Sistemas de archivos de macOS: posibilidades de recuperar datos
Las posibilidades de recuperar los archivos que se han perdido se ven afectadas principalmente por el tipo de sistema de archivos utilizado en el almacenamiento en el momento de la eliminación o el formateo. Esto se debe a que sus mecanismos determinan qué parte de información sobre los ficheros permanecerá en el medio y estará a disposición del software de recuperación de datos. Por lo tanto, al tener una comprensión básica de cómo cada sistema de archivos en particular realiza estas operaciones, se puede predecir adecuadamente el grado de éxito del procedimiento de recuperación.
Las computadoras Apple que funcionan en macOS han usado el sistema de ficheros HFS+ durante muchos años. También se conoce como Mac OS Extended. Este sistema de archivos se puede encontrar en macOS 10.12 Sierra o anterior. Sin embargo, una vez introducido, el sistema de archivos APFS más avanzado se convirtió en la opción predeterminada para los modelos más nuevos de Mac, desde macOS 10.13 High Sierra.
HFS+
HFS+ organiza la ubicación de datos con un conjunto de archivos especiales. Pero no se presentan en la forma que estamos acostumbrados a ver. En su lugar, se organizan como estructuras de árbol, los llamados árboles B. El concepto de árboles puede parecer bastante confuso, pero al menos debe estar familiarizado con él para saber cómo funcionan la mayoría de los sistemas de archivos modernos. Lo principal a tener en cuenta es que los árboles no almacenan información de forma secuencial. La organizan en múltiples niveles que están vinculados entre sí con algún tipo de relación.
Cualquier partición formateada en HFS+ se divide en fragmentos del mismo tamaño que se llaman bloques de asignación. El estado de cada bloque de asignación se anota en el Archivo de asignación. Dicho archivo sirve como un mapa del espacio disponible para todo el sistema de archivos.
Los bloques de asignación se asignan a archivos en secuencias continuas que se llaman extents. Cada extent se caracteriza por la ubicación de su bloque inicial y el número de bloques siguientes. Los extents son elementos importantes que se encuentran con frecuencia en diferentes tipos de sistemas de archivos modernos.
El Archivo de catálogo es una estructura de árbol principal en HFS+. Establece relaciones entre todos los archivos y directorios, almacena sus propiedades básicas, incluidos los nombres y las ubicaciones de hasta ocho primeros extents. Los extens adicionales, si están presentes, se almacenan en el Archivo de desbordamiento (Extents Overflow File).
Antes de aplicar cualquier cambio en los archivos de servicio, HFS+ primero lo registra en el archivo separado conocido como Journal (Registro de diario). Y solo después de eso aplica los cambios reales. Con todo, el tamaño del Journal es fijo, por lo que el contenido anterior se sobrescribe sistemáticamente con la información sobre las modificaciones más recientes.
Procedimiento: HFS+ de inmediato modifica el Archivo de catálogo, borrando la información sobre el nombre y el extent del archivo. El Archivo de asignación se actualiza para reflejar que los bloques de asignación correspondientes ahora están libres. A pesar de eso, los extents en sí permanecen almacenados en algún lugar en el almacenamiento. Además, los registros relacionados con estas actualizaciones se mantienen en el Journal por algún tiempo.
Recuperación: El Journal puede contener una copia de las estructuras del Archivo de catálogo que describen el archivo eliminado. Las posibilidades de recuperar datos dependen de lo activo se haya utilizado el sistema operativo después de la eliminación. Si esta información se ha sobrescrito ya, pero los extents aún existen, hay otra forma de recuperar archivos. Aún así, en este caso, el software de recuperación de datos tiene que omitir el sistema de archivos y analizar el almacenamiento a un nivel más profundo, y encontrar y reconstruir el archivo basándose en las peculiaridades conocidas de su formato. Este método también se llama recuperación por datos RAW. Su principal debilidad es que el archivo se recupera sin su nombre inicial y fuera de su directorio original. Asimismo, este método brinda resultados buenos solo en caso de que HFS+ haya almacenado el contenido del archivo en extents adyacentes.
Procedimiento: El Archivo de catálogo se restablece, por lo que se pierde la información sobre los archivos anteriores. Al mismo tiempo, el contenido de archivos y el Journal no se ven afectados.
Recuperación: En primer lugar, se puede analizar el Journal para recuperar lo que quede en sus registros. El resto de los archivos se pueden restaurar mediante la recuperación por datos RAW. Del mismo modo, los resultados buenos se pueden lograr sólo en caso de que los archivos se colocaran en extents adyacentes.
APFS
A diferencia de HFS+ y de la mayoría de los demás sistemas de archivos, APFS no se encuentra en una partición, sino en el Contenedor. El Contenedor puede incluir varios sistemas de archivos a la vez, que comparten el espacio de almacenamiento disponible. El estado de cada bloque del Contenedor se indica en el Mapa de bits (Bitmap). Y el resto de las estructuras son administradas individualmente por cada sistema de archivos.
Al igual que HFS+, APFS asigna bloques en series continuas que se llaman extents a archivos, cada uno de los cuales se caracteriza por el bloque inicial y la cantidad de bloques siguientes. Todos los extents están organizados en una estructura de árbol, el árbol B ya mencionado.
La jerarquía de archivos y directorios, junto con la información que los describe, también se almacena en forma de árbol B.
Un rasgo característico de APFS es que no modifica inmediatamente sus estructuras. Siempre crea una copia en una nueva ubicación y hace los cambios necesarios en ella, mientras que la estructura original permanece en el almacenamiento de datos. Después de eso, se actualizan otras estructuras para que apunten a esta copia modificada.
Procedimiento: APFS reorganiza el árbol B en respuesta a la eliminación, borrando la información sobre el archivo.
Recuperación: Es posible encontrar copias más antiguas y usarlas para la reconstrucción. Sin embargo, como APFS está destinado a unidades de estado sólido, es probable que la operación TRIM borre el contenido del archivo, lo que no deja ni una posibilidad de recuperarlo.
Siga leyendo para aprender más sobre las posibilidades de recuperar datos de otros sistemas de archivos: