En informática , la recuperación de datos es un proceso de recuperación de datos eliminados, inaccesibles, perdidos, corruptos, dañados o formateados de un almacenamiento secundario , medios extraíbles o archivos , cuando no se puede acceder a los datos almacenados en ellos de la forma habitual. [1] Los datos se recuperan con mayor frecuencia de medios de almacenamiento como unidades de disco duro internas o externas (HDD), unidades de estado sólido (SSD), unidades flash USB , cintas magnéticas , CD , DVD , subsistemas RAID y otros dispositivos electrónicos . La recuperación puede ser necesaria debido a daños físicos en los dispositivos de almacenamiento o daños lógicos en el sistema de archivos que impiden que el sistema operativo (OS) host lo monte . [2]
Los fallos lógicos se producen cuando los dispositivos de disco duro funcionan pero el usuario o el sistema operativo automatizado no pueden recuperar ni acceder a los datos almacenados en ellos. Los fallos lógicos pueden ocurrir debido a la corrupción del chip de ingeniería, particiones perdidas, fallos del firmware o fallos durante el formateo o la reinstalación. [3] [4]
La recuperación de datos puede ser un desafío muy sencillo o técnico, por lo que existen empresas de software especializadas en este campo. [5]
Los escenarios de recuperación de datos más comunes involucran una falla del sistema operativo, mal funcionamiento de un dispositivo de almacenamiento, falla lógica de los dispositivos de almacenamiento, daño o eliminación accidental, etc. (típicamente, en un sistema de una sola unidad, una sola partición , un solo SO), en cuyo caso el objetivo final es simplemente copiar todos los archivos importantes del medio dañado a otra unidad nueva. Esto se puede lograr usando un Live CD o DVD al iniciar directamente desde una ROM o una unidad USB en lugar de la unidad dañada en cuestión. Muchos Live CD o DVD proporcionan un medio para montar la unidad del sistema y las unidades de respaldo o medios extraíbles, y para mover los archivos de la unidad del sistema al medio de respaldo con un administrador de archivos o software de creación de discos ópticos . Estos casos a menudo se pueden mitigar mediante la partición del disco y el almacenamiento constante de archivos de datos valiosos (o copias de ellos) en una partición diferente de los archivos del sistema operativo reemplazables.
Otro escenario implica una falla a nivel de unidad, como un sistema de archivos o una partición de unidad comprometidos, o una falla de la unidad de disco duro . En cualquiera de estos casos, los datos no se pueden leer fácilmente desde los dispositivos de medios. Dependiendo de la situación, las soluciones incluyen la reparación del sistema de archivos lógico, la tabla de particiones o el registro de arranque maestro , o la actualización del firmware o técnicas de recuperación de la unidad que van desde la recuperación basada en software de datos dañados, hasta la recuperación basada en hardware y software de áreas de servicio dañadas (también conocidas como el "firmware" de la unidad de disco duro), hasta el reemplazo de hardware en una unidad dañada físicamente que permite la extracción de datos a una nueva unidad. Si es necesaria una recuperación de la unidad, la unidad en sí suele fallar de forma permanente y el enfoque se centra más bien en una recuperación única, recuperando todos los datos que se puedan leer.
En un tercer escenario, los usuarios han " borrado " accidentalmente archivos de un medio de almacenamiento. Normalmente, el contenido de los archivos borrados no se elimina inmediatamente de la unidad física; en su lugar, se eliminan las referencias a ellos en la estructura de directorios y, a partir de entonces, el espacio que ocupan los datos borrados queda disponible para su posterior sobrescritura. En la mente de los usuarios finales , los archivos borrados no se pueden descubrir a través de un administrador de archivos estándar, pero los datos borrados todavía existen técnicamente en la unidad física. Mientras tanto, el contenido del archivo original permanece, a menudo varios fragmentos desconectados , y puede recuperarse si no se sobrescribe con otros archivos de datos.
El término "recuperación de datos" también se utiliza en el contexto de aplicaciones forenses o de espionaje , donde se recuperan datos que han sido cifrados , ocultos o eliminados, en lugar de dañados. A veces, los datos presentes en el ordenador se cifran u ocultan debido a razones como ataques de virus que solo pueden ser recuperados por algunos expertos forenses informáticos.
Una amplia variedad de fallas pueden causar daños físicos a los medios de almacenamiento, que pueden ser resultado de errores humanos y desastres naturales. Los CD-ROM pueden tener su sustrato metálico o capa de tinte rayada; los discos duros pueden sufrir una multitud de fallas mecánicas, como choques de cabezales , fallas de PCB y fallas de motores; las cintas pueden simplemente romperse.
