DIPLOMSKO DELO VISOKOŠOLSKEGA STROKOVNEGA ŠTUDIJA ... · Digitalna forenzika je mlada veda, zato...
Transcript of DIPLOMSKO DELO VISOKOŠOLSKEGA STROKOVNEGA ŠTUDIJA ... · Digitalna forenzika je mlada veda, zato...
DIPLOMSKO DELO VISOKOŠOLSKEGA STROKOVNEGA ŠTUDIJA
Informacijska varnost
Digitalni dokazi in integriteta v računalniški forenziki
Marec, 2017 Matjaž Smolej
Mentor: doc. dr. Blaž Markelj
Zahvala
Za strokovno pomoč pri izdelavi diplomskega dela se najlepše zahvaljujem mentorju,
dr. Blažu Marklju.
Zahvaljujem se tudi svoji družini za vso spodbudo, podporo in pomoč.
Matjaž Smolej
3
Kazalo
Povzetek .......................................................................................... 5
Summary - Digital evidence and integrity in computer forensics ...................... 6
1 Uvod .......................................................................................... 7
1.1 Namen in cilji diplomskega dela .................................................. 8
1.2 Postavitev predpostavk ............................................................ 8
1.3 Uporabljene metode raziskovanja ............................................... 8
2 Digitalna forenzika in njena načela .................................................... 9
2.1 Postopek zavarovanja elektronske naprave ................................. 11
2.2 Postopek preiskave elektronske naprave ..................................... 15
2.3 Postopki digitalne forenzike ..................................................... 17
2.4 Oprema za izvajanje digitalne forenzike ..................................... 19
3 Trdi diski .................................................................................. 22
3.1 Arhitektura trdega diska ......................................................... 22
3.2 Arhitektura bliskovnih pomnilnikov ............................................ 24
3.2.1 Podatkovna struktura na trdem disku ........................................ 25
3.3 NAND bliskovni pomnilnik ........................................................ 25
3.3.1 Pomnilniški krmilnik v bliskovnem pomnilniku .............................. 26
3.3.2 Funkcija TRIM .................................................................... 26
3.3.3 Funkcija Garbage Collection .................................................. 28
3.3.4 Funkcija Wear Leveling ........................................................ 28
3.4 Hibridni trdi diski .................................................................. 29
4 Integriteta podatkov .................................................................... 31
4.1 Zgoščevalna funkcija .............................................................. 32
4.2 Pomanjkljivosti zgoščevalnih funkcij .......................................... 33
5 Obnovitev podatkov ..................................................................... 35
5.1 Mehanska obnova podatkov na trdem disku.................................. 35
5.2 Mehanska obnova podatkov iz SSD diska...................................... 37
6 Raziskava in ugotovitve ................................................................. 39
6.1 Zgoščevalne funkcije na različnih medijih .................................... 39
6.2 Obnova podatkov na različnih medijih ........................................ 43
7 Razprava ................................................................................... 47
7.1 Odgovori na hipoteze ............................................................. 48
8 Zaključek .................................................................................. 49
9 Uporabljeni viri .......................................................................... 50
4
Kazalo slik
Slika 1: Postopek zavarovanja živega sistema (vir: Kardoš, 2010) ....................... 12
Slika 2: Postopek zavarovanja mrtvega sistema (vir: Kardoš, 2010) ..................... 14
Slika 3: Tableau preprečevalnik zapisovanja (vir: lastna slika) .......................... 21
Slika 4: Adapterji preprečevalnika zapisovanja (vir: lastna slika) ....................... 21
Slika 5: Različne velikosti trdih diskov (vir: Hard Disk Drive, 2017) ..................... 22
Slika 6: Sestava trdega diska (vir: Ehsan, 2015) ............................................ 23
Slika 7: SSD krmilnik (vir: Ngo, 2013) ........................................................ 24
Slika 8: Delovanje NAND pomnilnika (vir: How Does NAND Flash Memory Work, 2009)
..................................................................................................... 26
Slika 9: Delovanje TRIM funkcije (vir: Gubanov in Afonin, 2014) ........................ 28
Slika 10: Hibridni trdi disk (vir: Kumar, 2014) .............................................. 30
Slika 11: HashMyfiles testni primer (vir: lastni zajem ekrana) ........................... 33
Slika 12: Primer trka MD5 v izvršilni datoteki (vir: Selinger, 2006) ...................... 34
Slika 13: Odstranjevanje bralno-pisalne glave (vir: Head Swap, 2017) ................. 36
Slika 14: Bralnik bliskovnih pomnilnikov (vir: Gubanov in Afonin, 2012) ................ 37
Slika 15: Crystaldiskinfo Seagate USB 1Tb (vir: lastni zajem ekrana) ................... 40
Slika 16: Crystaldiskinfo Seagate SATA 2Tb (vir: lastni zajem ekrana) .................. 40
Slika 17: Crystaldiskinfo Samsung SSD 128Gb (vir: lastni zajem ekrana) ................ 41
Slika 18: Crystaldiskinfo Intenso SSD 128Gb (vir: lastni zajem ekrana) ................. 41
Slika 19: FTK imager 3.3.0.5 izdelava istovetne kopije (vir: lastni zajem ekrana) .... 42
Slika 20: Zgoščene vrednosti po končanem postopku (vir: lastni zajem ekrana) ...... 42
Slika 21: X-Ways testna datoteka (vir: lastni zajem ekrana) ............................. 44
Slika 22: Informacije o datoteki (vir: lastni zajem ekrana) ............................... 44
Slika 23: Metapodatki testne datoteke (vir: lastni zajem ekrana) ....................... 45
Kazalo tabel
Tabela 1: Rezultati zgoščenih vrednosti ..................................................... 43
Tabela 2: Rezultati obnovljenih podatkov ................................................... 46
5
Povzetek
Preiskava kaznivih dejanj in predstavitev dokazov na sodišču sta ključnega pomena za
ugotovitev dejanskega stanja oziroma dokazovanje resnice.
V diplomskem delu smo na pregleden način predstavili definicijo digitalne forenzike,
njena načela in metodologijo. Definirali smo razliko med zavarovanjem in preiskavo
elektronske naprave kot tudi razlike med zavarovanjem živega in mrtvega sistema.
Opisali smo zgoščevalne funkcije, njihov pomen in določene pomanjkljivosti.
Integriteta podatkov in zagotavljanje, da se podatki niso spremenili, se lahko
zagotovita z uporabo zgoščevalnih funkcij.
Sodišče lahko uporabi dokaze, ki so bili pridobljeni na zakonit način, kar opredeljuje
Zakon o kazenskem postopku. Vsi dokazi, ki niso pridobljeni na takšen način, ne
morejo biti uporabljeni kot dokazi. V nadaljevanju smo predstavili programsko in
strojno opremo in opredelili pomen uporabe omejevalnika zapisovanja.
Diplomsko delo smo nadaljevali s predstavitvijo delovanja klasičnih trdih in SSD
diskov, ki uporabljajo bliskovni pomnilnik. Opisali smo arhitekturo in funkcije, ki se
uporabljajo za delovanje, kot tudi načine za reševanje podatkov v primeru okvare.
V praktičnem delu naloge smo prikazali razlike pri obnovi podatkov iz klasičnega
trdega in SSD diska. Z lastnimi testi smo prikazali problem zagotavljanja integritete
na SSD diskih, ki uporabljajo lastne krmilnike z operacijskim sistemom in bliskovni
pomnilnik.
Ključne besede: integriteta podatkov, zgoščevalne funkcije, bliskovni pomnilnik
6
Summary - Digital evidence and integrity in computer
forensics
Investigating criminal offences and presenting the evidence in court is of key
importance in determining the facts of the case or proving the truth.
The bachelor thesis presents the definition of digital forensics, its principles and
methodology in a clear way. It defines the difference between securing and
examining an electronic device, and the difference between securing alive or dead
system. It describes the hash functions, their importance and certain drawbacks.
Data integrity and assurance that the data has not been modified can be ensured by
using hash functions.
The court may use evidence that has been acquired legally, as laid down in the
Criminal Procedure Act. All evidence that has been acquired otherwise cannot be
used as evidence. The thesis afterwards presents the software and hardware, and
determines the importance of using a recording limiter.
The bachelor thesis continues with a presentation of the operation of classic hard
disk drives and SSDs that use flash memory. It describes the architecture and the
functions it uses to operate, as well as the methods of recovering data in the event
of failure.
The empirical section of the thesis shows the differences in recovering data from a
classic hard disk drive and an SSD. By running tests, the author has demonstrated the
problem of ensuring integrity on SSDs, which use their own controllers with an
operating system and flash memory.
Keywords: data integrity, compression functions, flash memory
7
1 Uvod
Vse večja uporaba digitalnih medijev in interneta klasične oblike kriminala seli tudi v
digitalni svet, v katerem se ustvarjajo novi kanali za komunikacijo in oblike kriminala
(Žvab in Dvoršek, 2012). Kriminalci in organizirane skupine so našli zavezništvo z
novimi tehnologijami, s katerimi izvajajo kazniva dejanja. Predvsem prevladujejo
razširjanje spolne zlorabe otrok, ribarjenje, izkoriščanje sistemskih virov, virusi,
orožje, mamila v povezavi z mnogimi drugimi.
