Seguridad: Recuperación de archivos. PHOTOREC

INTRODUCCIÓN

En la anterior entrada se explicaba como realizar un borrado efectivo (permanente), de los archivos. Ahora explicaremos el uso de la herramienta Photorec para la recuperación de archivos borrados o perdidos accidentalmente. Si hemos utilizado una herramienta de borrado permanente, su recuperación es imposible.

LA HERRAMIENTA

Photorec se incluye en Testdisk. Testdisk es un utilidad dirigida a la reparación de discos, particiones, etcétera. Photorec esta dedicada a la recuperación de archivos. Photorec se ejecuta desde Terminal, pero veréis que sus pantallas son fáciles de entender.

Como siempre, adelanto que en Ubuntu/Linux Mint existen varias aplicaciones para la recuperación de datos. Podéis googlear y comprobarlo. Personalmente esta herramienta me parece bastante potente y fácil de utilizar.

CONSEJOS

Sería más preciso indicar que Photorec intentará recuperar los archivos borrados de un dispositivo. No se puede asegurar una recuperación al 100% debido a múltiples causas. Os comento las más habituales:

• Que utilicemos un programa como Secure-Delete que está dedicado a eliminar los archivos escribiendo reiteradamente sobre los mismos, a conciencia.
• Que desde el borrado hasta la recuperación hayamos escrito mucha información en el disco. Recordemos que cuando se borra un archivo, el espacio que ocupaba se convierte en espacio libre, por tanto reutilizable por nuevos archivos.
• Un fallo de hardware puede hacer que nuestra información sea irrecuperable.

Tratándose de borrados accidentales, mi recomendación es que no escribáis nada en el dispositivo de almacenamiento y procedáis a recuperar la información lo más rápido posible.

Otra recomendación importante es que no guardéis os archivos recuperados en el mismo dispositivo del que se recuperan. Si queréis recuperar archivos del disco duro, los archivos recuperados podéis guardarlos en un pendrive. Por el contrario, si recuperáis archivos de un pendrive, guardarlos en el disco duro.

Se trata de evitar la reescritura en los espacios libres.

INSTALACIÓN

El paquete Testdisk se encuentra en nuestros repositorios (Ubuntu/Linux Mint), así que podemos utilizar el Gestor de Software. Lo buscamos como testdisk. También podemos instalarlo desde Terminal:

$sudo apt-get install testdisk

UTILIZANDO PHOTOREC

Antes de su uso vamos a preparar un ejemplo. He grabado una serie de archivos en un pendrive. 

Como vemos en la imagen, tenemos siete archivos, cinco de ellos del tipo pdf y dos del tipo png.

La siguiente acción será eliminarlos.

Una vez eliminados abrimos el terminal y con permisos de administrador ejecutamos:

$sudo photorec

Nos aparecerá la siguiente pantalla:

Esta es la pantalla de inicio de Photorec. En ella podéis ver que aparecen dos unidades de almacenamiento: /dev/sda/, el disco duro del ordenador y /dev/sdb el pendrive conectado.

Dado que los archivos a recuperar se encuentran en el pendrive, con las teclas de Cursor Arriba/Abajo seleccionamos el pendrive. Una vez seleccionada esta opción vemos que en la parte inferior de la pantalla tenemos dos opciones: Proceed, que está seleccionada y Quit. Para moverse en estas opciones inferiores utilizaremos las teclas de Cursor Derecha/Izquierda.

Seleccionamos Proceed y pulsamos Enter.

Esta es la nueva pantalla que aparece:

Aparece seleccionada la información relativa a la partición y el sistema de archivos (filesystem), del pendrive. Podemos ver que el sistema de archivos es del tipo fAT32, algo muy común en estos dispositivos ya que frecuentemente se intercambia información con sistemas Windows que no leen filesystem del tipo ext2, ext3 o ext4.

En la parte inferior de la pantalla vemos las siguientes opciones. Recordad que para movernos sobre ellas utilizaremos las teclas de Cursor Derecha/Izquierda. Vamos a movernos a la opción File Opt y pulsar Enter.

Veremos esta pantalla:

Esta pantalla nos permitirá hacer una recuperación selectiva, pudiendo elegir entre la recuperación de todos los tipos, opción por defecto, o elegir sólo uno o algunos de ellos.

Con las teclas Cursor Arriba/Abajo podéis ver la lista de tipos de archivo que puede recuperar.

En nuestro caso sólo vamos a recuperar dos tipos de archivos: pdf y png, así que no necesitamos recuperar otros archivos.

Para ello, leemos la línea inferior, si pulsamos la letra "s" los archivos los tipos de archivos de la lista quedarán desmarcados. Vamos a pulsar la tecla "s" y tendremos este resultado:

Hemos desmarcado todos los tipos de archivos. Con las teclas de Cursor Arriba/Abajo, buscaremos los tipos pdf y png (la lista está ordenada alfabéticamente). Cuando se encuentre iluminado ese tipo, pulsamos la barra espaciadora y quedará marcado con su correspondiente "X".

Este sería el resultado de nuestra selección:

Si nos hemos equivocado en una selección, elegimos esa opción y volvemos a pulsar la barra espaciadora, el tipo quedará desmarcado.

Ahora pulsamos la letra "b" si queremos guardar ese "filtrado". Aparecerá un pantalla indicando que la selección ha sido guardada y un Ok en la parte inferior. Seguidamente pulsamos Enter para volver a la pantalla anterior.