Los daños físicos en un disco duro, incluso en los casos en que se ha producido un fallo en el cabezal, no implican necesariamente una pérdida permanente de datos. Las técnicas empleadas por muchas empresas profesionales de recuperación de datos suelen permitir recuperar la mayoría, si no todos, los datos que se habían perdido cuando se produjo el fallo.
Por supuesto, existen excepciones, como los casos en los que se han producido daños graves en los platos del disco duro . Sin embargo, si se puede reparar el disco duro y crear una imagen completa o un clon, en la mayoría de los casos se puede reconstruir la estructura lógica de los archivos.
La mayoría de los daños físicos no pueden ser reparados por los usuarios finales. Por ejemplo, abrir una unidad de disco duro en un entorno normal puede permitir que el polvo del aire se asiente en el plato y quede atrapado entre el plato y el cabezal de lectura/escritura . Durante el funcionamiento normal, los cabezales de lectura/escritura flotan de 3 a 6 nanómetros por encima de la superficie del plato, y las partículas de polvo promedio que se encuentran en un entorno normal suelen tener alrededor de 30.000 nanómetros de diámetro. [6] Cuando estas partículas de polvo quedan atrapadas entre los cabezales de lectura/escritura y el plato, pueden provocar nuevas colisiones del cabezal que dañan aún más el plato y, por lo tanto, comprometen el proceso de recuperación. Además, los usuarios finales generalmente no tienen el hardware o la experiencia técnica necesarios para realizar estas reparaciones. En consecuencia, a menudo se contratan empresas de recuperación de datos para recuperar datos importantes, y las más reputadas utilizan salas blancas libres de polvo y estática de clase 100. [7 ]
La recuperación de datos de hardware dañado físicamente puede implicar varias técnicas. Algunos daños se pueden reparar reemplazando partes del disco duro. Esto por sí solo puede hacer que el disco sea utilizable, pero aún puede haber daños lógicos. Se utiliza un procedimiento especializado de creación de imágenes de disco para recuperar cada bit legible de la superficie. Una vez que se obtiene esta imagen y se guarda en un medio confiable, se puede analizar de manera segura para detectar daños lógicos y posiblemente permita reconstruir gran parte del sistema de archivos original.
Un error muy común es creer que una placa de circuito impreso (PCB) dañada puede ser reemplazada simplemente durante los procedimientos de recuperación por una PCB idéntica de una unidad en buen estado. Si bien esto puede funcionar en circunstancias excepcionales en unidades de disco duro fabricadas antes de 2003, no funcionará en unidades más nuevas. Las placas electrónicas de las unidades modernas suelen contener datos de adaptación específicos de la unidad (generalmente un mapa de sectores defectuosos y parámetros de ajuste) y otra información necesaria para acceder correctamente a los datos de la unidad. Las placas de reemplazo a menudo necesitan esta información para recuperar eficazmente todos los datos. Es posible que sea necesario reprogramar la placa de reemplazo. Algunos fabricantes (Seagate, por ejemplo) almacenan esta información en un chip EEPROM en serie , que se puede quitar y transferir a la placa de reemplazo. [8] [9]
Cada unidad de disco duro tiene lo que se llama un área del sistema o área de servicio ; esta parte de la unidad, a la que no tiene acceso directo el usuario final, generalmente contiene el firmware de la unidad y datos adaptativos que ayudan a que la unidad funcione dentro de los parámetros normales. [10] Una función del área del sistema es registrar los sectores defectuosos dentro de la unidad; esencialmente, le dice a la unidad dónde puede y dónde no puede escribir datos.
Las listas de sectores también se almacenan en varios chips conectados a la PCB y son exclusivas de cada unidad de disco duro. Si los datos de la PCB no coinciden con los almacenados en el plato, la unidad no se calibrará correctamente. [11] En la mayoría de los casos, los cabezales de la unidad harán clic porque no pueden encontrar los datos que coinciden con los almacenados en la PCB.
El término "daño lógico" se refiere a situaciones en las que el error no es un problema de hardware y requiere soluciones a nivel de software.
En algunos casos, los datos de un disco duro pueden resultar ilegibles debido a daños en la tabla de particiones o el sistema de archivos , o a errores (intermitentes) en los medios. En la mayoría de estos casos, al menos una parte de los datos originales se puede recuperar reparando la tabla de particiones o el sistema de archivos dañados con un software de recuperación de datos especializado, como Testdisk ; un software como ddrescue puede crear imágenes de los medios a pesar de los errores intermitentes y crear imágenes de los datos sin procesar cuando hay daños en la tabla de particiones o el sistema de archivos. Este tipo de recuperación de datos puede ser realizada por personas sin experiencia en hardware de unidades, ya que no requiere equipo físico especial ni acceso a los platos.
En ocasiones, los datos se pueden recuperar utilizando métodos y herramientas relativamente simples; [12] los casos más graves pueden requerir la intervención de un experto, en particular si partes de los archivos son irrecuperables. La extracción de datos es la recuperación de partes de archivos dañados utilizando el conocimiento de su estructura.
