Apeiron

Actualmente la venta de discos duros de segunda mano a través de internet se ha agilizado enormemente con la proliferación de portales como Ebay. Muchas veces los compradores son gente que intentan extraer información residente en el disco de forma que la puedan utilizar para obtener algún tipo de beneficio (monetario habitualmente).

Pero… si borré el disco… ¿cómo es posible?

Primero de todo hay que tener en mente los siguientes conceptos:

• Borrar los ficheros de un disco no los elimina realmente
• Formatear el disco no siempre elimina los ficheros
• Sobreescribir el disco no siempre elimina los ficheros

Tal y como podemos ver en la imagen el sistema operativo crea enlaces para saber donde se encuentran los bloques de datos de un determinado fichero (es como el “siga la flecha” para acceder a la información). Al borrar un fichero lo que hacemos es eliminar esa referencia que tenemos de él (nos deshacemos de la flecha que nos indica su posición). Sin embargo el contenido del fichero sigue estando en el disco duro, aunque el sistema operativo “no lo vea”.
Hay muchas aplicaciones que nos permiten recuperar esta información “aparentemente borrada”.

Ejemplos en Linux:

• magicrescue
• e2undel
• recover
• foremost

Ejemplos en Windows:

• TestDisk (código abierto)
• …
• hay un montón más pero no voy a nombrar herramientas que no sean de código abierto

Esto que voy a poner recupería todos los fichero “jpeg” borrados de un disco USB pen drive (sda1) conectado en Linux usando magicrescue:

magicrescue -r jpeg-jfif -r jpeg-exif -d /encontrados /dev/sda1

Con sólo esta linea de código podriamos recuperar todos los ficheros de, por ejemplo la tarjeta de memoria que hubiéramos borrado de la cámara de fotos en un descuido.

Sin embargo, tal y como he citado al principio tampoco sería suficiente con formatear (sobreescribir con ceros o unos el disco en su versión lenta “bit a bit”), ya que con cada pasada lo que hacemos es cambiar la polaridad de los sectores magnéticos del disco y este cambio nunca se realiza de forma completa en el sector accedido, por lo que finalmente tenemos varias capas con polarizaciones distintas.
Hay que tener en cuenta que estas capas pueden ser extraídas con técnicas microscópicas de medición del magnetismo en cada sector mediante la toma de resultados a diferentes distancias. Estas técnicas son conocidas como Magnetic force microscopy (MFM).

Aquí podemos ver algunas imágenes generadas tras la toma de resultados en sectores del disco obteniendo diferentes capas de información que se creían eliminadas:

La única manera de asegurarnos que la información es destruída es la sobreescritura repetida con información randómica de los sectores que han sido ocupados por el citado fichero.

Herramientas que hacen esto tenemos:

• Linux: Wipe
• Windows: Eraser

Con el borrado mediante estas herramientas podemos estar tranquilos, ya que nos aseguramos que hasta la reconstrucción mediante técnicas de depuramiento microscópico de fuerzas magnéticas es prácticamente imposible.

Todas las herramientas citadas en el artículo son libres (GPL), así que podéis usarlas libremente.

Un estudio completo de las diferentes técnicas lo podemos ver el el magnífico artículo de Peter Gutmann titulado: ” Secure Deletion of Data from Magnetic and Solid-State Memory”.

Esta entrada fue enviada el Friday, 17 de November de 2006 a las 5:32 am y está archivada bajo Privacidad, Hardware. Puedes seguir las respuestas a esta entrada a través de la fuente RSS 2.0. Puedes dejar una respuesta, o trackback desde tu propia página.