Recuperación

Graphical user environments often take a different approach to undeletion, instead using a "holding area" for files to be deleted. Undesired files are moved to this holding area, and all of the files in the holding area are deleted periodically or when a user requests it. This approach is used by the Trash can in Macintosh operating systems and by the recycle bin in Microsoft Windows. This is a natural continuation of the approach taken by earlier systems, such as the limbo group used by LocoScript.^[12] This approach is not subject to the risk that other files being written to the filesystem will disrupt a deleted file very quickly; permanent deletion will happen on a predictable schedule or with manual intervention only.

Another approach is offered by programs such as Norton GoBack (formerly Roxio GoBack): a portion of the hard disk space is set aside for file modification operations to be recorded in such a way that they may later be undone. This process is usually much safer in aiding recovery of deleted files than the undeletion operation as described below.

Similarly, file systems that support "snapshots" (like ZFS or btrfs), can be used to make snapshots of the whole file system at regular intervals (e.g. every hour), thus allowing recovery of files from an earlier snapshot.

Cuando se elimina un archivo en un sistema de archivos FAT , la entrada del directorio permanece prácticamente inalterada, salvo el primer carácter del nombre del archivo, conservando la mayor parte del nombre, la fecha y hora de eliminación, la longitud del archivo y, sobre todo, su ubicación física en el disco. Sin embargo, la lista de clústeres de disco que ocupa el archivo se borra de la Tabla de Asignación de Archivos , dejando esos sectores disponibles para otros archivos que se creen o modifiquen posteriormente. En el caso de FAT32, también se borra el campo responsable de los 16 bits superiores del valor del clúster de inicio del archivo.

Cuando se intenta realizar una operación de recuperación, se deben cumplir las siguientes condiciones para una recuperación exitosa del archivo:

• La entrada del archivo eliminado debe seguir existiendo en el directorio, es decir, no debe haber sido sobrescrita por un nuevo archivo (o carpeta) creado en el mismo directorio. Para comprobar si esto ocurre, basta con verificar si el nombre restante del archivo que se desea recuperar aún está presente en el directorio.
• Los clústeres que antes utilizaba el archivo eliminado no deben haber sido sobrescritos por otros archivos. Esto se puede verificar fácilmente comprobando que los clústeres no estén marcados como utilizados en la Tabla de Asignación de Archivos . Sin embargo, si, mientras tanto, se ha escrito un nuevo archivo en el disco utilizando esos sectores y luego se ha eliminado, liberando nuevamente esos sectores, el programa de recuperación no puede detectarlo automáticamente. En este caso, una operación de recuperación, aunque parezca exitosa, podría fallar porque el archivo recuperado contiene datos diferentes.
• En los dispositivos FAT32 , los 16 bits inferiores de la dirección física se conservan normalmente en la entrada del directorio, pero los bits superiores se ponen a cero. Muchos programas de recuperación ignoran este hecho y no logran recuperar los datos correctamente.

Las probabilidades de recuperar archivos eliminados suelen ser mayores en volúmenes FAT12 y FAT16 en comparación con los volúmenes FAT32, debido a los tamaños de clúster generalmente más grandes que utilizan los primeros sistemas y a la pérdida de los 16 bits superiores de la dirección lógica del clúster en FAT32.

Si el programa de recuperación no detecta indicios claros de que no se cumplen los requisitos anteriores, restaurará la entrada del directorio como en uso y marcará todos los clústeres consecutivos, comenzando por el que figuraba en la entrada del directorio anterior, como utilizados en la Tabla de Asignación de Archivos . A continuación, el usuario deberá abrir el archivo recuperado y verificar que contiene todos los datos del archivo previamente eliminado.

Por lo tanto, la recuperación de archivos fragmentados (después del primer fragmento) no suele ser posible mediante procesos automáticos, sino únicamente mediante el análisis manual de cada bloque (no utilizado) del disco. Esto requiere un conocimiento detallado del sistema de archivos, así como del formato binario del tipo de archivo que se desea recuperar, por lo que solo lo realizan especialistas en recuperación o profesionales forenses.

NTFS almacena la información de los archivos como un conjunto de registros de tamaño fijo (normalmente, 1 KB) en la denominada Tabla Maestra de Archivos (MFT). El nombre del archivo y la información de asignación de archivos se encapsulan en estos registros, proporcionando información completa sobre cada archivo específico. Cuando el sistema elimina un archivo, la entrada en la Tabla Maestra de Archivos se libera para ser desvinculada o reutilizada, pero permanece en el disco. Hasta que la entrada de la MFT se reutilice o se sobrescriba, el archivo se puede recuperar fácilmente: el software de recuperación de datos puede encontrar la entrada de la MFT "perdida" y obtener a partir de ella toda la información sobre el archivo perdido.

Sin embargo, tenga en cuenta que cuando la función TRIM de la SSD está activada, el contenido de los archivos puede borrarse poco después de su eliminación para reutilizar las celdas de memoria de la SSD. Esto imposibilita la recuperación del contenido de los archivos (solo se conservarán en el disco el nombre, la fecha y el tamaño del archivo).