Una vez que se han sobrescrito físicamente los datos en una unidad de disco duro, generalmente se supone que ya no es posible recuperar los datos anteriores. En 1996, Peter Gutmann , un científico informático, presentó un artículo que sugería que los datos sobrescritos se podían recuperar mediante el uso de microscopía de fuerza magnética . [13] En 2001, presentó otro artículo sobre un tema similar. [14] Para protegerse contra este tipo de recuperación de datos, Gutmann y Colin Plumb diseñaron un método de limpieza irreversible de datos, conocido como el método Gutmann y utilizado por varios paquetes de software de limpieza de discos.
Ha habido muchas críticas, principalmente sobre la falta de ejemplos concretos de recuperación de cantidades significativas de datos sobrescritos. [15] El artículo de Gutmann contiene una serie de errores e imprecisiones, en particular en lo que respecta a la información sobre cómo se codifican y procesan los datos en los discos duros. [16] Aunque la teoría de Gutmann puede ser correcta, no hay evidencia práctica de que los datos sobrescritos se puedan recuperar, mientras que la investigación ha demostrado que los datos sobrescritos no se pueden recuperar. [ especificar ] [17] [18] [19]
Las unidades de estado sólido (SSD) sobrescriben los datos de forma diferente a las unidades de disco duro (HDD), lo que hace que al menos una parte de sus datos sea más fácil de recuperar. La mayoría de las unidades SSD utilizan memoria flash para almacenar datos en páginas y bloques, a los que se hace referencia mediante direcciones de bloque lógico (LBA) que son administradas por la capa de traducción flash (FTL). Cuando la FTL modifica un sector, escribe los datos nuevos en otra ubicación y actualiza el mapa para que los nuevos datos aparezcan en la LBA de destino. Esto deja los datos previos a la modificación en su lugar, posiblemente con muchas generaciones, y recuperables mediante un software de recuperación de datos.
A veces, los datos presentes en las unidades físicas (disco duro interno o externo, memoria USB , etc.) se pierden, se eliminan o se formatean debido a circunstancias como ataques de virus, eliminación accidental o uso accidental de SHIFT+DELETE. En estos casos, se utiliza un software de recuperación de datos para recuperar o restaurar los archivos de datos.
En la lista de fallos lógicos de los discos duros, un sector defectuoso es el fallo más común que hace que los datos no se puedan leer. A veces es posible evitar la detección de errores incluso en el software y, tal vez, con lecturas repetidas y análisis estadísticos, recuperar al menos algunos de los datos almacenados subyacentes. A veces, el conocimiento previo de los datos almacenados y los códigos de detección y corrección de errores se pueden utilizar para recuperar incluso datos erróneos. Sin embargo, si la unidad física subyacente se degrada lo suficiente, al menos se debe reemplazar el hardware que rodea los datos, o incluso puede ser necesario aplicar técnicas de laboratorio al medio de grabación físico. Cada uno de los enfoques es progresivamente más costoso y, como tal, cada vez menos buscado.
Al final, si el medio de almacenamiento físico final ha sido realmente alterado lo suficiente, no será posible recuperarlo por ningún medio; la información se habrá perdido irreversiblemente.
Los expertos en recuperación no siempre necesitan tener acceso físico al hardware dañado. Cuando los datos perdidos se pueden recuperar mediante técnicas de software, a menudo pueden realizar la recuperación utilizando software de acceso remoto a través de Internet, LAN u otra conexión a la ubicación física del medio dañado. El proceso no es esencialmente diferente de lo que el usuario final podría realizar por sí mismo. [20]
La recuperación remota requiere una conexión estable con un ancho de banda adecuado. Sin embargo, no es aplicable cuando se requiere acceso al hardware, como en casos de daños físicos.
Por lo general, hay cuatro fases cuando se trata de una recuperación de datos exitosa, aunque eso puede variar dependiendo del tipo de corrupción de datos y la recuperación requerida. [21]
El sistema operativo Windows se puede reinstalar en un ordenador que ya tenga licencia para ello. La reinstalación se puede realizar descargando el sistema operativo o utilizando un "disco de restauración" proporcionado por el fabricante del ordenador. Eric Lundgren fue multado y sentenciado a prisión federal en Estados Unidos en abril de 2018 por producir 28.000 discos de restauración y pretender distribuirlos por unos 25 centavos cada uno como una conveniencia para los talleres de reparación de ordenadores. [22]
La recuperación de datos no siempre se puede realizar en un sistema en funcionamiento. Como resultado, un disco de arranque , un Live CD , un Live USB o cualquier otro tipo de distribución en vivo contiene un sistema operativo mínimo.