Con las teclas de cursor seleccionamos la opción Search.

El mensaje nos dice que para recuperar los ficheros borrados Photorec necesita saber el tipo de filesystem (sistema de archivos), donde se encuentran los archivos borrados. Por defecto señala la opción Other, opción correcta, recordemos que nuestro sistema de archivos era FAT32.

Pulsamos Enter y aparecerá esta pantalla:

 En ella aparecen dos opciones:

• Free. El escaneo de archivos se realizará en el espacio libre de FAT32. Es decir no buscará en espacios ocupados por otros archivos.
• Whole. Extrae todos los archivos de la partición.

Elegimos la opción Free y pulsamos Enter, mostrándose esta pantalla:

 Esta ventana nos permitirá indicar en que directorio/carpeta queremos grabar los archivos recuperados. Con las teclas de cursor seleccionamos, para este ejemplo, el directorio/carpeta Documentos. Una vez seleccionado pulsamos la tecla "c". No os preocupéis por el nombre de la carpeta donde se guardarán los archivos recuperados, Photorec pone el nombre.

El programa empezará el proceso de búsqueda y recuperación mostrando esta pantalla:

En el reloj de la izquierda, en la imagen, Elpased Time marca el tiempo transcurrido, mientras que el reloj de la derecha, Estimated time to completion marca el tiempo estimado para la recuperación. No es muy fiable y varía dependiendo de la recuperación.
Durante la recuperación puede ocurrir que la luz de vuestro pendrive, si la tiene, deje de parpadear y los relojes dejen de funcionar. Tranquilos, el programa no se ha colgado. Estos lapsos, en mi caso, nunca han superado los cinco minutos. Así que no tenéis que preocuparos, el programa está trabajando.
Terminará con esta pantalla:

Pulsamos Enter para salir, volvemos a la pantalla inicial. Con las teclas de cursor elegimos la opción Quit y salimos al terminal, que podemos cerrar.

ARCHIVOS RECUPERADOS
Si abrimos nuestro Gestor de Archivos (Nemo, Thunar, Nutilus, Caja), y entramos en la carpeta Documentos veremos una carpeta llamada recu_dir.1. Podemos entrar en ella y ver los documentos recuperados y un informe llamado repor.xml generado por el programa.
Estos archivos, de momento, no tienen los permisos necesarios para trabajar de forma habitual con ellos, tan solo podemos leerlo. Para poder trabajar con normalidad, debemos dar los permisos a la carpeta recup_dir.1.
Para ello hemos de situarnos en la carpeta/directorio Documentos, abrir un terminal y ejecutar:

$sudo chown -R usuario recup_dir.1

La opción -R (recursividad, otorga permisos a todo el contenido de la carpeta). El termino usuario debe sustituirse por vuestro nombre de usuario. Ya podéis trabajar con toda normalidad (cortar, copiar, eliminar, renombrar), con los archivos recuperados. Evidentemente los nombre no coinciden con los originales, así que probablemente la primera tarea sera renombrar los archivos.

OTRAS CONSIDERACIONES IMPORTANTES

Vamos a recordar esta pantalla:

Esta pantalla era la segunda en aparecer, tras elegir el pendrive como dispositivo en donde recuperar los archivos. 

Habíamos visto la opción File Opt, pero no vimos la opción Options que paso a contaros.

Cuando elegimos Options se muestra la siguiente pantalla:

Esta pantalla nos permite seleccionar entre varios métodos de busqueda.

• Paranoid. Está activada por defecto. Esta opción verifica lo archivos, aquellos que son inválidos (corruptos), los rechaza.
• Keep corrupted files. Si activamos esta opción, los archivos corruptos serán recuperados. Esta es una decisión que debe tomar el usaurio. Puede que disponga de herramientas y conocimientos que le permitan rehacer el archivo.
• Expert mode. Esta opción permite modificar al usuario el tamaño de bloque y la geometría del disco. Si no conocéis estas cuestiones es mejor que la dejéis tal y como está.
• Low memory. Se puede activar si nuestro ordenador no dispone de mucha memoria y además vemos que se producen errores. Yo he realizado pruebas con 1Gb de memoria y no he tenido ningún problema. Se recomienda tenerla desactivada.

Cuando seleccionamos File Opt, vimos que podíamos desmarcar todas las familias y seleccionar las necesarias para nuestra recuperación. Si después de nuestra selección pulsamos la tecla "b", esta configuración se guarda. En la próxima sesión (en nuestro caso), sólo recuperaríamos archivos tipo pdf y png. Debemos volver a esta opción, si pulsamos de nuevo "s", se volverán a marcar todas las familias.

Algunos pueden querer recuperar archivos de LibreOffice o de OpenOffice, los archivos de texto son del tipo odt. Esta opción esta junto los archivos zip. Al final de la lista veréis el tipo zip y un comentario indicando que esa opción además de recuperar los archivos zip, incluye la recuperación de archivos OpenOffice/(LibreOffice) y MSOffice 2007.

Espero que podáis sacarle provecho a esta herramienta y también espero que la utilicéis con respeto a la información de los demás.

Como siempre, daros las gracias por vuestra atención y cualquier duda que tengáis intentaré resolverla.

Un cordial saludo.