Cuando arrastras un archivo a la papelera de reciclaje y la vacías, realmente no estás eliminando el archivo de tu PC, sino de tu vista. Para eliminar de verdad archivos de una unidad de almacenamiento, se requiere sobrescribir físicamente cada bloque de memoria, un proceso mucho más lento de lo que tarda la papelera de reciclaje en vaciarse.
Cuando vaciamos la papelera de reciclaje la unidad de almacenamiento no destruye los datos, sino que modifica la tabla de índices del sistema de archivos. En la práctica, al borrar un archivo no estás destruyendo la información, únicamente estás eliminando el cartel que indica dónde se encuentra, la referencia del sistema operativo al archivo.
¿Cómo funciona la eliminación en el sistema de archivos?
Tanto Windows como macOS, al igual que las distribuciones Linux, dividen la gestión del almacenamiento en dos partes:
El índice o metadatos: Un catálogo central que registra el nombre del archivo, sus atributos y la ubicación exacta de los bloques en los que está guardado.
Los bloques de datos: El espacio físico del disco donde se alojan los bytes reales del archivo.
Cuando borramos un archivo, el sistema operativo realiza la tarea más rápida y sencilla a nivel computacional. En lugar de borrar cada byte del disco, marca la entrada de ese archivo en el índice como espacio libre o disponible y se olvida por completo de su ubicación. Para el sistema de archivos, esos sectores ya no pertenecen a nada y quedan listos para ser reutilizados cuando otra aplicación lo solicite.
Infografía que detalla el proceso de gestión de archivos en PC, separando el índice de metadatos del almacenamiento físico en bloques de datos – Imagen: HardZone
El arte de la recuperación: File Carving
Dado que los datos siguen ahí, las herramientas de análisis forense y recuperación de archivos como la aplicación open source y gratuita PhotoRec, pueden rescatar la información sin necesidad de que exista el índice.
Esto es posible gracias a una técnica llamada tallado de archivos (file carving). Los formatos de archivo comunes tienen estructuras reconocibles y firmas únicas en sus encabezados y pies de página (magic bytes). Por ejemplo, un archivo JPEG siempre comienza con la secuencia hexadecimal FF D8 FF y finaliza con FF D9.
