equivalente de la función de estadística POSIX). Esto se puede hacer usando un identificador que no tiene acceso al archivo en sí (pasando cero a CreateFile para dwDesiredAccess), y cerrar este identificador tiene el efecto incidental de actualizar la información almacenada en caché.
Windows utiliza enlaces físicos para admitir nombres de archivos cortos (8.3) en NTFS. Se necesita compatibilidad con el sistema operativo porque existen aplicaciones heredadas que solo pueden funcionar con nombres de archivos 8.3, pero la compatibilidad se puede desactivar. En este caso, se agrega un registro de nombre de archivo adicional y una entrada de directorio, pero tanto el nombre de archivo 8.3 como el largo se vinculan y actualizan juntos, a diferencia de un vínculo físico normal.
El sistema de archivos NTFS tiene un límite de 1024 enlaces físicos por archivo. [57]
Los flujos de datos alternativos permiten asociar más de un flujo de datos con un nombre de archivo (una bifurcación ), utilizando el formato "nombre de archivo:nombre de flujo" (por ejemplo, "text.txt:extrastream").
NTFS Streams se introdujeron en Windows NT 3.1 para permitir que los Servicios para Macintosh (SFM) almacenen bifurcaciones de recursos . Aunque las versiones actuales de Windows Server ya no incluyen SFM, los productos de terceros Apple Filing Protocol (AFP) (como ExtremeZ-IP de GroupLogic ) todavía utilizan esta característica del sistema de archivos.
Internet Explorer y la mayoría de los navegadores agregan un pequeño ADS llamado "Zone.Identifier" para marcar los archivos descargados de sitios externos como posiblemente no seguros para ejecutar; el shell local requeriría la confirmación del usuario antes de abrirlos. [58] Cuando el usuario indica que ya no desea este diálogo de confirmación, este ADS se elimina. Esta funcionalidad también se conoce como " Marca de la Web ". [59] [60]
Las transmisiones alternativas no aparecen en el Explorador de Windows y su tamaño no está incluido en el tamaño del archivo. Cuando el archivo se copia o se mueve a otro sistema de archivos sin soporte ADS, se advierte al usuario que no se pueden conservar flujos de datos alternativos. Por lo general, no se proporciona dicha advertencia si el archivo se adjunta a un correo electrónico o se carga en un sitio web. Por lo tanto, el uso de flujos alternativos para datos críticos puede causar problemas. Microsoft proporciona una herramienta llamada Streams [61] para ver transmisiones en un volumen seleccionado. A partir de Windows PowerShell 3.0, es posible administrar ADS de forma nativa con seis cmdlets: Agregar contenido, Borrar contenido, Obtener contenido, Obtener elemento, Eliminar elemento, Establecer contenido. [62]
El malware ha utilizado flujos de datos alternativos para ocultar el código. [63] Como resultado, los escáneres de malware y otras herramientas especiales ahora [ ¿cuándo? ] compruebe si hay flujos de datos alternativos.
La compresión se habilita por carpeta o por archivo configurando el atributo "comprimido". Cuando la compresión está habilitada en una carpeta, cualquier archivo movido o guardado en esa carpeta se comprimirá automáticamente utilizando el algoritmo LZNT1 (una variante de LZ77 ). [64] El algoritmo de compresión está diseñado para admitir tamaños de clúster de hasta 4 KB; cuando el tamaño del clúster es superior a 4 KB en un volumen NTFS, la compresión NTFS no está disponible. [65] Los datos se comprimen en fragmentos de 16 clústeres (de hasta 64 KB de tamaño); Si la compresión reduce 64 KB de datos a 60 KB o menos, NTFS trata las páginas innecesarias de 4 KB como grupos de archivos dispersos y vacíos : no se escriben. Esto permite tiempos de acceso aleatorio razonables, ya que el sistema operativo simplemente tiene que seguir la cadena de fragmentos.
La compresión funciona mejor con archivos que tienen contenido repetitivo, rara vez se escriben, generalmente se accede a ellos de forma secuencial y no están comprimidos. Los sistemas de un solo usuario con espacio limitado en el disco duro pueden beneficiarse de la compresión NTFS para archivos pequeños, de 4 KB a 64 KB o más, según la compresibilidad. Los archivos de menos de aproximadamente 900 bytes se almacenan en la entrada del directorio de MFT. [66]
Los usuarios de procesadores rápidos multinúcleo encontrarán mejoras en la velocidad de las aplicaciones al comprimir sus aplicaciones y datos, así como una reducción en el espacio utilizado. Incluso cuando los controladores SSD ya comprimen datos, todavía hay una reducción en las E/S ya que se transfieren menos datos. [67]
Según una investigación realizada por el equipo de desarrollo NTFS de Microsoft, entre 50 y 60 GB es un tamaño máximo razonable para un archivo comprimido en un volumen NTFS con un tamaño de clúster (bloque) de 4 KB (predeterminado). Este tamaño máximo razonable disminuye drásticamente para volúmenes con tamaños de clúster más pequeños. [68]
Los archivos comprimibles de gran tamaño se fragmentan mucho ya que cada fragmento menor de 64 KB se convierte en un fragmento. [68] [69] Las memorias flash, como las unidades SSD , no tienen los retrasos en el movimiento del cabezal ni el alto tiempo de acceso de las unidades de disco duro mecánicas , por lo que la fragmentación tiene solo una penalización menor.
Si los archivos del sistema que se necesitan en el momento del arranque (como controladores, NTLDR, winload.exe o BOOTMGR) están comprimidos, es posible que el sistema no arranque correctamente porque los filtros de descompresión aún no están cargados. [70] [ verificación fallida ] Ediciones posteriores de Windows [ ¿cuáles? ] no permiten comprimir archivos importantes del sistema.
Desde Windows 10 , Microsoft ha introducido un nuevo esquema de compresión de archivos basado en el algoritmo XPRESS con tamaños de bloque 4K/8K/16K [71] y el algoritmo LZX ; [72] ambas son variantes de LZ77 actualizadas con codificación de entropía de Huffman y codificación de rango , de las que carecía LZNT1. Estos algoritmos de compresión se tomaron del formato de imagen de Windows (archivo WIM).
El nuevo esquema de compresión lo utiliza la función CompactOS, que reduce el uso del disco al comprimir los archivos del sistema de Windows. [73] CompactOS no es una extensión de la compresión de archivos NTFS y no utiliza el atributo 'comprimido'; en su lugar, establece un punto de análisis en cada archivo comprimido con una etiqueta WOF (filtro de superposición de Windows), [74] pero los datos reales se almacenan en un flujo de datos alternativo llamado "WofCompressedData", que se descomprime sobre la marcha mediante un Controlador de filtro del sistema de archivos WOF y el archivo principal es un archivo disperso vacío . [74] Este diseño está pensado exclusivamente para acceso de sólo lectura, por lo que cualquier escritura en archivos comprimidos da como resultado una descompresión automática. [74] [75] [76]
La compresión CompactOS está destinada a fabricantes de equipos originales que preparan imágenes del sistema operativo con la /compactmarca de la DISMherramienta en Windows ADK , [77] pero también se puede activar manualmente por archivo con la /exemarca del compactcomando. [78] El algoritmo CompactOS evita la fragmentación de archivos al escribir datos comprimidos en fragmentos asignados de forma contigua, a diferencia de la compresión central NTFS. [ cita necesaria ]
La compresión de archivos CompactOS es una versión mejorada de la función WIMBoot introducida en Windows 8.1 . WIMBoot reduce el uso del disco de Windows al mantener los archivos del sistema en una imagen WIM comprimida en una partición de disco oculta separada . [79] De manera similar a CompactOS, los directorios del sistema Windows solo contienen archivos dispersos marcados por un punto de análisis con una etiqueta WOF, y el controlador de filtro de superposición de Windows descomprime el contenido del archivo sobre la marcha desde la imagen WIM. Sin embargo, WIMBoot es menos efectivo que CompactOS, ya que es necesario escribir nuevas versiones actualizadas de los archivos del sistema en la partición del sistema, lo que consume espacio en el disco. [74]
.svg/1280px-Sparse_file_(en).svg.png)
.png/1280px-One_Petabyte_of_Files_(Windows_10_Professional).png)
Los archivos dispersos son archivos intercalados con segmentos vacíos para los cuales no se utiliza espacio de almacenamiento real. Para las aplicaciones, el archivo parece un archivo normal con regiones vacías vistas como regiones llenas de ceros; el sistema de archivos mantiene una lista interna de dichas regiones para cada archivo disperso. [80] Un archivo disperso no incluye necesariamente áreas de ceros dispersos; el atributo "archivo disperso" simplemente significa que el archivo puede tenerlos.
Las aplicaciones de bases de datos, por ejemplo, pueden utilizar archivos dispersos. [81] Al igual que con los archivos comprimidos, los tamaños reales de los archivos dispersos no se tienen en cuenta al determinar los límites de cuota. [82]
El Servicio de instantáneas de volumen (VSS) mantiene versiones históricas de archivos y carpetas en volúmenes NTFS copiando datos antiguos recién sobrescritos en instantáneas mediante la técnica de copia en escritura . Posteriormente, el usuario podrá solicitar la recuperación de una versión anterior. Esto también permite que los programas de copia de seguridad de datos archiven archivos actualmente en uso por el sistema de archivos.
Windows Vista también introdujo instantáneas persistentes para usar con las funciones Restaurar sistema y Versiones anteriores . Sin embargo, las instantáneas persistentes se eliminan cuando un sistema operativo antiguo monta ese volumen NTFS. Esto sucede porque el sistema operativo anterior no comprende el formato más nuevo de instantáneas persistentes. [15]
A partir de Windows Vista, las aplicaciones pueden usar NTFS transaccional (TxF) para agrupar varios cambios en archivos en una sola transacción. La transacción garantizará que se realicen todos los cambios o ninguno de ellos, y que ninguna aplicación fuera de la transacción verá los cambios hasta que se confirmen. [83]
Utiliza técnicas similares a las utilizadas para las instantáneas de volumen (es decir, copia en escritura) para garantizar que los datos sobrescritos se puedan revertir de forma segura, y un registro CLFS para marcar las transacciones que aún no se han confirmado o las que se han confirmado. comprometido pero aún no aplicado completamente (en caso de falla del sistema durante una confirmación por parte de uno de los participantes).
NTFS transaccional no restringe las transacciones solo al volumen NTFS local, sino que también incluye otros datos u operaciones transaccionales en otras ubicaciones, como datos almacenados en volúmenes separados, el registro local o bases de datos SQL, o los estados actuales de los servicios del sistema o servicios remotos. . Estas transacciones se coordinan en toda la red con todos los participantes utilizando un servicio específico, el DTC , para garantizar que todos los participantes reciban el mismo estado de confirmación y para transportar los cambios que han sido validados por cualquier participante (para que los demás puedan invalidar su local). cachés para datos antiguos o revertir sus cambios en curso no confirmados). NTFS transaccional permite, por ejemplo, la creación de sistemas de archivos distribuidos consistentes en toda la red, incluso con sus cachés locales en vivo o fuera de línea.
Microsoft ahora desaconseja el uso de TxF: "Microsoft recomienda encarecidamente que los desarrolladores utilicen medios alternativos", ya que "TxF puede no estar disponible en futuras versiones de Microsoft Windows". [84]
Las cuotas de disco se introdujeron en NTFS v3. Permiten al administrador de una computadora que ejecuta una versión de Windows compatible con NTFS establecer un umbral de espacio en disco que los usuarios pueden usar. También permite a los administradores realizar un seguimiento de cuánto espacio en disco utiliza cada usuario. Un administrador puede especificar un cierto nivel de espacio en disco que un usuario puede usar antes de recibir una advertencia y luego negarle el acceso una vez que alcance su límite superior de espacio. Las cuotas de disco no tienen en cuenta la compresión de archivos transparente de NTFS , en caso de que esté habilitada. Las aplicaciones que consultan la cantidad de espacio libre también verán la cantidad de espacio libre que le queda al usuario al que se le ha aplicado una cuota.
