Recuperación de datos en dispositivos de almacenamiento cifrados: guía completa

El cifrado de medios de almacenamiento protege los datos al convertir bloques de sectores de texto plano en texto cifrado que parece pseudoaleatorio, lo que garantiza que la información confidencial permanezca ilegible sin credenciales de acceso válidas. Si bien esto proporciona una seguridad esencial, también influye en el enfoque a adoptar para recuperar datos. En unidades no cifradas, el software de recuperación a menudo puede reconstruir sistemas de archivos dañados o identificar archivos eliminados al escanear sectores de datos sin procesar (raw) en busca de patrones reconocibles, metadatos y firmas de archivo. En una unidad cifrada, los datos permanecen ininteligibles hasta que se desbloquee la capa de cifrado correspondiente.

El éxito de la recuperación de datos de medios de almacenamiento cifrados depende de dos factores principales: la disponibilidad de las claves de cifrado, contraseñas o frases de contraseña correctas y la presencia de las estructuras criptográficas cruciales en la unidad. Una vez identificada la causa del problema, ya sea un fallo de la unidad, daños en los metadatos u otro problema lógico, se puede acceder al dispositivo de almacenamiento al descifrarlo de manera regular y sin modificar el contenido existente. En esta guía, se enumeran los principales tipos de cifrado, así como los fallos comunes en dispositivos cifrados y las precauciones a tomar para recuperar datos de ellos.

Fundamentos de la recuperación de datos en unidades cifradas

En caso de una unidad no cifrada, el sistema operativo puede acceder directamente a las estructuras de datos almacenadas en sus particiones. Un medio de almacenamiento cifrado, en cambio, cuenta con una capa criptográfica además de las estructuras ya mencionadas, pero la ubicación exacta de esta capa depende de la tecnología de cifrado empleada. Puede ser un cifrado del dispositivo de almacenamiento completo o de volumen, uno implementado por su controlador o por el sistema operativo, de un contenedor o un disco virtual, a nivel del sistema de archivos o mediante el hardware de seguridad de la plataforma. Por lo tanto, para leer y recuperar archivos protegidos con el cifrado, el software de recuperación de datos debe identificar la capa de cifrado correspondiente y obtener las credenciales o los materiales de clave necesarios para acceder a ella.

Dependiendo de la arquitectura de la unidad concreta, la recuperación puede realizarse en varios niveles lógicos:

• Dispositivo de almacenamiento físico o virtual que proporciona acceso a datos sin procesar (del inglés, raw), como un HDD, una unidad SSD, un dispositivo NVMe, SAN/LUN o una imagen de disco. En los sistemas cifrados por hardware, el cifrado puede realizarse por el dispositivo mismo o por un controlador conectado, pero no por el sistema operativo.

• Capa de cifrado es un componente responsable de cifrar y descifrar los datos almacenados. Dependiendo de la tecnología, puede ser un controlador de la unidad, un puente USB, un controlador del sistema operativo, un contenedor de cifrado, un disco virtual, un sistema de archivos o un componente de seguridad de la plataforma.

• Estructuras descifradas que se muestran tras el descifrado correcto de la capa de cifrado correspondiente. Dependiendo de la arquitectura, puede tratarse de un dispositivo de bloques descifrado, un contenedor montado, un disco virtual o archivos descifrados dentro de un sistema de archivos.

• Estructuras de gestión de particiones y volúmenes, como GPT/MBR, LVM o Dynamic Disks que definen las particiones, los límites de los volúmenes y, a veces, los volúmenes lógicos o dinámicos.

• Sistema de archivos NTFS, APFS, Ext4, XFS o Btrfs que organiza directorios, registros de archivos, metadatos, registro en diario, información de asignación y datos de usuario.

Esta jerarquía ilustra por qué la recuperación de datos cifrados no es un procedimiento invariable. Un fallo puede producirse en cualquier nivel del medio de almacenamiento, y el enfoque de recuperación debe elegirse según el nivel afectado. Si una unidad está rota, si los metadatos de cifrado están dañados o si no es posible acceder a la capa de cifrado de forma normal, la recuperación puede incluir más etapas como la estabilización del dispositivo, la creación de imagen de disco o la realización de procedimientos especializados a nivel de hardware antes de que los datos protegidos puedan accederse y analizarse. Si el cifrado puede descifrarse con normalidad, pero los archivos se han eliminado accidentalmente o el sistema de archivos está dañado, la recuperación puede realizarse al nivel adecuado mediante el escaneo de dicho sistema y, cuando sea necesario, la búsqueda de archivos por sus firmas.

La recuperación de datos de unidades cifradas no implica hackear ni ignorar las tecnologías de cifrado. Es que los algoritmos de cifrado modernos están diseñados de manera que el descifrado de los datos protegidos sea imposible sin la clave criptográfica necesaria. Por lo tanto, para poder recuperar lo perdido, es crucial contar con las credenciales válidas (una contraseña, una frase de contraseña o una clave de recuperación).

Una vez ingresadas las credenciales, el software de recuperación de datos descifra la información a medida que se lee, manteniendo inalterado el cifrado inicial. Y el contenido descifrado resultante puede analizarse para reconstruir las estructuras del sistema de archivos y recuperar datos faltantes.

Durante la recuperación, la unidad debe accederse únicamente en modo de sólo lectura, ya que la escritura de incluso pocos datos en ella puede alterar los metadatos de cifrado o sobrescribir los datos necesarios para restaurar lo perdido. Siempre que sea posible, la recuperación debe realizarse a partir de una imagen de disco u otra copia adecuada, no desde el dispositivo de origen. Este enfoque impide que las utilidades del sistema operativo escriban en el medio de almacenamiento de origen.

Tipos de cifrado de medios de almacenamiento

La ubicación de la capa de cifrado determina cómo se puede acceder a los datos cifrados y qué tipo de clave criptográfica o metadatos se requieren para desbloquearlos. A continuación, se presentan los principales tipos de cifrado:

Cifrado a nivel de hardware y unidades de autocifrado (SED/TCG Opal)

Las unidades de autocifrado (del inglés, Self-Encrypting Drives o SED) realizan el cifrado y descifrado de datos dentro del controlador mediante el hardware dedicado. Los datos que se escriben en la unidad se cifran con una clave interna de cifrado de medios (del inglés, Media Encryption Key o MEK), mientras que el acceso a dicha clave está controlado por un mecanismo de autenticación definido en la configuración de seguridad de la unidad, como una contraseña, un PIN o una autenticación previa al arranque.

Dado que las operaciones criptográficas son gestionadas internamente por la unidad, el sistema host no suele acceder directamente a los bloques descifrados. Si una operación de borrado seguro destruye o sustituye la clave de cifrado, el contenido cifrado existente puede hacerse inaccesible, incluso si la memoria flash o el plato giratorio que almacena los datos protegidos está físicamente intacto. Por eso, cuando se trata de recuperar datos de una unidad cifrada, es crucial mantenerla en estado operativo y disponer de las credenciales o los medios específicos del fabricante necesarios para desbloquearla.

Cifrado con un chip puente

Algunos dispositivos de almacenamiento externos, incluidos ciertos modelos de MyBook y MyPassport de WD, utilizan el cifrado implementado en el puente USB-a-SATA o en otro controlador de hardware. El puente realiza la transformación criptográfica de los datos a medida que estos se transfieren entre el sistema host y el dispositivo de almacenamiento correspondiente.

Hay que tener en cuenta esta arquitectura a la hora de recuperar datos, porque el hardware original del puente y sus parámetros criptográficos pueden formar parte del sistema de cifrado. En consecuencia, conectar el dispositivo de almacenamiento a través de una interfaz diferente o sustituir el puente puede resultar en que los datos sólo se muestren en forma cifrada, sin la capa de descifrado correspondiente. La recuperación puede requerir que se utilice el puente original o que se realice un procesamiento especializado a nivel de hardware para reconstruir la ruta de descifrado inicial.

Cifrado de disco completo y de volúmenes a nivel del sistema operativo

El cifrado basado en software está "por encima" del hardware del dispositivo de almacenamiento y "por debajo" o al lado del sistema de archivos, dependiendo de la implementación concreta:

• BitLocker de Microsoft cifra un volumen y protege la clave de cifrado del volumen con uno o varios protectores de clave. Estos pueden incluir un TPM, un PIN, una contraseña, una clave de inicio de sesión, una contraseña de recuperación o una clave de recuperación. Una contraseña de recuperación de BitLocker tiene 48 dígitos.

