Recuperación de datos

En informática , la recuperación de datos es un proceso para recuperar datos borrados, inaccesibles, perdidos, corruptos, dañados o sobrescritos de almacenamiento secundario , medios extraíbles o archivos , cuando no se puede acceder a los datos almacenados en ellos de la forma habitual. ^{[ 1 ]} Los datos se recuperan con mayor frecuencia de medios de almacenamiento como discos duros internos o externos (HDD), unidades de estado sólido (SSD), unidades flash USB , cintas magnéticas , CD , DVD , subsistemas RAID y otros dispositivos electrónicos . La recuperación puede ser necesaria debido a daños físicos en los dispositivos de almacenamiento o daños lógicos en el sistema de archivos que impiden que el sistema operativo (SO) del host los monte . ^{[ 1 ]}

Se producen fallos lógicos cuando los dispositivos de disco duro funcionan correctamente, pero el usuario o el sistema operativo automatizado no pueden recuperar ni acceder a los datos almacenados en ellos. Estos fallos pueden deberse a la corrupción del chip de ingeniería, la pérdida de particiones, fallos en el firmware o fallos durante el formateo o la reinstalación. ^{[ 2 ] [ 3 ]}

La recuperación de datos puede ser un desafío muy simple o técnico. Por eso existen empresas de software especializadas en este campo que ayudan a recuperar los datos de su sistema. ^{[ 4 ]}

Los escenarios más comunes de recuperación de datos incluyen fallos del sistema operativo, mal funcionamiento de un dispositivo de almacenamiento, fallos lógicos de los dispositivos de almacenamiento, daños o eliminación accidental, etc. (normalmente, en un sistema con una sola unidad, una sola partición y un solo sistema operativo). En estos casos, el objetivo final es simplemente copiar todos los archivos importantes del medio dañado a una nueva unidad. Esto se puede lograr utilizando un Live CD o DVD, arrancando directamente desde una ROM o una unidad USB en lugar de la unidad dañada. Muchos Live CD o DVD permiten montar la unidad del sistema y las unidades de copia de seguridad o medios extraíbles, y transferir los archivos de la unidad del sistema a los medios de copia de seguridad con un gestor de archivos o un software de creación de discos ópticos . Estos casos suelen mitigarse mediante el particionamiento del disco y el almacenamiento constante de archivos de datos importantes (o copias de los mismos) en una partición diferente a la de los archivos del sistema operativo reemplazables.

Otro escenario implica una falla a nivel de unidad, como un sistema de archivos o partición de unidad comprometidos, o una falla del disco duro . En cualquiera de estos casos, los datos no se pueden leer fácilmente desde los dispositivos de almacenamiento. Dependiendo de la situación, las soluciones incluyen la reparación del sistema de archivos lógico, la tabla de particiones o el registro de arranque maestro , o la actualización del firmware o técnicas de recuperación de la unidad que van desde la recuperación basada en software de datos corruptos, hasta la recuperación basada en hardware y software de áreas de servicio dañadas (también conocidas como el "firmware" del disco duro), o el reemplazo de hardware en una unidad físicamente dañada que permite la extracción de datos a una nueva unidad. Si es necesaria una recuperación de la unidad, generalmente la unidad en sí ha fallado de forma permanente, y el enfoque se centra en una recuperación única, salvando los datos que se puedan leer.

En un tercer escenario, los usuarios han borrado accidentalmente archivos de un medio de almacenamiento. Normalmente, el contenido de los archivos borrados no se elimina inmediatamente del disco físico; en su lugar, se eliminan las referencias a ellos en la estructura de directorios y, posteriormente, el espacio que ocupaban los datos borrados queda disponible para su posterior sobrescritura. Para los usuarios finales , los archivos borrados no se pueden encontrar mediante un administrador de archivos estándar, pero técnicamente los datos borrados aún existen en el disco físico. Mientras tanto, el contenido original del archivo permanece, a menudo en varios fragmentos inconexos , y puede recuperarse si no ha sido sobrescrito por otros archivos de datos.

El término "recuperación de datos" también se utiliza en el contexto de aplicaciones forenses o de espionaje , donde se recuperan datos que han sido cifrados , ocultos o eliminados, en lugar de dañados. En ocasiones, los datos presentes en el ordenador se cifran u ocultan debido a causas como ataques de virus, y solo pueden ser recuperados por expertos en informática forense.

Diversas fallas pueden causar daños físicos a los soportes de almacenamiento, como errores humanos o desastres naturales. Los CD-ROM pueden sufrir rayones en su sustrato metálico o capa de tinta; los discos duros pueden presentar múltiples fallas mecánicas, como roturas de cabezales , fallas en la placa de circuito impreso y fallas en los motores; las cintas simplemente pueden romperse.

Los daños físicos a un disco duro, incluso en casos de fallo del cabezal, no implican necesariamente la pérdida permanente de datos. Sin embargo, en casos extremos, como la exposición prolongada a la humedad y la corrosión —como el disco duro de Bitcoin perdido de James Howells, enterrado en el vertedero de Newport durante más de una década— la recuperación suele ser imposible. En raras ocasiones, se han explorado técnicas forenses como la microscopía de fuerza magnética (MFM) para detectar rastros magnéticos residuales cuando los datos tienen un valor excepcional. ^{[ 5 ]} Otras técnicas empleadas por muchas empresas profesionales de recuperación de datos suelen poder recuperar la mayor parte, si no la totalidad, de los datos que se perdieron cuando se produjo el fallo.

Por supuesto, existen excepciones, como los casos en los que se hayan producido daños graves en los platos del disco duro . Sin embargo, si el disco duro se puede reparar y se puede crear una imagen completa o un clon, en la mayoría de los casos se puede reconstruir la estructura lógica de archivos.

La mayoría de los daños físicos no pueden ser reparados por los usuarios finales. Por ejemplo, abrir un disco duro en un entorno normal puede permitir que el polvo en suspensión se deposite en el plato y quede atrapado entre este y el cabezal de lectura/escritura . Durante el funcionamiento normal, los cabezales de lectura/escritura flotan entre 3 y 6 nanómetros por encima de la superficie del plato, y las partículas de polvo promedio que se encuentran en un entorno normal suelen tener un diámetro de alrededor de 30 000 nanómetros. ^{[ 6 ]} Cuando estas partículas de polvo quedan atrapadas entre los cabezales de lectura/escritura y el plato, pueden provocar nuevos fallos en los cabezales que dañan aún más el plato y, por lo tanto, comprometen el proceso de recuperación. Además, los usuarios finales generalmente no cuentan con el hardware ni los conocimientos técnicos necesarios para realizar estas reparaciones. En consecuencia, a menudo se recurre a empresas de recuperación de datos para rescatar datos importantes, y las más reputadas utilizan salas limpias de clase 100, libres de polvo y estática . ^{[ 7 ]}  

Técnicas de recuperación

La recuperación de datos de hardware dañado físicamente puede requerir diversas técnicas. Algunos daños se pueden reparar reemplazando componentes del disco duro. Esto por sí solo puede hacer que el disco sea utilizable, pero aún podría haber daños lógicos. Se utiliza un procedimiento especializado de creación de imágenes de disco para recuperar cada bit legible de la superficie. Una vez que se obtiene esta imagen y se guarda en un medio fiable, se puede analizar de forma segura para detectar daños lógicos y, posiblemente, permitirá reconstruir gran parte del sistema de archivos original.

Reparación de hardware

Una idea errónea común es que una placa de circuito impreso (PCB) dañada se puede reemplazar fácilmente durante los procedimientos de recuperación por una PCB idéntica de una unidad en buen estado. Si bien esto puede funcionar en raras ocasiones en discos duros fabricados antes de 2003, no funcionará en unidades más recientes. Las placas electrónicas de las unidades modernas suelen contener datos de adaptación específicos de la unidad (generalmente un mapa de sectores defectuosos y parámetros de ajuste) y otra información necesaria para acceder correctamente a los datos de la unidad. Las placas de reemplazo a menudo necesitan esta información para recuperar eficazmente todos los datos. Es posible que la placa de reemplazo deba reprogramarse. Algunos fabricantes (Seagate, por ejemplo) almacenan esta información en un chip EEPROM serial , que se puede extraer y transferir a la placa de reemplazo. ^{[ 8 ] [ 9 ]}

Cada disco duro tiene lo que se denomina un área de sistema o área de servicio ; esta parte del disco, que no es directamente accesible para el usuario final, generalmente contiene el firmware del disco y datos adaptativos que ayudan al disco a operar dentro de los parámetros normales. ^{[ 10 ]} Una función del área de sistema es registrar los sectores defectuosos dentro del disco; esencialmente le indica al disco dónde puede y no puede escribir datos.

Las listas de sectores también se almacenan en varios chips conectados a la placa de circuito impreso (PCB), y son únicas para cada disco duro. Si los datos de la PCB no coinciden con los almacenados en el plato, la unidad no se calibrará correctamente. ^{[ 11 ]} En la mayoría de los casos, los cabezales de lectura/escritura emitirán un clic porque no pueden encontrar los datos que coinciden con los almacenados en la PCB.

El término "daño lógico" se refiere a situaciones en las que el error no es un problema del hardware y requiere soluciones a nivel de software.

Los expertos en recuperación no siempre necesitan tener acceso físico al hardware dañado. Cuando los datos perdidos se pueden recuperar mediante técnicas de software, a menudo pueden realizar la recuperación utilizando software de acceso remoto a través de Internet, LAN u otra conexión a la ubicación física del medio dañado. El proceso es esencialmente el mismo que el que podría realizar el usuario final por sí mismo. ^{[ 20 ]}

La recuperación remota requiere una conexión estable con un ancho de banda adecuado. Sin embargo, no es aplicable cuando se requiere acceso al hardware, como en casos de daños físicos.

Por lo general, existen cuatro fases en lo que respecta a la recuperación exitosa de datos, aunque esto puede variar según el tipo de corrupción de datos y la recuperación requerida. ^{[ 21 ]}

Fase 1

Reparar el disco duro

El disco duro se repara para que funcione, al menos parcialmente, o para que pueda leer los datos. Por ejemplo, si los cabezales están dañados, deben cambiarse; si la placa de circuito impreso (PCB) está defectuosa, debe repararse o reemplazarse; si el motor del eje está averiado, los platos y los cabezales deben trasladarse a un nuevo disco.

Fase 2

Cree una imagen de la unidad en una nueva unidad o en un archivo de imagen de disco.

Cuando falla un disco duro, recuperar los datos es la máxima prioridad. Cuanto más tiempo se utilice un disco defectuoso, mayor será la probabilidad de que se produzca una mayor pérdida de datos. Crear una imagen del disco garantiza que exista una copia de seguridad de los datos en otro dispositivo, donde se pueden realizar pruebas y procedimientos de recuperación sin dañar el original.

Fase 3

Recuperación lógica de archivos, particiones, MBR y estructuras del sistema de archivos.

Una vez clonada la unidad a una nueva, es conveniente intentar recuperar los datos perdidos. Si la unidad ha fallado lógicamente, existen diversas razones para ello. Mediante la clonación, es posible reparar la tabla de particiones o el registro de arranque maestro (MBR) para leer la estructura de datos del sistema de archivos y recuperar los datos almacenados.

Fase 4

Reparar los archivos dañados que se recuperaron.

Los datos pueden dañarse, por ejemplo, cuando se escribe un archivo en un sector dañado del disco duro. Esta es la causa más común de fallos en el disco, lo que implica que los datos deben reconstruirse para poder leerse. Los documentos dañados pueden recuperarse mediante diversos programas informáticos o reconstruyéndolos manualmente con un editor hexadecimal.

El sistema operativo Windows se puede reinstalar en un ordenador que ya tenga licencia para él. La reinstalación se puede realizar descargando el sistema operativo o utilizando un disco de restauración proporcionado por el fabricante del ordenador. Eric Lundgren fue multado y condenado a prisión federal en Estados Unidos en abril de 2018 por producir 28 000 discos de restauración con la intención de distribuirlos a unos 25 céntimos cada uno para facilitar el trabajo a los talleres de reparación de ordenadores. ^{[ 22 ]}

• Tanenbaum, A. y Woodhull, AS (1997). Sistemas operativos: diseño e implementación, 2.ª ed. Nueva York: Prentice Hall.