Introducidos en NTFS v3, los puntos de análisis NTFS se utilizan asociando una etiqueta de análisis en el atributo de espacio de usuario de un archivo o directorio. Microsoft incluye varias etiquetas predeterminadas que incluyen enlaces simbólicos , puntos de unión de directorios y puntos de montaje de volúmenes . Cuando el Administrador de objetos analiza una búsqueda de nombre de sistema de archivos y encuentra un atributo de análisis, analizará la búsqueda de nombre y pasará los datos de análisis controlados por el usuario a cada controlador de filtro de sistema de archivos que esté cargado en Windows. Cada controlador de filtro examina los datos de análisis para ver si están asociados con ese punto de análisis y, si ese controlador de filtro determina una coincidencia, intercepta la solicitud del sistema de archivos y realiza su funcionalidad especial.
A partir de Windows Vista, Microsoft agregó la capacidad integrada de reducir o expandir una partición. Sin embargo, esta capacidad no reubica fragmentos de archivos de página o archivos que se han marcado como inamovibles, por lo que reducir un volumen a menudo requerirá reubicar o deshabilitar cualquier archivo de página , el índice de Búsqueda de Windows y cualquier instantánea utilizada por Restaurar sistema . Varias herramientas de terceros son capaces de cambiar el tamaño de las particiones NTFS.
Desde 2017, Microsoft requiere que la estructura de archivos de OneDrive resida en un disco NTFS. [85] Esto se debe a que la función OneDrive Files On-Demand utiliza puntos de análisis NTFS para vincular archivos y carpetas almacenados en OneDrive al sistema de archivos local, lo que hace que el archivo o la carpeta no se pueda utilizar con cualquier versión anterior de Windows, con cualquier otro sistema de archivos NTFS. controlador, o cualquier sistema de archivos y utilidades de respaldo que no estén actualizados para admitirlo. [86]
NTFS se compone de varios componentes que incluyen: un sector de arranque de partición (PBS) que contiene información de arranque; la tabla de archivos maestra que almacena un registro de todos los archivos y carpetas del sistema de archivos; una serie de metaarchivos que ayudan a estructurar los metadatos de manera más eficiente; flujos de datos y mecanismos de bloqueo.
Internamente, NTFS utiliza árboles B para indexar los datos del sistema de archivos. Se utiliza un diario del sistema de archivos para garantizar la integridad de los metadatos del sistema de archivos, pero no del contenido de los archivos individuales. Se sabe que los sistemas que utilizan NTFS tienen una confiabilidad mejorada en comparación con los sistemas de archivos FAT. [87]
NTFS permite cualquier secuencia de valores de 16 bits para la codificación de nombres (por ejemplo, nombres de archivos, nombres de secuencias o nombres de índices) excepto 0x0000. Esto significa que se admiten unidades de código UTF-16 , pero el sistema de archivos no verifica si una secuencia es UTF-16 válida (permite cualquier secuencia de valores cortos , no restringidos a los del estándar Unicode). En el espacio de nombres Win32, cualquier unidad de código UTF-16 no distingue entre mayúsculas y minúsculas, mientras que en el espacio de nombres POSIX sí lo hace. Los nombres de archivos están limitados a 255 unidades de código UTF-16. Ciertos nombres están reservados en el directorio raíz del volumen y no se pueden utilizar para archivos. Estos son $MFT, $MFTMirr, $LogFile, $Volume, $AttrDef, .(punto), $Bitmap, $Boot, $BadClus, $Secure, $UpCasey $Extend. [5] . (punto) y $Extendambos son directorios; los demás son archivos. El kernel NT limita las rutas completas a 32.767 unidades de código UTF-16. Existen algunas restricciones adicionales sobre puntos de código y nombres de archivos. [88]
Este formato de partición de arranque se basa aproximadamente en el sistema de archivos FAT anterior , pero los campos están en ubicaciones diferentes. Algunos de estos campos, especialmente los campos "sectores por pista", "número de cabezas" y "sectores ocultos" pueden contener valores ficticios en unidades que no tienen sentido o no son determinables.
El sistema operativo primero mira los 8 bytes en 0x30 para encontrar el número de clúster de $MFT, luego multiplica ese número por el número de sectores por clúster (se encuentra 1 byte en 0x0D). Este valor es la compensación del sector ( LBA ) con respecto al $MFT, que se describe a continuación.
En NTFS, todos los datos de archivos, directorios y metarchivos (nombre de archivo, fecha de creación, permisos de acceso (mediante el uso de listas de control de acceso ) y tamaño) se almacenan como metadatos en la tabla maestra de archivos ( MFT ). Este enfoque abstracto permitió agregar fácilmente características del sistema de archivos durante el desarrollo de Windows NT; un ejemplo es la adición de campos para indexación utilizados por Active Directory y Windows Search . Esto también permite que el software de búsqueda rápida de archivos localice archivos y carpetas locales con nombre incluidos en el MFT muy rápidamente, sin necesidad de ningún otro índice.
La estructura MFT admite algoritmos que minimizan la fragmentación del disco . [91] Una entrada de directorio consta de un nombre de archivo y un "ID de archivo" (análogo al número de inodo ), que es el número de registro que representa el archivo en la tabla maestra de archivos. El ID del archivo también contiene un recuento de reutilización para detectar referencias obsoletas. Si bien esto se parece mucho al W_FID de Files-11 , otras estructuras NTFS difieren radicalmente.
Se almacena una copia parcial de la MFT, denominada espejo de MFT, para utilizarla en caso de corrupción. [92] Si el primer registro de MFT está dañado, NTFS lee el segundo registro para encontrar el archivo espejo de MFT. Las ubicaciones de ambos archivos se almacenan en el sector de arranque. [93]
NTFS contiene varios archivos que definen y organizan el sistema de archivos. En todos los aspectos, la mayoría de estos archivos están estructurados como cualquier otro archivo de usuario (siendo el volumen el más peculiar), pero no son de interés directo para los clientes del sistema de archivos. [94] Estos metarchivos definen archivos, realizan copias de seguridad de datos críticos del sistema de archivos, almacenan cambios en el sistema de archivos, administran la asignación de espacio libre, satisfacen las expectativas del BIOS , rastrean las unidades de asignación defectuosas y almacenan información de seguridad y uso del espacio en disco. Todo el contenido se encuentra en un flujo de datos sin nombre, a menos que se indique lo contrario.
Estos metarchivos son tratados especialmente por Windows, manejados directamente por el NTFS.SYScontrolador y son difíciles de ver directamente: se necesitan herramientas especiales diseñadas específicamente. [c] A partir de Windows 7, el controlador NTFS prohíbe completamente el acceso del usuario, lo que genera un BSoD cada vez que se intenta ejecutar un archivo de metadatos. Una de esas herramientas es nfi.exe ("Utilidad de información del sector de archivos NTFS") que se distribuye gratuitamente como parte de las "Herramientas de soporte OEM" de Microsoft. Por ejemplo, para obtener información sobre el segmento de tabla de archivos maestro "$MFT", se usa el siguiente comando: nfi.exe c:\$MFT[95] Otra forma de evitar la restricción es usar el administrador de archivos de 7-Zip e ir al NTFS de bajo nivel. ruta \\.\X:\(donde X:\se parece a cualquier unidad/partición). Aquí aparecerán 3 nuevas carpetas: $EXTEND, [DELETED](una pseudocarpeta que 7-Zip usa para adjuntar archivos eliminados del sistema de archivos para verlos) y [SYSTEM](otra pseudocarpeta que contiene todos los archivos de metadatos NTFS). Este truco se puede utilizar desde dispositivos extraíbles ( unidades flash USB , discos duros externos , tarjetas SD , etc.) dentro de Windows, pero hacerlo en la partición activa requiere acceso sin conexión (es decir, WinRE ).
Para cada archivo (o directorio) descrito en el registro MFT, hay un repositorio lineal de descriptores de flujo (también llamados atributos ), empaquetados en uno o más registros MFT (que contienen la llamada lista de atributos ), con relleno adicional para llenar. el tamaño fijo de 1 KB de cada registro MFT, y que describe completamente las secuencias efectivas asociadas con ese archivo.
Cada atributo tiene un tipo de atributo (un entero de tamaño fijo asignado a una definición de atributo en el archivo $AttrDef ), un nombre de atributo opcional (por ejemplo, usado como nombre para un flujo de datos alternativo) y un valor, representado en una secuencia. de bytes. Para NTFS, los datos estándar de los archivos, los flujos de datos alternativos o los datos de índice de los directorios se almacenan como atributos.
Según $AttrDef , algunos atributos pueden ser residentes o no residentes. El atributo $DATA , que contiene datos de archivos, es un ejemplo de ello. Cuando el atributo es residente (que está representado por una bandera), su valor se almacena directamente en el registro MFT. De lo contrario, se asignan clústeres para los datos y la información de ubicación del clúster se almacena a medida que se ejecutan los datos en el atributo.
Todos los atributos de un archivo determinado se pueden mostrar utilizando nfi.exe ("Utilidad de información del sector de archivos NTFS") que se distribuye gratuitamente como parte de las "Herramientas de soporte OEM" de Microsoft. [95]
Las llamadas al sistema de Windows pueden manejar flujos de datos alternativos. [5] Dependiendo del sistema operativo, la utilidad y el sistema de archivos remoto, una transferencia de archivos podría eliminar silenciosamente los flujos de datos. [5] Una forma segura de copiar o mover archivos es utilizar las llamadas al sistema BackupRead y BackupWrite, que permiten a los programas enumerar secuencias, verificar si cada secuencia debe escribirse en el volumen de destino y omitir conscientemente secuencias no deseadas. [5]
Para optimizar el almacenamiento y reducir la sobrecarga de E/S en el caso muy común de atributos con un valor asociado muy pequeño, NTFS prefiere colocar el valor dentro del propio atributo (si el tamaño del atributo no excede el tamaño máximo de un registro MFT), en lugar de utilizar el espacio de registro MFT para enumerar los grupos que contienen los datos; en ese caso, el atributo no almacenará los datos directamente, sino que simplemente almacenará un mapa de asignación (en forma de ejecuciones de datos ) que apunta a los datos reales almacenados en otra parte del volumen. [96] Cuando se puede acceder al valor directamente desde el atributo, se denomina "datos residentes" (por los trabajadores de informática forense ). La cantidad de datos que caben depende en gran medida de las características del archivo, pero entre 700 y 800 bytes es común en archivos de secuencia única con nombres de archivo no largos y sin ACL.
El mapa de asignación se almacena en forma de ejecuciones de datos con codificación comprimida. Cada ejecución de datos representa un grupo contiguo de clústeres que almacenan el valor del atributo. Para archivos en un volumen de varios GB, cada entrada se puede codificar como de 5 a 7 bytes, lo que significa unUn registro MFT de 1 KB puede almacenar alrededor de 100 ejecuciones de datos de este tipo. Sin embargo, como $ATTRIBUTE_LIST también tiene un límite de tamaño, es peligroso tener más de 1 millón de fragmentos de un solo archivo en un volumen NTFS, lo que también implica que, en general, no es una buena idea utilizar la compresión NTFS en un archivo. mayor que10GB . _ [97]
El controlador del sistema de archivos NTFS a veces intentará reubicar los datos de algunos de los atributos que se pueden convertir en no residentes en los clústeres, y también intentará reubicar los datos almacenados en los clústeres nuevamente en el atributo dentro del registro MFT, según reglas de ordenación preferentes y de prioridad, y restricciones de tamaño.
