Leer el disco de un portátil

Un disco con esquema GPT reparte sus sectores en particiones, y entre ellas pueden quedar tramos que no pertenecen a ninguna. Esos tramos no se montan ni se listan como archivos, pero siguen en el disco: pueden estar vacíos, guardar restos de una partición anterior o esconder datos. Para saber cuánto espacio es, hay que pasar los sectores a una unidad de tamaño con el tamaño de sector del propio disco.

Un MiB son 1 048 576 bytes.

La extensión es solo parte del nombre y cualquiera puede cambiarla. El contenido, en cambio, empieza con unos bytes de firma que dicen qué clase de archivo es. Hay que mirar con cuidado, porque varios formatos legítimos comparten una misma firma: los documentos de oficina modernos, por ejemplo, son contenedores comprimidos por dentro.

Un archivo ocupa clústeres completos. Si su tamaño no es múltiplo del clúster, lo que queda libre en el último clúster asignado se llama holgura: no pertenece al archivo, pero tampoco está vacío necesariamente, porque puede conservar bytes de un archivo anterior. Se calcula restando el tamaño real del archivo al espacio que ocupan sus clústeres.

Al borrar un archivo, el sistema marca su entrada como libre y suele dejar los datos donde estaban. Recuperarlo por metadatos exige que su registro siga intacto y que sus clústeres no se hayan reutilizado: si falta cualquiera de las dos cosas, la recuperación sale incompleta o hay que recurrir al carving por firmas, que no devuelve el nombre ni las marcas de tiempo.

Una exportación de línea de tiempo mezcla fuentes con marcas distintas y trae duplicados, porque el mismo hecho puede quedar anotado en más de un atributo del sistema de archivos. Antes de restar dos horas hay que confirmar que están en la misma zona horaria y elegir bien qué evento de cada fuente es el que cuenta.