V povezavi z vsemi naštetimi novimi oblikami kriminalnih dejanj, kjer so za
izvrševanje kaznivega dejanja v uporabi elektronske naprave, se je za dokazovanje
tovrstnih dejanj pojavilo novo dokazno gradivo, ki ga imenujemo digitalni dokaz.
Digitalni dokaz je po besedah Caseyja (2011) vsak podatek, shranjen ali prenesen z
uporabo računalnika, ki bi potrdil ali ovrgel teorijo, kako je prišlo do kaznivega
dejanja. Digitalni so tisti podatki, ki lahko vzpostavijo povezavo med kaznivim
dejanjem in žrtvijo, osumljencem ali dokažejo nastanek kaznivega dejanja. Takšni
podatki so lahko besedila, slike, video posnetki, elektronska pošta, internetni
klepeti, log datoteke id., ki prikazujejo dostop do določenih virov.
Zavedanje, da vsak posameznik v vse večji meri za seboj pušča elektronsko sled,
bodisi na elektronskih napravah ali internetu, priča o tem, kako pomembna postaja
digitalna forenzika.
Današnji pregled elektronskih naprav ni omejen samo na računalnike, telefone,
tablice, fotoaparate, pomnilniške kartice, temveč tudi na analizo dnevniških datotek
in internetnega prometa.
Pravilna uporaba tehnik forenzične preiskave in forenzičnih orodij ter znanje
preiskovalca imajo v celotnem postopku preiskave izreden pomen, saj napaka v
postopku lahko privede do izločitve določenega dokaza na sodišču (Kastelic in Škraba,
2012a).
8
1.1 Namen in cilji diplomskega dela
Cilj in namen diplomskega dela je primerjati klasične trde in SSD diske in ugotoviti,
ali njihova različna struktura, tako mehanska kot programska, vpliva na zagotavljanje
integritete skozi celoten postopek.
1.2 Postavitev predpostavk
V diplomskem delu bomo preverjali naslednje predpostavke:
H1: Ugotoviti, ali novi digitalni mediji lahko onemogočijo uspešno forenzično
zavarovanje.
H2: Ugotoviti, kje so težave pri pregledu takšnih naprav in kako poteka izločanje
takšnih dokazov v postopku.
Predpostavke so preverjene z izbranimi metodami raziskovanja.
1.3 Uporabljene metode raziskovanja
V diplomskem delu bomo uporabili deskriptivno metodo raziskovanja. Podatke bomo
pridobili s pomočjo proučevanja strokovne literature, najdene v domačih in tujih
bibliografskih zbirkah, strokovnih člankov, pravnih aktov in internetnih virov. Ravno
tako bomo uporabili opazovanje z udeležbo na podlagi lastnih izkušenj s področja
digitalne forenzike in informacijskih tehnologij. Ugotovitve raziskovalnega dela bodo
predstavljene z lastnimi testi.
9
2 Digitalna forenzika in njena načela
Definicij, kaj točno je računalniška forenzika, je mnogo, ena izmed njih pa je, da je
to proces identifikacije, zavarovanja ter analiziranje in predstavljanje dokazov v
elektronski obliki na način, ki je zakonsko sprejemljiv (McKemmish, 1999). Digitalni
dokazi morajo biti zavarovani na način, da lahko ustvarimo rekonstrukcijo dogodkov v
digitalni obliki.
Pomembno je namreč dejstvo, da zaradi digitalizacije in vse večje uporabe
elektronskih naprav pri vsakdanjem delu digitalni dokazi zaradi svoje nepristranskosti
postajajo vse večje dokazno sredstvo v kazenskih postopkih. Dokazi, ki jih imamo v
analogni obliki, namreč niso problematični za razumevanje, saj je analogno sliko ali
negativ težje ponarediti kot dokaze v digitalni obliki, ki jih je razmeroma enostavno
ponarediti ali prirediti (Selinšek, 2012).
Digitalna forenzika se kot mlada veda ne uporablja samo v namene dokazovanja v
sodnih postopkih, temveč tudi v civilnih, kjer se razkrivajo digitalni dokazi. Sodišče
kot pravno dopustno sredstvo namreč določa digitalne dokaze, ki so bili pridobljeni
ob upoštevanju vseh standardov digitalne forenzike in na zakonit način. Pomembno
je dejstvo, da morajo biti vsi dokazi shranjeni in analizirani po načelih, ki morajo biti
upoštevana pri izvedbi digitalne forenzike, zato bomo našteli le najpomembnejša
(Šavnik, 2012).
Dokumentiranje postopkov
Vse dejavnosti v zvezi s forenzičnimi postopki glede digitalnih dokazov morajo biti
natančno dokumentirane, hranjene in dostopne za pregled tako, da jih lahko ponovi
tretja neodvisna stranka in doseže enak rezultat.
Integriteta podatkov
Noben postopek ne sme spremeniti originalnega izvoda podatkov. Če namerava
preiskovalec izvajati forenzično preiskavo podatkov, mora narediti delovno kopijo
originala.
Načelo strokovnosti
10
Preiskovalec ne sme preseči ravni svojega znanja. Vsak nujni neposredni dostop do
originalnega izvoda digitalnih dokazov, ki se zaradi tega lahko spremeni, poškoduje
oz. delno ali v celoti uniči, mora opraviti primerno usposobljen strokovnjak.
Načelo zakonitosti
Načelo govori o ustreznem varovanju digitalnih dokazov in odgovornosti posameznika
za vse dejavnosti z njimi. V ta namen mora biti vzpostavljena skrbniška veriga, v
katero se beležijo vse dejavnosti glede zasega, dostopa, hrambe ali prenosa
digitalnih dokazov.
Digitalna forenzika je mlada veda, zato se srečuje z odprtimi vprašanji o uporabi
forenzičnih orodij, izkušnjami in ustrezno izobrazbo preiskovalca kot tudi problemi
pri predstavitvah izsledkov preiskav. Za uspešno interpretacijo predstavljenih
končnih izdelkov forenzika je pomembno, da so posamezniki, ki delujejo znotraj
pravosodja, seznanjeni s posebnostmi, ki jih predstavljajo. Treba se je namreč
zavedati, da zaseg elektronske naprave ne predstavlja dokaza, predstavlja ga
digitalna informacija, ki jo elektronska naprava vsebuje (Selinšek, 2012).
Kot smo ugotovili, je Šavnik (2012) opisal osnovna načela, ki jih je Slovenska policija
v letu 2012 nadgradila z izoblikovanjem načel digitalne forenzike, ki so sestavljena iz
11 sklopov in so usklajena s trenutno veljavno zakonodajo in veljavnimi dognanji
(Kastelic in Škraba, 2012b):
1. pri delu s podatki v elektronski obliki je treba upoštevati splošna forenzična
pravila in zakonske določbe za zavarovanje dokazov;
2. uporabljeni postopki morajo biti na področju digitalne forenzike splošno
priznani, sicer morajo biti podatki v elektronski obliki zbrani in shranjeni na
znanstveni način;
3. vsak postopek, ki bi lahko spremenil, poškodoval ali uničil kateri koli del
originalnega izvoda podatkov v elektronski obliki, mora opraviti primerno
usposobljeni strokovnjak;
4. vsaka enota mora uporabljati strojno in programsko opremo, ki je primerna in
učinkovita za postopek zavarovanja in preiskave podatkov v elektronski obliki;
5. vsak postopek zavarovanja ali preiskave podatkov v elektronski obliki mora biti
natančno dokumentiran, tako da ga lahko preveri tretja stranka in doseže enak
rezultat;
11
6. noben postopek ne sme spremeniti originalnih podatkov. Preiskavo podatkov v
elektronski obliki je treba opraviti na identični delovni kopiji, ki ne sme biti
edina;
7. v izjemnih primerih, ko je to nujno potrebno, se lahko dostopa do originalnih
podatkov, vendar mora biti izvajalec za to primerno usposobljen in mora znati
pojasniti nujnost in posledice takega načina dela;
8. z zaseženimi elektronskimi napravami in zavarovanimi podatki v elektronski
obliki je treba ravnati pravilno ter jih zaščititi pred poškodbami;
9. vsi podatki v elektronski obliki morajo biti ustrezno varovani, zato mota biti v ta
namen vzpostavljena jasno dokumentirana njihova sledljivost;
10. zagotoviti je treba redno posodabljanje dokumentov standardnih operativnih
postopkov, da se zagotovi njihova primernost in učinkovitost;
11. vsaka enota, ki je odgovorna za zaseg elektronskih naprav, zavarovanje in
preiskovanje podatkov v elektronski obliki, mora ravnati v skladu s temi načeli.
Slovenska policija je s tem postavila preiskovalcem temeljni okvir za delo, ki se ga
morajo držati, da zagotovijo strokovno dopustne postopke digitalne forenzike
(Škraba, 2014).
2.1 Postopek zavarovanja elektronske naprave
Ob upoštevanje opisane metodologije dela se moramo zavedati, da je zavarovanje
elektronske naprave edinstveno opravilo, ki nam omogoča, da vsa nadaljnja opravila
lahko večkrat ponovimo.
Proces zavarovanja podatkov je proces, ki se začne z identifikacijo elektronskih
naprav, fizično na kraju dogodka. Treba je namreč zagotoviti, da se elektronski
podatki ne izgubijo ali uničijo. Predvsem pomembni so podatki, ki se nahajajo v
delovnem pomnilniku naprave in se ob prekinitvi električnega napajanja izgubijo.
Posledično se pri zavarovanjih v primerih, da je računalnik prižgan, ne uporablja več
način, kjer se je računalnik med delovanjem enostavno odklopil iz električnega
napajanja. Tak način je bil aktualen v časih, ko še ni bilo šifriranih oblačnih storitev,
šifriranih diskov in ostalih pomembnih storitev. Preiskovalci so ugotovili, da so tako
izgubili preveč podatkov, zato se tak način zavarovanja ne uporablja več (Solomon,
Rudolph, Tittel, Broom in Barrett, 2011).
12
Današnje zavarovanje pozna dve tehniki, ki se med seboj ločita glede na status, v
katerem se nahaja računalnik (Vacca, 2002). Ta je lahko prižgan ali ugasnjen. V
prvem delu bomo predstavili postopek zavarovanja živega sistema.
Slika 1: Postopek zavarovanja živega sistema (vir: Kardoš, 2010)
V primeru, ko računalnik deluje, je v začetni fazi potrebno zavarovati prizorišče ter
miško in tipkovnico. V nadaljevanju preverimo, v kakšnem stanju se dejansko nahaja
računalnik. Obstaja namreč možnost, da je v stanju spanja in ni fizično ugasnjen ali
pa je ugasnjen samo ekran. V teh primerih je najlažje, če premaknemo miško ali
pritisnemo tipko SHIFT, ki računalnik zbudi iz stanja spanja (Majcen, 2011). Preveriti
je potrebno, ali se računalnik nahaja v omrežju, in sicer fizično s kablom ali preko
WIFI povezave. V primeru, da na ekranu vidimo premikanje miške ali druge določene
akcije, moramo fizično onemogočiti dostop do mreže.
Potrebno je omeniti, da se na računalniku lahko nahaja več možnih pasti, ki jih
uporabnik ali kdo drug lahko sproži z določeno kombinacijo tipk, ali pa se pod legalno
ikono skriva program, ki izvede neko drugo komando, kot jo pričakujemo. Pri analizi
živega sistema se je treba zavedati, da se izpostavljamo nevarnosti, da je na sistemu
nameščena zlonamerna programska koda, ki prekriva nekatere digitalne dokaze
(Majcen, 2011).
13
V primeru, da je računalnik povezan v omrežje ali je računalnikov več, je
priporočljivo, da aktualno stanje slikamo, saj le na tak način lahko naredimo
rekonstrukcijo celotnega omrežja.
Ko je računalnik izoliran, je treba preveriti, ali se na računalniku uporabljajo šifrirni
programi, kot so Bitlocker, Drive Crypt, TrueCrypt in podobni. V tem primeru
izvedemo zavarovanje hlapljivih podatkov iz delovnega pomnilnika na ustrezen
sterilen medij.
Gubanov (2016) govori o pomembnosti zajema delovnega pomnilnika, saj ta glede na
raznolikosti operacijskih sistemov, aplikacij ter procesov v večini primerov iz t. i.
dumpa prikaže podatke o:
zagnanih procesih,
omrežni povezavi,
odprtih datotekah,
nastavitvenih datotekah,
šifrirnih ključih,
oblačnih storitvah,
odprtih aktivnih registrskih ključih,
podatkih iz registra,
pogovorih z družabnih omrežij,
sistemskih informacijah,
šifriranih delih trdega diska.
Pri zasegu t. i. neobstojnih podatkov je potrebno po končanem postopku nastali
datoteki, ki predstavljata t. i. dump delovnega pomnilnika, zagotoviti ustrezno
istovetnost in digitalni podpis, kar bomo predstavili v nadaljevanju. Istovetnost
zagotovimo posamezni datoteki ali celotni sliki, in sicer na način izračuna unikatne
zgoščene vrednosti, ki jo zapišemo v zapisnik.
V primeru selektivnega zasega, kjer se zavaruje določena vsebina, npr. poštni predal
določene osebe, video posnetek iz nadzornih kamer in podobno, moramo po
končanem postopku zavarovanim datotekam izračunati zgoščeno vrednost, ki jo
zapišemo v zapisnik (Hash function, 2016).
14
Sterilen medij je definiran kot medij, na katerem so vsi biti prepisani, da bi izločili
kakršen koli predhodno zapisan podatek. Celoten medij se prepiše z ničlami in tako
pobriše vse predhodno zapisane podatke. Le takšen medij na sodišču predstavlja
dokaz, da predhodno na mediju ni bilo podatka o prejšnjem zavarovanju ali kakšnem
drugem podatku (Medlin in Crazier, 2010).
Obstajajo primeri, ko je računalnik izklopljen. V tem primeru se uporablja način, ki
je razviden iz spodnje slike.
Slika 2: Postopek zavarovanja mrtvega sistema (vir: Kardoš, 2010)
Računalnik se v tem primeru ustrezno popiše in zapečati v ustrezno škatlo.
V forenzičnem laboratoriju se računalnik odpečati in poslika. Računalnik se odpre in
odstranijo se vsi spominski mediji, ki jih vsebuje. Obenem se o zavarovanju začne
pisati zapisnik, ki vsebuje podatke, kdaj smo zavarovanje začeli, kdo je osumljen, za
katero kaznivo dejanje gre, ali zavarovanje opravljamo na podlagi privolitve ali
odredbe sodišča. Zapisnik vsebuje točen model trdega diska z vsemi tehničnimi
podatki, ki jih vsebuje.
15
Trdi disk se priklopi na omejevalnik zapisovanja, ki preprečuje spreminjanje
podatkov na izvornem mediju. Po končanem postopku program za zavarovanje
podatkov v datoteko izpiše še zgoščene vrednosti po algoritmu MD5 in SHA1. Izpisane
so tudi morebitne napake, v primeru, da je disk poškodovan in ima slabe sektorje. Vsi
pridobljeni podatki se vpišejo v zapisnik o zavarovanju elektronskih naprav. Po
končanem postopku se trde diske vrne na svoje mesto.
2.2 Postopek preiskave elektronske naprave
Postopek preiskave elektronske naprave sledi zavarovanju podatkov in pomeni
iskanje relevantnih vsebin po zavarovanih podatkih oziroma njihov vsebinski pregled
(Selinšek, 2012).
Ob upoštevanju veljavne zakonodaje moramo postopek izvesti na način, ki je
zakonsko sprejemljiv, obenem pa moramo upoštevati sprejeta načela digitalne
forenzike.
Zakonsko je preiskava elektronske naprave opredeljena v enajstih odstavkih 219.a
člena Zakona o kazenskem postopku (Zakon o kazenskem postopku [ZKP], 2014):
V prvem odstavku definira elektronsko napravo ter nosilce, ki lahko vsebujejo
elektronske podatke, kot so telefon, telefaks, disketa, optični mediji,
računalnik, tablični računalnik in spominske kartice. Opredeljeno je, da se
preiskava lahko opravi samo, če so podatki utemeljen razlog za sum, da je bilo
storjeno kaznivo dejanje in je podana verjetnost, da elektronska naprava
vsebuje elektronske podatke, na podlagi katerih je mogoče osumljenca
identificirati, odkriti ali prijeti ali odkriti sledove kaznivega dejanja, ki so
pomembni za kazenski postopek ali jih je mogoče uporabiti kot dokaz v
kazenskem postopku.
V drugem odstavku narekuje, da se preiskava sme opraviti samo na podlagi pisne
privolitve imetnika ter znanih in dosegljivih uporabnikov elektronske naprave, ki
na njej utemeljeno pričakujejo zasebnost. V primeru, da uporabnik take
privolitve ne da, se preiskava opravi na podlagi obrazložene odredbe sodišča,
izdane na predlog državnega tožilca. Odredba sodišča se pred začetkom
preiskave izroči imetniku oziroma uporabniku elektronske naprave.
Tretji odstavek točno definira, da morata predlog in odredba za preiskavo
elektronske naprave vsebovati podatke, ki omogočajo identifikacijo elektronske
16
naprave, ki se bo preiskala, utemeljitev razlogov za preiskavo, opredelitev
vsebine podatkov, ki se iščejo, ter druge pomembne okoliščine.
V četrtem odstavku narekuje, da se preiskava elektronske naprave lahko odredi v
odredbi za hišno ali osebno preiskavo. Državni tožilec v tem primeru poda
predlog za hišno ali osebno preiskavo.
V petem odstavku točno definira, da v primerih, ko obstaja neposredna
nevarnost za varnost ljudi in premoženja in pisne odredbe ni mogoče pravočasno
pridobiti, lahko preiskovalni sodnik na ustni predlog državnega tožilca odredi
preiskavo elektronske naprave z ustno odredbo. Najkasneje v dvanajstih urah po
izdaji ustne odredbe mora biti izdana odredba v nasprotnem primeru mora
policija, ki je odredbo izvršila, shranjene ali kopirane podatke zapisniško uničiti,
o tem pa mora v osmih dneh obvestiti preiskovalnega sodnika, državnega tožilca
in imetnika elektronske naprave.
V šestem odstavku točno opredeljuje imetnika, ki mora omogočiti dostop do
naprave, predložiti šifrirne ključe ter morebitna šifrirna gesla ter pojasniti, kako
se naprava uporablja, če je to potrebno. V primeru, da imetnik ne ravna tako, se
ga sme kaznovati, razen v primeru, če gre za osumljenca ali osebo, ki ne sme biti
zaslišana kot priča.