• Linux Unified Key Setup (LUKS1 y LUKS2) proporciona un formato estándar para gestionar dispositivos de bloques cifrados en Linux. La cabecera de LUKS contiene espacios de clave (del inglés, keyslots) que permiten introducir diferentes frases de contraseña o claves para desbloquear el mismo cifrado del volumen.

• FileVault de Apple está integrado con la arquitectura de cifrado de APFS en los sistemas modernos en macOS. En los ordenadores Mac con los procesadores Apple Silicon o con el chip T2, la gestión de claves de FileVault está integrada con Secure Enclave, mientras que la jerarquía exacta de claves depende del hardware y de la configuración de seguridad.

Leer más: para obtener instrucciones sobre cómo recuperar datos protegidos con tecnologías de cifrado específicas, por favor, consulte nuestros artículos sobre el cifrado de volúmenes con BitLocker, el cifrado de volúmenes con LUKS y los volúmenes cifrados de APFS de Apple.

Contenedores cifrados independientes (TrueCrypt y VeraCrypt)

VeraCrypt y su predecesor, TrueCrypt, permiten crear contenedores cifrados alojados en archivos o cifrar particiones y dispositivos completos. Los volúmenes estándar de VeraCrypt están diseñados de modo que los datos cifrados no revelen la firma del sistema de archivos ni el identificador del volumen en texto plano. La cabecera del volumen contiene la información necesaria para obtener y recuperar las claves de cifrado del volumen.

Los volúmenes estándar de VeraCrypt también incluyen una cabecera de respaldo cerca del final del volumen, la cual puede utilizarse cuando la cabecera principal está dañada. Los volúmenes cifrados por el sistema operativo tienen otra estructura y no disponen de esta cabecera de respaldo.

Cifrado a nivel de archivo (eCryptFS)

El cifrado a nivel de archivo protege archivos individuales y, dependiendo de la implementación concreta, los nombres de los directorios y otros metadatos del sistema de archivos, en lugar de cifrar el dispositivo de bloques completo. eCryptFS es un buen ejemplo de este tipo de cifrado, ya que crea una capa de sistema de archivos cifrado sobre un sistema de archivos convencional.

En este caso, se requieren las credenciales de cifrado correspondientes y suficiente información restante para reconstruir el sistema de archivos cifrado y sus metadatos y luego recuperar lo faltante. Dado que el cifrado se realiza a nivel de archivo, recuperar el acceso al dispositivo de almacenamiento en el que se almacenan los archivos protegidos no conduce a que los últimos se hagan legibles.

Leer más: por favor, consulte nuestro artículo sobre cómo recuperar datos cifrados con eCryptFS.

Discos virtuales e imágenes de disco cifrados

Algunos discos virtuales e imágenes de disco también pueden estar cifrados, como los discos virtuales cifrados VMDK, así como las imágenes de disco DMG y sparsebundle utilizadas en los entornos de Apple.

Cuando un disco virtual o una imagen de disco está cifrado, el software de recuperación de datos debe acceder primero al contenedor cifrado y obtener las credenciales o los datos de clave necesarios antes de poder analizar el sistema de archivos dentro de él. En los entornos virtualizados, es posible que el hipervisor o la plataforma de almacenamiento también aplique un cifrado adicional.

Leer más: encuentre más información sobre la recuperación de datos de discos de máquinas virtuales en nuestro artículo dedicado

Cifrado en sistemas de almacenamiento conectado a red (NAS)

Los dispositivos NAS pueden estar cifrados a diferentes niveles, dependiendo del fabricante, del firmware y de la configuración concreta:

• Cifrado a nivel de volumen puede aplicarse a un volumen o a un grupo de almacenamiento (del inglés, pool) por encima de la capa de RAID o de gestión de almacenamiento. Por eso, para recuperar datos, es posible que se necesite reconstruir la estructura de RAID o de otro sistema de almacenamiento subyacente antes de poder desbloquear el volumen cifrado.

• Cifrado a nivel de carpeta compartida o de archivo: algunos dispositivos NAS permiten cifrar carpetas compartidas o archivos individuales en lugar de cifrar el dispositivo de almacenamiento completo. En estos casos, la capa de cifrado está por encima del sistema de archivos o del volumen y para recuperar datos se requieren las credenciales o las claves correspondientes.

Pues, antes de proceder a la recuperación, se recomienda determinar la jerarquía de almacenamiento exacta y el mecanismo de gestión de claves según el modelo de NAS, la versión del firmware y la configuración.

Leer más: por favor, consulte nuestra guía sobre la recuperación de datos de dispositivos NAS.

Cifrado nativo del sistema de archivos (ZFS y fscrypt)

Algunos sistemas de archivos y medios de almacenamiento ofrecen el cifrado como una de sus funciones integradas, en lugar de depender de una tecnología de cifrado de terceros para dispositivos de bloque. Se trata, por ejemplo, del cifrado nativo en OpenZFS y del cifrado fscrypt en los sistemas de archivos Ext4 y F2FS de Linux.

Leer más: para obtener más información sobre los sistemas de archivos más comunes y sus características principales, por favor, consulte nuestro artículo sobre los fundamentos de los sistemas de archivos.

Pueden cifrar el contenido de los archivos y, dependiendo de la tecnología y la configuración, los nombres de archivo u otros metadatos del sistema de archivos, al mismo tiempo dejando algunas estructuras de almacenamiento de nivel superior disponibles para el análisis. El software de recuperación de datos debe reconocer el modelo de cifrado específico y obtener la clave del conjunto de datos, la clave del sistema de archivos o la clave de envoltura correspondiente para acceder a los datos protegidos.

Cifrado vinculado al hardware de la plataforma (TPM y Secure Enclave)

Las claves de cifrado también pueden protegerse mediante el hardware de seguridad de la plataforma, como un módulo TPM (del inglés, Trusted Platform Module), TPM virtual (vTPM) o Secure Enclave. Estos componentes pueden vincular la aplicación de la clave a las credenciales de autenticación y, en algunas configuraciones, a los parámetros del estado de arranque del sistema.

Esta vinculación al hardware puede complicar la recuperación cuando una unidad cifrada se traslada a otro equipo o cuando el sistema original ya no está operativo. Es que un entorno de recuperación independiente no puede extraer ni utilizar la clave protegida con TPM o Secure Enclave. Por lo tanto, para la recuperación se requiere un mecanismo alternativo o una clave utilizable que no dependa del hardware no disponible, es decir, algo similar a una contraseña o una clave de recuperación de BitLocker.

Tipos de fallos en dispositivos de almacenamiento cifrados

Para recuperar datos de volúmenes cifrados, primero hay que determinar si el fallo es de naturaleza física, criptográfica o lógica o si está relacionado con las credenciales. Todos los problemas suelen clasificarse en cuatro categorías principales:

• Degradación de componentes de hardware: los sectores defectuosos, el mal funcionamiento de los cabezales de lectura o los fallos en la memoria flash NAND pueden afectar las áreas de almacenamiento físicas que contienen las cabeceras del volumen, los espacios de clave (del inglés, keyslots) u otros metadatos de cifrado. Y en una unidad cifrada, los daños en los metadatos críticos de cifrado pueden impedir que la capa de cifrado se inicialice o se desbloquee, incluso cuando gran parte de los datos almacenados en la unidad permanece intacta.

• Corrupción de metadatos criptográficos: la creación accidental de nuevas particiones, el formateo rápido del disco, la reinstalación del sistema operativo o la interrupción del cambio de tamaño de un volumen pueden sobrescribir o truncar las cabeceras de cifrado u otros metadatos necesarios para acceder a los datos protegidos. Si los metadatos críticos están dañados o faltan, es posible que el sistema operativo o el software de recuperación ya no reconozca el volumen cifrado ni pueda descifrarlo.

• Fallos en la plataforma, en los componentes de cifrado y en las credenciales pueden producirse incluso cuando el medio de almacenamiento y los metadatos de cifrado están intactos. Entre los escenarios más comunes se incluyen:

  • Sustitución de la placa base o cambios en el estado de seguridad de la plataforma que provocan que el volumen protegido con el módulo TPM entre en modo de recuperación en lugar de desbloquearse automáticamente.

  • Pérdida de acceso al TPM virtual, a la configuración del disco virtual o a otros componentes necesarios para descifrar el disco virtual cifrado.

  • Daños o sustitución de un componente de cifrado de hardware, como un puente USB-a-SATA cifrado, lo que puede impedir reproducir la ruta de descifrado inicial.

  • Credenciales perdidas o extraviadas, como contraseñas o claves de recuperación de BitLocker y frases de contraseña de LUKS.

• Daños lógicos en el sistema de archivos tras el desbloqueo: dentro del volumen cifrado pueden producirse fallos lógicos comunes, como la corrupción del índice de directorios, la infección por malware, la eliminación accidental de archivos o daños en la tabla de particiones. En estos casos, la capa criptográfica funciona con normalidad, pero el sistema de archivos por sí solo no puede montarse ni procesarse por el sistema operativo tras el descifrado.

Leer más: para obtener más información sobre cómo elegir un programa de recuperación de datos para su caso concreto de pérdida de datos, por favor, consulte el artículo correspondiente.

Datos recuperables e irrecuperables

Antes de dedicar mucho tiempo y esfuerzo a la recuperación, hay que evaluar la viabilidad de esta operación al analizar el estado físico del dispositivo, la integridad de los metadatos criptográficos y la disponibilidad de las claves de cifrado. Por lo general, todos los escenarios de recuperación pueden clasificarse en los casos que pueden abordarse con el software de recuperación, los que requieren asistencia profesional y aquellos en los que la recuperación no es técnicamente posible.

Recuperación segura: cómo obtener datos sin destruirlos

Ejecutar utilidades de reparación automática de discos o del sistema operativo directamente en la unidad cifrada afectada conlleva muchos riesgos. La recuperación de datos segura debe realizarse a partir de una imagen de disco y ser no invasiva siempre que sea posible:

• Creación de imágenes de disco sector a sector: se recomienda evitar ejecutar soluciones de diagnóstico o hacer reparaciones que puedan modificar el contenido del medio de almacenamiento de cualquier manera. El dispositivo de origen debe conectarse mediante un bloqueador de escritura especial o accederse en modo de sólo lectura y luego hay que crear su imagen sector por sector y guardarla en otro medio de almacenamiento estable. Si la unidad se lee con problemas o si tiene muchos sectores defectuosos, se deben emplear técnicas especializadas de creación de imágenes para preservar la mayor cantidad posible de datos legibles, minimizando al mismo tiempo la tensión en el dispositivo de origen.

  Leer más: para obtener instrucciones paso a paso sobre cómo crear imágenes de disco, por favor, consulte la guía correspondiente.

• Validación de cabeceras y detección de metadatos de respaldo: antes de montar o analizar un volumen cifrado, se debe verificar la integridad de sus estructuras criptográficas en su imagen de disco. Algunos sistemas de cifrado crean metadatos o cabeceras de respaldo que pueden ayudar a recuperarlos en caso de una corrupción localizada. Si la cabecera principal ya no se detecta, el software de recuperación debe examinar las ubicaciones definidas por el formato de cifrado correspondiente para encontrar metadatos de respaldo, espacios de clave (del inglés, keyslots) u otros parámetros de cifrado sobrevivientes.

• Descifrado virtual: se debe evitar el descifrado "in situ" del medio de almacenamiento de origen o de la imagen de disco. En su lugar, la imagen cifrada puede descifrarse y visualizarse en modo virtual, aplicando los materiales de clave necesarios a medida que se leen los bloques cifrados. Esto contribuye a que la imagen cifrada permanezca inalterada mientras se analizan los datos descifrados.

• Análisis lógico y obtención de archivos: una vez descifrado el contenido, se pueden analizar las estructuras de partición y los sistemas de archivos sin modificar la imagen de origen. El software puede restaurar las estructuras dañadas del sistema de archivos, reconstruir los registros de archivos y los árboles de directorios, y aplicar las técnicas de recuperación de archivos por sus firmas cuando sea necesario. Los datos recuperados deben exportarse a un medio de almacenamiento de destino independiente en buen estado.

Precauciones al recuperar datos de unidades cifradas

Dado que los mecanismos de seguridad están diseñados para impedir el acceso no autorizado, las soluciones de diagnóstico populares y los procesos automatizados del sistema pueden comprometer involuntariamente los datos recuperables o los metadatos de cifrado. Por lo tanto, para preservar la integridad de los datos del medio de almacenamiento, hay que tomar algunas precauciones adicionales importantes:

• Evitar que se active el umbral de bloqueo del hardware: no se recomienda intentar acceder a la unidad cifrada con credenciales no verificadas cuando se trata de módulos de seguridad de hardware (HSM), tarjetas inteligentes o unidades de autocifrado. Dependiendo de la tecnología y la configuración de seguridad, un número excesivo de intentos fallidos de autenticación puede provocar retrasos en los reintentos, el bloqueo del dispositivo u otras respuestas del sistema de seguridad que puedan complicar la recuperación.

• Desactivar la inicialización automática de discos del sistema operativo: los sistemas operativos estándar pueden interpretar un volumen cifrado no montado o dañado como espacio sin formato o no asignado. Los procesos de configuración o inicialización automática pueden escribir nuevas estructuras de partición en el dispositivo, sobrescribiendo los sectores que contienen cabeceras de cifrado u otros metadatos imprescindibles. Por lo tanto, hay que desactivar la inicialización automática de discos en las estaciones de trabajo utilizadas para recuperar datos de unidades cifradas.

• No ejecutar utilidades de reparación de discos en volúmenes cifrados: no se deben ejecutar herramientas como 'chkdsk' o 'fsck' en un medio de almacenamiento cifrado a menos que se haya identificado correctamente el sistema de archivos descifrado y usted tenga la intención de modificarlo. Ejecutar utilidades de reparación del sistema en el contenido cifrado o en el volumen interpretado incorrectamente puede provocar la reescritura de las estructuras que aún podrían ser necesarias para la recuperación. Incluso cuando el volumen se ha descifrado correctamente, las utilidades de reparación automática pueden modificar los metadatos dañados del sistema de archivos y reducir las probabilidades de recuperar su estado anterior.

• Preservar los metadatos auxiliares de la plataforma y del hipervisor: cuando se trata de máquinas virtuales cifradas o de sistemas de cifrado vinculados al hardware, se deben preservar tanto los metadatos como el volumen del medio de almacenamiento. Los archivos de configuración del hipervisor, los archivos de estado de NVRAM, los almacenes de claves y las copias de seguridad de certificados pueden contener información necesaria para recuperar el entorno de origen o para acceder a las claves asociadas. Por eso, un disco virtual o físico por sí solo puede resultar insuficiente para realizar la recuperación.

• Impedir que se realice la gestión de memoria flash en segundo plano y que se ejecute el comando TRIM: en los dispositivos de almacenamiento basados en memoria flash, se realizan procedimientos internos como la recolección de basura (del inglés, garbage collection) y la nivelación de desgaste (del inglés, wear leveling). Las operaciones de escritura y los comandos TRIM ejecutados por el sistema operativo pueden hacer que la capa de traducción flash (del inglés, flash translation layer o FTL) del controlador de la unidad SSD borre bloques que podrían contener datos eliminados o aún recuperables. Por eso, se recomienda acceder a las unidades SSD de manera que se minimicen las escrituras en ellas e impedir la ejecución de comandos TRIM durante la recuperación.

  Leer más: para obtener más información sobre el impacto de TRIM en la recuperación de datos de SSD, por favor, consulte el artículo sobre los obstáculos que plantea el comando TRIM.

• Siempre use un medio de almacenamiento de destino independiente: los archivos recuperados y los resultados intermedios del escaneo no deben guardarse en la unidad de origen ni en el medio de almacenamiento que contiene la imagen de disco. Las operaciones de escritura en el medio de almacenamiento de origen pueden sobrescribir los datos o metadatos que aún podrían necesitarse durante la recuperación, mientras que la escritura en el almacenamiento que contiene la imagen puede comprometer la última. Los datos recuperados, las cachés de dispositivos virtuales y los registros de recuperación deben guardarse en un medio de almacenamiento independiente con capacidad suficiente.

Leer más: para obtener una descripción más detallada del procedimiento de recuperación, por favor, consulte nuestra guía sobre cómo recuperar datos de medios de almacenamiento cifrados.

Última actualización: el 29 de septiembre de 2026

Si le gusta este artículo, compártalo en sus redes sociales: