Qué conserva y qué pierde cada sistema de archivos

NTFS y ext4 llevan un diario: un registro de los cambios recientes en los metadatos (nombres, tamaños, asignación de bloques) que sirve, ante un corte de energía, para dejar el volumen coherente. Para el analista tiene un interés secundario: puede conservar rastros de operaciones recientes que ya no se ven en el resto del volumen. Pero es un espacio de tamaño limitado que se reutiliza, así que no es un historial: lo viejo se sobrescribe, y cuánto dura depende de la actividad del volumen.

FAT32 no lleva diario. Quien analiza un USB en FAT32 no debe esperar ese rastro.

Las marcas de tiempo no son iguales en todos los sistemas. FAT guarda la modificación con una resolución de dos segundos, la creación con una resolución de 10 milisegundos y del acceso solo la fecha, sin hora; además anota la hora local, sin zona. NTFS guarda intervalos de 100 nanosegundos y los almacena en UTC. ext4 guarda nanosegundos y puede registrar también el momento de nacimiento del archivo.

Esto cambia lo que una hora puede probar: un segundo impar es imposible en una modificación de FAT, y la misma hora en NTFS puede ser exacta. Compara la hora de modificación del mismo archivo en los tres volúmenes.

NTFS permite que un archivo tenga más de un flujo de datos. El flujo principal es el contenido que se ve, y los demás son flujos con nombre ligados al mismo archivo: no cambian el tamaño que muestra el explorador y no aparecen en un listado normal. Tienen usos legítimos, como anotar de dónde procede un archivo, y por eso la presencia de uno no es un indicio de nada; lo que sí es un hecho que un listado simple oculta.

FAT32 y ext4 no tienen flujos de este tipo. En el portátil, el listado de flujos del archivo muestra el principal y otro con nombre.

En ext4, stat muestra cuatro momentos distintos. Modify es la última vez que cambió el contenido. Change es la última vez que cambiaron los metadatos del archivo, como el nombre o los permisos. Access es la última lectura. Birth es el momento en que el archivo nació en ese volumen, y es el dato con el que se responde «cuándo apareció aquí».

La hora va con la zona del servidor, que en este caso está a cinco horas del tiempo universal. Lee el bloque del servidor de pedidos.

Una pareja de fechas que a primera vista parece imposible, creación posterior a modificación, es una de las más útiles. Al copiar un archivo a otro volumen, la copia es un archivo nuevo, con su propia creación, pero suele conservar la modificación del original. Por eso encontrar el archivo con la creación posterior a la modificación suele indicar que no se creó ahí, sino que llegó desde otro lugar. No indica por sí sola desde dónde ni quién lo copió.