Dado que los archivos residentes no ocupan clústeres directamente ("unidades de asignación"), es posible que un volumen NTFS contenga más archivos en un volumen que clústeres. Por ejemplo, unFormatos NTFS de partición de 74,5 GB con 19.543.064 clústeres de4KB . Restar archivos del sistema (un(archivo de registro de 64 MB , un archivo de mapa de bits de 2.442.888 bytes y alrededor de 25 grupos de sobrecarga fija) deja 19.526.158 grupos libres para archivos e índices. Dado que hay cuatro registros MFT por grupo, en teoría este volumen podría contener casi 4 × 19.526.158 = 78.104.632 archivos residentes.
Los bloqueos de archivos oportunistas (oplocks) permiten a los clientes alterar su estrategia de almacenamiento en búfer para un archivo o flujo determinado para aumentar el rendimiento y reducir el uso de la red. [98] Los bloqueos de operación se aplican a la secuencia abierta dada de un archivo y no afectan a los bloqueos de operación en una secuencia diferente.
Los oplocks se pueden utilizar para acceder de forma transparente a archivos en segundo plano. Un cliente de red puede evitar escribir información en un archivo en un servidor remoto si ningún otro proceso accede a los datos, o puede almacenar datos de lectura anticipada en un buffer si ningún otro proceso está escribiendo datos.
Windows admite cuatro tipos diferentes de bloqueos de operaciones:
Los bloqueos oportunistas se han mejorado en Windows 7 y Windows Server 2008 R2 con claves de bloqueo de operación por cliente. [99]
Windows NT y sus descendientes mantienen marcas de tiempo internas como UTC y realizan las conversiones apropiadas para fines de visualización; Todas las marcas de tiempo NTFS están en UTC. [ cita necesaria ]
Por razones históricas, todas las versiones de Windows que no admiten NTFS mantienen la hora internamente como hora de zona local y, por lo tanto, también lo hacen todos los sistemas de archivos (excepto NTFS) que son compatibles con las versiones actuales de Windows. Esto significa que cuando los archivos se copian o mueven entre particiones NTFS y no NTFS, el sistema operativo necesita convertir marcas de tiempo sobre la marcha. Pero si algunos archivos se mueven cuando está vigente el horario de verano (DST) y otros archivos se mueven cuando está vigente el horario estándar , puede haber algunas ambigüedades en las conversiones. Como resultado, especialmente poco después de uno de los días en los que cambia la hora de la zona local, los usuarios pueden observar que algunos archivos tienen marcas de tiempo incorrectas en una hora. Debido a las diferencias en la implementación del horario de verano en diferentes jurisdicciones, esto puede resultar en un posible error de marca de tiempo de hasta 4 horas en cualquier 12 meses. [100]
dircomando de línea de comando enumeraría los metarchivos en el directorio raíz si /ase especificaran. En Windows 2000 dir /adejó de funcionar, pero dir /a \$MFTfuncionó.NTFS utiliza un tamaño de clúster predeterminado de 4 KB, un tamaño máximo de clúster de 64 KB en el sistema operativo Windows 10 v1703 y Windows Server 2016 y anteriores, y 2 MB en el sistema operativo Windows 10 v1709 y Windows Server 2019 y posteriores, y un clúster mínimo tamaño de 512 bytes.
Un componente de Windows que utiliza múltiples flujos de datos es el Servicio de ejecución de archivos adjuntos[...] dependiendo de la zona desde la que se descargó el archivo [...] El Explorador de Windows puede advertir al usuario
Utilidad de información del sector de archivos del sistema de archivos Windows NT (NTFS)... Una herramienta utilizada para volcar información sobre un volumen NTFS