Definicija sedmega odstavka točno definira preiskavo elektronske naprave, ki se
mora opraviti na način, da se ohranita integriteta izvornih podatkov in možnost
njihove uporabe v nadaljnjem postopku. Preiskava elektronskih naprav mora biti
opravljena na način, da se ne posega v pravice oseb, ki niso osumljenci ali
obdolženci, in da se ne povzroča škoda.
Osmi odstavek točno definira, da preiskavo lahko opravi strokovno usposobljena
oseba, ki mora o preiskavi napisati zapisnik. V točni definiciji je opredeljeno, da
mora zapisnik vsebovati točno identifikacijo elektronske naprave, ki je bila
pregledana. V zapisniku morajo biti podatki o datumu in uri začetka in konca
preiskave oziroma morajo biti ti ločeni v primeru več preiskav. Opredelijo se
morebitne sodelujoče in navzoče osebe pri preiskavi, številko odredbe in sodišče,
ki jo je izdalo. Opredeljeni morajo biti način izvedbe preiskave, ugotovitve
preiskave in druge pomembne okoliščine.
Deveti odstavek zakona navaja, da preiskovalec v primeru najdbe podatkov, ki
kažejo na drugo uradno pregonljivo kaznivo dejanje, to navede v zapisniku o
preiskavi in o tem takoj obvesti državnega tožilca, da začne kazenski pregon. V
primeru, da državni tožilec spozna, da ni razloga za kazenski pregon, se ti
podatki zapisniško uničijo, o uničenju pa se sestavi zapisnik.
17
V desetem odstavku je definirano, da se v primeru preiskave, ki se opravlja v
prostorih državnih organov, podjetij ali drugih pravnih oseb, povabi njihov
predstojnik, ki naj bo pri preiskavi navzoč. V primerih preiskave v vojaškem
objektu se povabi vojaški starešina, ki je navzoč pri preiskavi. O hišni ali osebni
preiskavi se napiše zapisnik, kjer se natančno opišejo predmeti ali listine, ki se
zasežejo. Zapisnik se izda tistemu, pri katerem se opravi preiskava, ali
njegovemu zastopniku.
Enajsti odstavek točno narekuje, da elektronske naprave, ki so bile preiskane
brez odredbe sodišča ali brez pisne privolitve, sodišče svoje odločbe ne more
opreti na tako pridobljene dokaze.
Pri preiskavi si lahko bistveno pomagamo z uporabo znanih zgoščenih vrednosti, tako
imenovanih »dobrih datotek«. Med preiskovalci bolj znana in uporabljena je baza
NSRL1 ali nacionalna programska referenčna knjižnica. Baza vsebuje znane zgoščene
vrednosti operacijskih sistemov in programskih paketov. Preiskovalec pri svojem delu
tako ni vezan na pregled vseh datotek, ampak samo na datoteke, ki jih NSRL baza ne
izloči kot »dobre«. Pri pregledu digitalnih sledi pa preiskovalec lahko uporabi tudi
bazo »slabih« zgoščenih vrednosti, ki se uporablja predvsem pri preiskovanju spolnih
zlorab otrok.
2.3 Postopki digitalne forenzike
Upoštevanje veljavne zakonodaje in ostalih internih aktov posamezne organizacije je
v veliki meri posledica tega, da organizacija za doseganje svojih ciljev predpiše
načine, kako jih doseže. V teh primerih lahko rečemo, da je znotraj organizacij
smiselno uporabljati lastno metodologijo dela, ki jo uporabljajo člani organizacije, ki
jo je sprejela (Špeh, 2011). Metodologija je dinamična in se stalno spreminja na
podlagi novih postopkov, smernic, standardov, izkušenj, načel in idealov.
Policija je v ta namen v letu 2012 v svojem priročniku opisala 15 sklopov načinov dela
in postopkov posameznih faz, ki so usklajeni z veljavno zakonodajo in obenem
upoštevajo vsa pravila digitalne forenzike (Kastelic in Škraba, 2012b):
1 National Software Reference Library vsebuje podatkovno bazo izračunanih zgoščenih
vrednosti sistemskih datototek in programskih paketov z algoritmom MD5 in SHA1 (NSRL, 2017).
18
zaznavanje in obveščanje (informacija, da bo treba izvesti postopek digitalne
forenzike);
avtorizacija in potrditev, da sta dosežena dokazni standard in dovoljenje
pristojnih za izvedbo postopka;
priprava in načrtovanje (strategija pristopa in načrtovanje preiskave na podlagi
zakonskih in organizacijskih omejitev);
zavarovanje fizičnega kraja dogodka (zavarovanje kraja dogodka z namenom, da
se pred uničenjem in spreminjanjem zavarujejo dokazi v materialni obliki);
iskanje in identificiranje fizičnih dokazov (iskanje in identificiranje elektronskih
in z njimi povezanih naprav, nosilcev podatkov in drugih predmetov za kasnejši
zaseg);
zavarovanje digitalnega kraja dogodka (zavarovanje elektronskih in z njimi
povezanih naprav pred izgubo podatkov ter zunanjim dostopom prek omrežja –
tako imenovano zamrznitev stanja);
iskanje in identificiranje digitalnih dokazov (iskanje in identificiranje podatkov v
elektronski obliki, njihovih struktur ter pojavnih oblik za kasnejše zavarovanje);
zaseg predmetov in zavarovanje podatkov (zaseg predmetov in zavarovanje
podatkov na način, ki omogoča njihovo hrambo in kasnejšo uporabo v postopku);
zapečatenje predmetov in zagotavljanje integritete (zagotavljanje
nedotakljivosti zaseženih predmetov in istovetnosti ter integritete zavarovanih
podatkov);
dokumentiranje postopka pridobitve dokazov (dokumentiranje in fotografiranje
pomembnejših dejstev, podrobnosti ter okoliščin glede zasega predmetov in
zavarovanje podatkov v elektronski obliki);
prenos in hranjenje dokazov (prenos dokazov na primerno lokacijo za kasnejšo
preiskavo in hramba dokazov za čas preiskave);
rekonstrukcija in preiskovanje dokazov (rekonstrukcija zaseženih dokazov
oziroma restavriranje zavarovanih podatkov in postopek njihovega preiskovanja);
redukcija in analiziranje dokazov (podatke, ki bi na podlagi preiskave lahko bili
dejanski dokazi v postopku, je treba najprej ločiti od tistih, ki to zagotovo niso,
nato pa jih je treba analizirati in ugotoviti njihovo dejansko relevantnost);
dokumentiranje postopka preiskave (dokumentiranje pomembnejših dejstev
glede rekonstrukcije in preiskovanja dokazov, postopka redukcije ter analiziranja
in morebitnih drugih pomembnejših ugotovitev);
19
predstavitev in pričanje (v primeru poziva na sodišče je potrebno pričanje o
svojem delu in predstavitev dokazov v elektronski obliki ter ugotovitev v zvezi z
njimi).
Ob upoštevanju zgoraj opisanih pravil je preiskovalec pri svojem delu učinkovitejši,
ugotovitve in izsledki preiskave pa na sodišču predstavljajo dokaz.
2.4 Oprema za izvajanje digitalne forenzike
Preiskovalci pri svojem delu za uspešno delovanje potrebujejo predvsem dve glavni
vrsti opreme, in sicer strojno in programsko opremo.
Pomembno je, da izpostavimo uporabo komercialnih in brezplačnih orodij.
Komercialna orodja se namreč največkrat podaljšujejo v obliki nakupa letnih licenc.
Brezplačna orodja se lahko pridobijo v obliki celotnih zbirk forenzičnih orodij kot
npr. Kali Linux.
Programska orodja, ki se uporabljajo pri preiskavah in zavarovanju:
Forensic Toolkit (FTK) – orodje, v forenzičnem svetu poznano kot švicarski nož, z
enostavnim grafičnim vmesnikom, ki omogoča razbijanje gesel, analizo mobilnih
naprav, avtomatsko ustvarjanje poročil, preiskavo Volume Shadow Copy, analizo
zajetega hlapljivega pomnilnika, analizo škodljive kode, geo lokacije, analizo
poštnih predalov, podatkovno in diskovno podporo za šifrirane diske (Forensic
Toolkit, 2016).
X-Ways Forensics (X-Ways) - omogoča izdelavo istovetnih kopij z datotečnih
sistemov, kot so FAT12, FAT16, FAT32, exFAT, Ext2, Ext3, Ext4, UDF. Prednost
orodja je v sestavljanju RAID podatkovnih polj v načinu JBOD, RAID 0, RAID 5,
RAID 6, Windows dinamičnih diskovnih polj ter Linux programskih RAID polj,
izračun zgoščenih vrednosti, obnovo podatkov, iskanje po ključnih besedah in
ustvarjanju poročil (X-Ways, 2017).
Encase Forensic - EnScript omogoča uporabo pripravljenih skript kot pisanje
svojih, izločanje podatkov iz aktivnega imenika, analizo strojne opreme,
pregledovalnik registra, pregled in analizo zgodovine brskanja po spletu, analizo
hlapljivih podatkov, zajetih iz delovnega pomnilnika, zajem podatkov in
ustvarjanje zgoščenih vrednosti ter primerjavo z obstoječimi bazami (Encase
Forensic, 2017).
20
SANS Investigative Forensic Toolkit (SIFT) - orodje za pregled zavarovanih vsebin
v formatih E01 - expert witness format, AFF - advanced forensic format in DD -
raw format. Integrirana so različna orodja: Wireshark, Scalpel, Voatility,
Autopsy, Mantaray, namenjena analizi omrežnih protokolov, hlapljivih podatkov
in obnovi podatkov. Podprti so datotečni sistemi MS-DOS, FAT, VFAT, NTFS, HFS,
UFS ter ext2,3,4 (SANS, 2016).
P2 COMMAND KIT - mrežna forenzična rešitev, živo pridobivanje podatkov z
mreže,P2 vsebuje prikritega agenta, ki omogoča pridobivanje podatkov in
iskanje, brez da bi se uporabnik zavedal, da ga preiskujejo, hranjenje podatkov
v šifriranih forenzičnih shrambah in generiranje poročil, ki potrjujejo integriteto
dokazov (Paraben, 2016).
Programska oprema tvori celoto v kombinaciji z ustrezno delovno postajo, ki
omogoča sistematično in avtomatizirano izvedbo postopkov (Škraba, 2014).
Forenzična delovna postaja predstavlja bistveno orodje, ki ga preiskovalec uporablja
pri svojem delu. Postaja mora biti sestavljena iz primerno velikega ohišja, ki lahko
shrani večjo količino trdih diskov, namenjenih shranjevanju zavarovanih podatkov za
namen preiskav. V delovni postaji mora biti matična plošča, ki mora imeti možnost
priklopa različnih zunanjih naprav preko USB 3.0 povezave, eSata, Firewirera,
omrežnega adapterja in ostalih naprav. Zmogljiv osrednji procesor in velika
kapaciteta delovnega pomnilnika pripomoreta, da preiskovalec lahko opravlja več
nalog v istem času. DVD in Bluray snemalniki se uporabljajo za snemanje izločenih in
zavarovanih podatkov za tožilstvo in nosilca predmetne zadeve. Grafična kartica z
več izhodi z možnostjo prikaza slike na več ekranih je priporočljiva, saj preiskovalci
pri svojem delu največkrat za prikaz uporabljajo več ekranov.
K osnovni opremi sodijo različni priključki ter adapterji, ki omogočajo priklop
različnih elektronskih naprav. Pomemben del zaradi zagotavljanja istovetnosti in
neposeganja v izvorne podatke predstavljajo preprečevalniki zapisovanja (Guidance,
2008).
21
Slika 3: Tableau preprečevalnik zapisovanja (vir: lastna slika)
Zaradi zagotavljanja kompatibilnosti različnih standardov in načina priklopov
elektronskih naprav se pri uporabi preprečevalnika zapisovanja uporabljajo različni
adapterji za priklop.
Slika 4: Adapterji preprečevalnika zapisovanja (vir: lastna slika)
Del opreme preiskovalca predstavljata tudi prenosni računalnik z možnostjo priklopa
različnih vrst dodatnih naprav ter forenzični prenosni kit za opravljanje forenzike na
mobilnih napravah, tablicah in navigacijskih napravah.
22
3 Trdi diski
Trdi disk je naprava, na katero namizni računalniki, prenosni računalniki, strežniki in
različne ostale elektronske naprave lahko trajno zapisujejo podatke. Je poceni in ob
izklopu ohrani vsebino. Na trdem disku so tako zapisani operacijski sistem, programi
in ostali podatki, pomembni za delovanje računalnika.
Največkrat uporabljeni velikosti sta 3.5¨ in 2.5¨ palca, bistvena razlika med njimi pa
se odraža v hitrosti vrtenja plošče, ki se v običajnih diskih giblje med 5400 in 7200
obratov ter do 10000 obratov v tistih v strežnikih. Od tega je namreč odvisno, kakšen
dostopni čas dosežemo pri branju podatkov. Posledično je od tega odvisno tudi, kako
hitro bomo lahko prebrali ali zapisali določen podatek. Kot si bomo pogledali v
nadaljevanju, pri sestavi trdega diska, je sestavljen iz plošč, ki jih lahko povežemo
več skupaj. Od tega je odvisna kapaciteta, ki se je pri starejših diskih odražala v
megabajtih (MB), pri novejših pa se odraža v terabajtih (TB) (Dpi, 2008).
Različne velikosti trdih diskov so razvidne iz spodnje slike.
Slika 5: Različne velikosti trdih diskov (vir: Hard Disk Drive, 2017)
3.1 Arhitektura trdega diska
Trdi disk je sestavljen iz ohišja, na katerem so napisane specifikacije, kot so velikost,
datum izdelave, model, serijska številka. Na ohišju se nahaja logično vezje,
23
sestavljeno iz elektronskih komponent, ki skrbijo za pravilno komuniciranje preko
podatkovnega vmesnika, kot delovanja krmilnega motorja, magnetne glave, ki je
nameščena na mehanizem za premikanje glav. Glavni deli trdega diska so tako
sestavljeni iz (Dpi, 2008):
plošče z magnetnim medijem in motorja za pogon plošč,
ročice z bralno-pisalnimi glavami,
elektronike za branje in pisanje,
elektromehanskega servo in krmilnega sistema,
krmilnika in vmesnika do vodila.
Slika 6: Sestava trdega diska (vir: Ehsan, 2015)
V notranjosti so nameščene magnetne okrogle plošče, ki se vrtijo okoli svoje osi.
Preko komunikacijskega vmesnika računalnik pošilja ukaze, ki preko krmilnika
ustrezno posredujejo podatke bralno-pisalnim glavam (Kozierok, 2001).
Za uspešno zapisovanje podatkov je potrebna električna napetost, ki ustvari
magnetno polje v prostoru med bralno-pisalno glavo in ploščo. Od polaritete
napetosti je odvisno, kakšno vrednost želimo zapisati na medij. Medij v tem primeru
lahko sprejme le dve vrednosti, in sicer nič ali ena.
24
3.2 Arhitektura bliskovnih pomnilnikov
Prednost pri delovanju bliskovnega pomnilnika je, kot bomo videli v nadaljevanju ,
predvsem v tem, da pri sestavi ni uporabljenih premikajočih sestavnih delov.
Posledično so odpornejši na udarce in zunanje vplive pri delovanju. Bliskovne
spominske naprave so ločeni sistemi, kjer je vsaka komponenta prilotana na vezje
(PCB-Printed circuit board). Bliskovni pomnilniki so razdeljeni v dve večji kategoriji:
RAM (Random access memory),
ROM (Read only memory).
Podatki so v ROM pomnilnik lahko samo zapisani. Informacije, ki jih zapišemo, so v
njem shranjene za vedno. RAM pomnilnik se od ROM pomnilnika razlikuje po tem, da
se informacije, ki jih zapišemo in jih lahko prepišemo, izgubijo v trenutku, ko
ostanejo brez napetosti (in Boddington, 2010).
V nalogi smo v prejšnjem poglavju predstavili problem, ki ga predstavljajo tako
imenovani neobstoji podatki, ki v tem primeru predstavljajo podatke, shranjene v
RAM pomnilniku. Najpogosteje je zato ključnega pomena pravilno načrtovanje zasega
neobstojnih podatkov, saj ti velikokrat v sebi hranijo nepogrešljiv vir informacij. V
pomnilniku tako lahko najdemo shranjene internetne povezave, nešifrirane ključe,
oblačne storitve, aktivne seje, shranjena gesla in druge ključne elemente,
pomembne za preiskavo.
Slika 7: SSD krmilnik (vir: Ngo, 2013)
25
Bell in Boddington (2010) pri tem izpostavljata slabosti v primerjavi s klasičnim trdim
diskom, kjer se podatki kljub izgubi napajanja ne izgubijo.
3.2.1 Podatkovna struktura na trdem disku
Helba (2010) opisuje podatkovno strukturo na trdem disku in način, kako se podatki
shranjujejo na plošče, ki so prevlečene s feromagnetno plastjo. Podatki so zapisani v
koncentričnih krogih, ki jih imenujemo sledi (ang. Track). Vsaka sled je razdeljena na
več sektorjev (ang. Sector), ki so zaradi zmogljivosti trdega diska združene v več
plošč, sledi z enakim polmerom pa tvorijo cilinder.
Sektor je najmanjši del informacije, ki se lahko zapiše na trdi disk ali se iz njega
prebere. Njegova vsebina je sestavljena iz uvodnega dela z naslovom, podatkovnega
dela ter dela z biti, ki je namenjen odkrivanju in popravljanju napak.
Kot smo povedali predhodno pri zavarovanju naprav, je pomembno, da se zavaruje
celoten nosilec, saj ima trdi disk poleg dela, kjer so dejansko zapisani podatki, še
rezerviran prostor.
Pri tem je treba izpostaviti tri pojme (Carrier, 2011):
nedodeljen prostor (ang. Unallocated Space): opredeljuje gruče, ki jih ne
zasedajo podatki; nedodeljen prostor tako lahko predstavlja informacije o
pobrisanih datotekah;
mrtev prostor (ang. Slack space): predstavlja preostali prostor med koncem
podatkov in koncem določen gruče; tako lahko vsebuje podatke o predhodno
pobrisanih datotekah, ki so delno prepisane z novimi podatki.
dodeljen prostor (ang. Allocated Space): sestavljajo ga gruče z vsebnostjo
datotek.
V vsakega od teh namreč z dovolj naprednim znanjem lahko shranimo podatke, zato
mora biti preiskovalec pozoren pri preiskavi, tudi pri pregledu opisanih delov nosilca.
3.3 NAND bliskovni pomnilnik
Najprej moramo povedati, da se delovanje NAND bliskovnega pomnilnika razlikuje od
delovanja klasičnega trdega diska, saj v tem primeru nimamo mehanskih delov, ki
26
skrbijo za delovanje. NAND bliskovni pomnilnik je namreč sestavljen iz več
tranzistorjev (en tranzistor na celico). Prednost takšnega delovanje je v tem, da se
tehnologija NAND v elektronskih napravah uporablja za brisanje, pisanje in
shranjevanje podatkov, ki se ohranijo tudi, ko naprava ugasne (Larrivee, 2016).
Delovanje dosežemo na način tako imenovanih plavajočih tranzistorjev, ki deluje na
način, da ustvarijo naboj in spodbudijo elektrone, da se premaknejo v kletko. Naboji,
ki jih predstavljajo takšni elektroni, so nato trajno ujeti znotraj kletke, ne glede na
to, ali je računalnik prižgan ali ugasnjen (Larrivee, 2016).
Slika 8: Delovanje NAND pomnilnika (vir: How Does NAND Flash Memory Work, 2009)
3.3.1 Pomnilniški krmilnik v bliskovnem pomnilniku
Glavni nalogi pomnilniškega krmilnika sta zagotavljanje komunikacije med
pomnilnikom in zagotavljanje podatkov na pomnilniku. Krmilnik deluje po podobnem
principu kot na običajnem trdem disku, vendar ne zagotavlja samo dodatnih
funkcionalnosti, kot je funkcija S.M.A.R.T. (Self-Monitoring, Analysis and Reporting
Technology), in obvladovanje slabih sektorjev, vendar ima implementirane še
dodatne funkcije. Dve najbolj pomembni sta TRIM in mehanizem za izravnavanje
obrabe celic (Wear-leveling), ki si ju bomo ogledali v nadaljevanju. Krmilnik je
vgrajen v procesor, ki izvaja kodo na ravno strojno-programske opreme in je eden
izmed pomembnejših dejavnikov uspešnosti polprevodniških diskov (Larrivee, 2016).
3.3.2 Funkcija TRIM
Trim funkcija omogoča brisanje blokov, ki jih operacijski sistem označi za brisanje
oz. prepis. Ko se določena datoteka označi za izbris, operacijski sistem preko
krmilnika pošlje komando, ki prekopira celotni blok v predpomnilnik, izbriše stran (na
kateri je datoteka) in zapiše celoten blok nazaj s praznimi stranmi (Larrivee, 2016). S
27
tem poskrbimo, da so bloki vedno pripravljeni za pisanje. Funkcija ima negativni
učinek na forenzično analizo in obstojnost podatkov. Po brisanju ne more biti
zagotovljena zaradi krmilnika SSD diska, ki se odloči, kdaj in katere označene bloke
pobriše. Funkcija je v novih operacijskih sistemih vključena avtomatsko, vendar jo
lahko vklopimo in izklopimo tudi preko ukazne vrstice v operacijskem sistemu
Windows. Vpliv funkcije si bomo ogledali na praktičnem primeru v nadaljevanju, kjer
bomo funkcijo za testne namene tudi izklopili. Za različne operacijske sisteme
uporabimo različne ukaze.
Windows operacijski sistem
Preverjanje statusa funkcije v ukazni vrstici
fsutil behavior set disabledeletenotify
VKLOP
fsutil behavior set disabledeletenotify 0
IZLOP
fsutil behavior set disabledeletenotify 1
MacOS
V terminalnem oknu izvedemo ukaz:
Sudo trimforce enable (vklop)
Sudo trimforce enable (izklop)
Linux
sudo fstrim -v /
28
Slika 9: Delovanje TRIM funkcije (vir: Gubanov in Afonin, 2014)
3.3.3 Funkcija Garbage Collection
NAND bliskovne naprave ne morejo prepisati podatkov, ki so že zapisani v celicah, saj
morajo iti najprej skozi proces brisanja in novega zapisovanja. Za pisanje v blok, ki
je že bil v uporabi, mora SSD krmilnik najprej kopirati vse veljavne podatke/celice
(ki so še vedno v uporabi) in jih tako zapisati v izpraznjen blok, izbrisati vse celice v
trenutnem bloku (tako veljavne in neveljavne/določene za izbris), nato pa začne
pisati nove/veljavne podatke v izbrisan blok (Larrivee, 2016). Ta funkcija se imenuje
Garbage Collection.
3.3.4 Funkcija Wear Leveling
Vsaka NAND celica v bliskovnem pomnilniku ima omejeno življenjsko dobo. Vsaka
celica ima namreč omejeno število zapisov, ki so običajno zagotovljeni z več kot 100
000 cikli. Večinoma se vse informacije, shranjene na napravi, ne spreminjajo z enako
frekvenco. Nekatere informacije se posodabljajo hitreje kot druge, ki se ne
spreminjajo tudi dalje časa. Pomembno je, da nivo vseh celic obdržimo na enaki
ravni, zato moramo preprečiti njihovo staranje. Preprečiti moramo dostop samo do
določenih celic, saj bi se na ta način obrabile, nekatere pa bi ostale nedotaknjene.
Funkcija Wear leveling deluje popolnoma v ozadju in zato je ni mogoče zaznati v
testih, ki sledijo v nadaljevanju. Funkcija je omejena zaradi strojnega naslavljanja
29
celic, ki niso vidne in dostopne preko operacijskega sistema. Glavna naloga funkcije
je, da preprečuje zapisovanje, brisanje in prepisovanje vedno v začetne bloke v
celici (Larrivee, 2016).
Poznamo dva tipa:
Dynamic wear leveling (dinamično),
Static wear leveling (statično).
Dinamično porazdeljevanje obrabe pozna zgolj dve vrsti celic, neuporabljene in
spremenjene. Pomnilniške celice, katerih vsebina se ne spreminja, dinamični
algoritmi pustijo pri miru. V praksi so statični algoritmi znatno boljši, saj imajo
pregled nad vsemi celicami pogona, spremenjenimi, nerabljenimi in statičnimi
(tistimi, katerih vsebina se ne spreminja). Tako bodo tudi celice s statičnimi
vsebinami selili po pogonu, če bo to pomenilo, da bodo vse celice enakomerneje
obrabljene. Posledično se s tem povzročajo dodatni bralno-pisalni cikli, vendar je
zaradi podaljševanja življenjske dobe končni učinek za uporabnika še vedno pozitiven
(Larrivee, 2016).
3.4 Hibridni trdi diski
Relativno visoke cene bliskovnih pomnilnikov v primerjavi z običajnimi trdimi diski so
proizvajalce pripeljale do izdelave hibridnih trdih diskov. V ta namen so se razvile
različne aplikativne rešitve, od katerih najbolj razširjena Windows ReadyBoost
(ReadyBoost, 2016) Tehnologija je na voljo vsem uporabnikom v operacijskih sistemih
Windows Vista, Windows 7, Windows 8 in Windows 10. Tehnologija je namenjena
začasnemu shranjevanju podatkov iz diska, podobno kot RAM. S tehniko predvsem
razbremenimo trdi disk, saj mu ni treba v določenih primerih brati in pisati.
Predvsem se to kaže v hitrejših dostopnih časih, ki so v tem primeru neposredno
preko bliskovnega pomnilnika in ne preko dejanskih sektorjev na trdem disku. V
operacijskem sistemu uporabnik pridobi več kot 50 % performančno pohitritev,
hitrejše dostopne čase, hitrejše nalaganje operacijskega sistema in znižanje porabe
električne energije.
30
Slika 10: Hibridni trdi disk (vir: Kumar, 2014)
31
4 Integriteta podatkov
Kovačič (2012) poudarja, da je neokrnjenost digitalnih dokazov ključnega pomena v
celotnem kazenskem postopku, saj samo dokazi, ki so predstavljeni sodišču v enaki
obliki kot ob času storitve kaznivega dejanja, lahko predstavljajo zakonit dokaz.
Zaradi zagotavljanja avtentičnosti zato preiskovalci preiskavo vedno opravljajo na
kopijah zavarovanih nosilcev in nikoli na originalnih nosilcih.
Bistvenega pomena je, da se pri zavarovanju elektronske naprave upošteva vsa
predpisana metodologija za izvajanje forenzičnih opravil (Škraba, 2014). V fazi
zavarovanja moramo ob koncu postopka zagotoviti zgoščene vrednosti, ki
predstavljajo prstni odtis kopije podatkov. V fazi zavarovanja je ključnega pomena
primerjava zgoščenih vrednosti podatkov iz izvorne naprave in zgoščenih vrednosti
podatkov, ki smo jih zavarovali. Kontrola obeh vrednosti nam zagotovi, da je kopija
istovetna originalu. Zgoščene vrednosti se zapišejo v zapisnik in s tem se zagotovi
integriteto podatkov v nadaljnjem postopku. Za povečanje stopnje integritete
izračunamo zgoščene vrednosti po več različnih matematičnih algoritmih, od katerih
sta največkrat uporabljena standarda MD5 in SHA1.
Sodobna forenzična programska orodja v sklopu procesa izračunajo zgoščene
vrednosti in jih z uporabo različnih algoritmov zapišejo v tekstovno datoteko, v kateri
se nahajajo še podatki o začetku in koncu zajema, model elektronske naprave,
model, serijska številka.
V primerih, ko se opravi selektivno zavarovanje, je v fazi zaključka potrebno z
ustreznim programskim orodjem zagotoviti ustrezno integriteto, na način, da se
datotekam izračuna zgoščene vrednosti, ki se zapišejo v tekstovno datoteko,
vrednosti pa v zapisnik.
Zgoščene vrednosti moramo pri zavarovanju datotek, predvsem v primerih živih
sistemov, zagotoviti sami. Eno izmed takšnih orodij je program Hashmyfiles podjetja
Nirsoft (Sofer, 2017). Program omogoča enostaven izračun zgoščenih vrednosti
datotek, katerim želimo zagotoviti integriteto. Izračunane vrednosti na koncu
postopka zapišemo v zapisnik.
32
Pomembno je poznavanje delovanja zgoščevalnih funkcij in njihovega pomena čez
celoten postopek, saj se lahko zaradi slabega poznavanja zgodi, da se na sodišču
izpodbija dokaz, ki je kritičen za dokazovanje. V tem primeru mora sodišče uporabiti
mnenje strokovnih prič ali sodnega izvedenca (Kovačič, 2012).
4.1 Zgoščevalna funkcija
Zgoščevalne funkcije preslikajo poljubno dolg niz znakov v blok konstantne dolžine,
ki je prstni odtis oziroma povzetek vhodnega niza. Prednost uporabe zgoščevalnih
funkcij je v zagotavljanju integritete, kar onemogoča podtikanje ali brisanje
podatkov (Kovačič, 2012). Z matematičnimi algoritmi namreč vsaki datoteki lahko
izračunamo unikatno zgoščevalno vrednost. Namenjene so predvsem zagotavljanju
celovitosti podatkov, kot so programska oprema, dokumenti, zavarovani podatki.
Enostavna razlaga zgoščevalnih funkcij je v tem, da če v izvoru spremenimo samo en
bit, se preko matematičnih algoritmov izračuna popolnoma nova vrednost.
Za zagotavljanje celovitosti in avtentikacijo uporabimo zgoščevalno funkcijo s
ključem. Zgoščevalna funkcija je enosmerna funkcija in vsaka sprememba čistopisa
spremeni tudi prstni odtis sporočila.
Prednost dobrega algoritma je v njegovih glavnih lastnostih (Kovačič, 2012):
Računanje izvlečka je enostavno in hitro
Naključnost: povzetek naj bo naključno število. Če se dve sporočili razlikujeta na
enem mestu, naj povzetka izgledata kot neodvisno izbrani naključni števili.
Odpornost na praslike: za poljuben izvleček X je računsko nemogoče poiskati
sporočilo Y.
Odpornost na trke: računsko nemogoče je poiskati dve različni sporočili z enakim
povzetkom.
Zgoščevalni algoritem MD5 je leta 1994 razvil Ronald L. Rivest. Je enostavna
implementacija zgoščevalnega algoritma z dolžino izvlečka 128 bitov. Za izvedbo
testa smo v urejevalniku besedila ustvarili tekstovni dokument test.txt z vsebino
»123abc«. Uporabili smo aplikacijo podjetja Nirsoft HashMyFiles (Sofer, 2017), ki je
namenjena izdelavi različnih zgoščevalnih funkcij.
33
Slika 11: HashMyfiles testni primer (vir: lastni zajem ekrana)
Algoritem lahko uporabimo za izračun na datoteki, particiji ali celotnem disku. Vedno
bomo dobili unikatno izračunano zgoščeno vrednost. Za enostavno preverjanje lahko
uporabimo spletno stran http://scriptserver.mainframe8.com/md5.php.
Zaradi pomanjkljivosti v algoritmu MD5, ki v določenih primerih ustvari kolizijo, kar
pomeni, da za dve različni datoteki dobimo isto zgoščeno vrednost, je priporočljiva
uporaba novejših algoritmov (Škraba, 2014)..
4.2 Pomanjkljivosti zgoščevalnih funkcij
Določene zgoščevalne funkcije imajo zaradi svojih pomanjkljivosti vprašljivo vrednost
pri zagotavljanju istovetnosti. Cilj izkoriščanja takšnih pomanjkljivosti je v ustvaritvi
trka, kar pomeni, da različnim datotekam ustvarimo isto zgoščeno vrednost.
Napadalec v tem primeru lahko ustvari dve različni datoteki, pri čemer v eno izmed
njih namesti škodljivo kodo ali virus, vendar imata obe datoteki enaki zgoščeni
vrednosti. Datoteko pošlje prejemniku, ki preveri datoteko in njen digitalni podpis.
Pošiljatelj na ta način okuži prejemnika, saj je ta prepričan, da je prejel legalno
datoteko.
Selinger (2006) je na ta način uspel ustvariti dve različni datoteki z imenom hello.exe
in erase.exe. Obe datoteki sta imeli isto zgoščeno MD5 vrednost
»cdc47d670159eef60916ca03a9d4a007«.
34
Slika 12: Primer trka MD5 v izvršilni datoteki (vir: Selinger, 2006)
Ustvarjeni datoteki sta imeli popolnoma različen namen delovanja.
Vse forenzične aplikacije ne podpirajo izračuna novejših naprednih zgoščevalnih
funkcij, zato je najbolje, da uporabimo dve zgoščevalni funkciji, in sicer MD5 in
SHA1. Sočasna uporaba več zgoščevalnih funkcij namreč zmanjša izkoriščanja
njihovih pomanjkljivosti.
Iz tega razloga je v praksi pomembno, da se pri zagotavljanju istovetnosti
uporabljajo novejši napredni zgoščevalni algoritmi, kot je SHA256. Problem pri
uporabi novejših algoritmov je predvsem v zagotavljanju dovolj sistemskih
zmogljivosti, saj so novejši algoritmi matematično zahtevnejši in posledično njihova
izdelava traja dlje časa.
35
5 Obnovitev podatkov
Obnavljanje podatkov se uporablja predvsem v primerih fizične okvare podatkovnega
nosilca, sistemskih napak datotečnega sistema, izbrisanih oz. prepisanih podatkov.
Datotečni sistem namreč pri običajnem brisanju podatkov ne pobriše, temveč jih
odstrani samo iz seznama v datotečnem sistemu, vsebina pa ostane zapisana na
disku. Obnovitev takšnih datotek je mogoča s forenzično analizo. V forenzičnih
preiskavah tak postopek obnavljanja imenujemo karvanje. To je splošni termin za
obnavljanje strukturirane datoteke iz golih podatkov, ki so zgrajeni gleda na
specifične karakteristike datoteke (Carrier, 2011). Takšne datoteke se nahajajo v
različnih datotečnih sistemih. Najbolj pogosti datotečni sistemi v različnih
operacijskih sistemih so:
Windows (Fat 12/16/32, NTFS),
Linux (Ext2, Ext3, Ext4, Reiser),
Mac (HFS, HFS+/HFSX).
Vsak datotečni sistem ima svoja pravila pri interpretaciji datoteke v sistemu. Vsaka
datoteka v svojem zapisu vsebuje tako imenovane meta podatke, ki predstavljajo
podatke o podatku. Meta podatki vsebujejo tako v zapis o vzglavju datoteke, po
katerem se datoteka identificira. Datoteke, ki jo v sistemu preimenujemo iz končnice
.doc v končnico .mp3, pri preiskavi ne bo mogoče prekriti. Napredni algoritmi namreč
pri pregledu preverijo originalne meta podatke in pri tem preiskovalca opozorijo na
vzglavje datoteke, ki prvotno pripada določeni datoteki Helba (2010).
V nadaljevanju naloge si bomo ogledali, kakšen vpliv pri rekonstrukciji pobrisanih
datotek imajo različni podatkovni mediji.
5.1 Mehanska obnova podatkov na trdem disku
Kot smo predhodno že ugotovili, se v trdem disku nahaja več komponent, ki skrbijo
za pravilno delovanje. Nemalokrat namreč preiskovalec dobi v preiskavo napravo,
katere podatkov ne more zavarovati zaradi okvare. V tem primeru je preiskovalec v
precepu, kako pomembni so podatki za rešitev primera in kakšne fizične možnosti in
orodja ima, da pride do podatkov.
36
Holewinski in Andrzejewsky (2009) med najpogostejše okvare, ki nastanejo na trdem
disku štejeta okvare elektronike, okvare glave ali motorja. Za uspešno obnovitev
podatkov moramo zamenjati del, ki je v okvari.
Vsak zgoraj omenjeni poseg v napravo potrebuje posebno specifično znanje in
opremo za uspešno rešitev problema.
Če ugotovimo, da je v okvari tiskano vezje (PCB), ki skrbi za krmiljenje trdega diska
in njegovih komponent, moramo pridobiti isto vezje, ki ga zamenjamo z okvarjenim
vezjem. Vsako vezje ima na sebi zapisan del mikrologike (firmware), ki je unikatna
za posamezen model trdega diska. Za uspešno delovanje potrebujemo posebno
opremo, s katero lahko iz starega tiskanega vezja preberemo mikrologiko in jo
zapišemo na novo vezje.
V primeru, da je v okvari bralno-pisalna glava, moramo pred začetkom postopa
zagotoviti okolje, v katerem bomo lahko uspešno opravilo zamenjavo te. Okolje mora
biti sterilno in zaščiteno pred vstopom prahu. Okolje, namenjeno temu delu procesa,
lahko zagotavljajo samo podjetja, ki se ukvarjajo z reševanjem podatkov. Sam
postopek od nas zahteva, da odstranimo bralno-pisalne glave in jih zamenjamo s
tistimi iz darovanega trdega diska.
Slika 13: Odstranjevanje bralno-pisalne glave (vir: Head Swap, 2017)
37
5.2 Mehanska obnova podatkov iz SSD diska
V prejšnjem poglavju smo si ogledali delovanje standardnega trdega diska, struktura
zgradbe SSD diska pa je popolnoma drugačna. Vsi kontrolni in spominski čipi so
namreč lotani na vezje, zato enostavna menjava z delujočim delom iz istega modela
ni mogoča. Na tiskanem vezju se v povprečju nahaja od 2 do 20 pomnilniških
medijev, zato je zamenjava vseh izredno težka oz. nemogoča (Larrivee, 2016).
Zaradi zahtevnosti zgoraj opisanega postopka preiskovalci uporabljajo še možnost,
kjer odlotajo vsak posamezni spominski modul in ga preko bralnika pomnilniških
modulov in posebne programske opreme preberejo in zapišejo v datoteko.
Opisana metoda je uporabna za branje USB ključkov, spominskih kartic in podobnih,
kjer je v uporabi samo en pomnilniški modul.
Slika 14: Bralnik bliskovnih pomnilnikov (vir: Gubanov in Afonin, 2012)
Kot smo že omenili, določene funkcije, ki skrbijo za pravilno delovanje (TRIM,
Garbage Collector, Wear Leveling) SSD diska, onemogočajo uporabo te funkcije.
Preiskovalci se morajo tako zavedati dejstva, da bodo največ podatkov na ta način
dobili le v primeru, da SSD disk v trenutku odstranijo iz električnega napajanja,
odstranijo pomnilniške čipe in vezja in jih preko bralnika čipov preberejo brez posega
krmilnika na vezju SSD diska.
Holewinski in Andrzejewsky (2009) kot največjo težavo tega načina zajema
omenjata, da mora imeti preiskovalec znanja s področja datotečnih sistemov in
predvsem delovanja RAID (Redundant array of independant disks) arhitekture.
38
Zavedati se moramo, da zaradi raznolikosti arhitekture SSD podatki niso shranjeni
zaporedoma, ampak so največkrat razmetani kot sestavljanka.
Ne smemo zanemariti tudi dejstva, da je lahko celotna vsebina pomnilniških čipov še
dodatno šifrirana zaradi raznolikosti proizvajalcev, predvsem pa zaradi neobstoječe
dokumentacije, ki ni dostopna in je proizvajalci ne dajo v javnost. Na tem področju
namreč ni ustreznega standarda, ki bi predpisoval razmerje med digitalno forenziko
in obnovo podatkov.
Metoda je neponovljiva, saj obstaja možnost, da se že ob postopku odstranjevanja
pomnilniškega modula ta fizično poškoduje med postopkom.
Ugotovili smo, da preiskovalcem nove tehnologije prinašajo izredno specifično
poznavanje datotečnih sistemov, poznavanje elektronike in kirurško natančnost med
postopkom.
39
6 Raziskava in ugotovitve
V forenzičnem laboratoriju smo za namen raziskave uporabili dva ločena računalnika.
Prvi je namenjen zajemu podatkov, drugi pa za analizo in preiskavo. Namen je v
popolni izolaciji testov, ki smo jih izvedli v nadaljevanju. Za zajem podatkov smo
uporabili prenosni računalnik HP 8540w z operacijskim sistemom Windows 7 Pro in
programsko opremo FTK Imager 3.3.0.5 (2017), ki omogoča izdelavo forenzičnih slik
iz različnih medijev, kot so trdi diski, diskete, zgoščenke, ter selektivni zajem
datotek. Program omogoča izdelavo zgoščenih vrednosti po algoritmu MD5 in SHA1.
Za zagotavljanje istovetnosti smo uporabili Tableau Forensic SATA/IDE Bridge [T35u],
ki deluje po standardu USB 3.0 in preprečuje zapisovanje na izvorno elektronsko
napravo. Podatki so bili shranjeni na prazen zunanji 4TB trdi disk.
Za izdelavo testnih primerov smo uporabili osebni računalnik, ki je imel nameščen
operacijski sistem Windows 7. Osebni računalnik je imel možnost priklopa preko USB
in eSATA vmesnika, kar nam je omogočalo direktno komunikacijo s krmilnikom na
testnih napravah. USB povezavo smo uporabili v testih, kjer smo želeli izločiti
delovanje funkcije TRIM.
Diski, ki smo jih analizirali, so bili ločeni od osnovnega trdega diska v sistemu, ker
smo želeli čim manjši vpliv zapisovanja in branja na hitrost in neodvisnost.
Kot bomo spoznali v nadaljevanju, smo želeli ugotoviti, ali različni mediji kljub
uporabi preprečevalnika zapisovanja lahko ustvarijo različne zgoščene vrednosti ter
obnovo podatkov na različnih medijih in verjetnost njihove obnove. Ugotovitve
raziskave smo predstavili v zaključku diplomskega dela.
6.1 Zgoščevalne funkcije na različnih medijih
Predhodno smo v nalogi predstavili delovanje različnih pomnilniških medijev, zato
smo za namen testa izbrali standardne trde in SSD diske. Izbrali smo trde diske
različnih proizvajalcev in kapacitet. Podrobnosti diskov so razvidne iz spodnjih slik.
40
Slika 15: Crystaldiskinfo Seagate USB 1Tb (vir: lastni zajem ekrana)
Slika 16: Crystaldiskinfo Seagate SATA 2Tb (vir: lastni zajem ekrana)
41
Slika 17: Crystaldiskinfo Samsung SSD 128Gb (vir: lastni zajem ekrana)
Slika 18: Crystaldiskinfo Intenso SSD 128Gb (vir: lastni zajem ekrana)
Test zgoščevalnih funkcij na različnih trdih diskih smo izvedli zaradi zagotavljanja
integritete izbrisanih podatkov pred in po razmiku petih ur.
Posamezni trdi disk je bil formatiran v datotečni sistem NTFS, na katerem smo
ustvarili razdelek. Na trdi disk je bila posneta testna datoteka v formatu JPG
velikosti 6.5 MB. Datoteka je bila v nadaljevanju pobrisana iz trdega diska, nato pa
smo s programom FTK Imager (2017) takoj ustvarili istovetno kopijo in izračunali
zgoščeno vrednost. Po razmiku petih ur smo iz istega testnega diska ustvarili ponovno
istovetno kopijo in izračunali njeno zgoščeno vrednost. Na spodnjih slikah je razviden
proces zavarovanja podatkov z aplikacijo FTK Imager verzije 3.3.0.5 (2017).
42
Slika 19: FTK imager 3.3.0.5 izdelava istovetne kopije (vir: lastni zajem ekrana)
Rezultati izračunane zgoščene vrednosti po končanem postopku so razvidne iz
spodnje slike.
Slika 20: Zgoščene vrednosti po končanem postopku (vir: lastni zajem ekrana)
Pridobljene rezultate, ki smo jih preverili z lastnim testom, smo zapisali v spodnjo
razpredelnico, kjer so vidni pridobljeni rezultati.
43
Tabela 1: Rezultati zgoščenih vrednosti
Iz pridobljenih rezultatov je razvidno, da trdi diski, ki ne uporabljajo klasičnega
mehanskega načina delovanja, ne vrnejo rezultatov, ki bi jih pričakovali. Pridobljeni
rezultati prikazujejo, da trdi diski, ki uporabljajo lastne operacijske sisteme, v
krmilniku zaradi načina delovanja, ki smo ga predhodno prikazali, vrnejo različne
rezultate.
6.2 Obnova podatkov na različnih medijih
V testnem primeru smo želeli preveriti, ali klasični trdi disk in SSD trdi disk z lastnim
operacijskim sistemom v krmilniku z delovanjem svojih funkcij vplivata na priklic
izbrisanih datotek.
Testni primer smo izvedli z uporabo forenzične aplikacije X-Ways Forenzics, ki
omogoča pridobivanje podatkov v primeru brisanja. Za primer testa smo uporabili
isto datoteko kot v zgornjem primeru. Datoteko formata jpeg velikosti 6.5 MB smo
TRDI DISK MD5 zgoščena
vrednost 1
MD5 zgoščena
vrednost 2 UJEMANJE
Seagate USB 1TB b473e14a09df7874
d86d6508599e332
b473e14a09df7874
d86d6508599e332 DA
Seagate SATA 2TB 4446331d5579c055
cffcea62c363a479
4446331d5579c055
cffcea62c363a479 DA
SAMSUNG SSD 840
128Gb
2dff5557f6e259d0
85552f0b75d92b8d
1c95850adf92427d
03892fe1e9387c23 NE
INTENSO SSD
128GB
4066ea51ef24a4b3
4cf7963f03ab60f6
426909b41fb5d882
a64dead272dd6929 NE
44
posneli na prazen trdi disk, na katerem smo ustvarili razdelek v datotečnem sistemu
NTFS in v nadaljevanju preverili lokacijo na trdem disku, kjer se je datoteka
nahajala. Podrobnosti so razvidne iz spodnje slike.
Slika 21: X-Ways testna datoteka (vir: lastni zajem ekrana)
V nadaljevanju smo preverili izvorne podatke datoteke od datuma nastanka datoteke
do datuma spreminjanja sektorjev na disku, kjer se je ta nahajala.
Slika 22: Informacije o datoteki (vir: lastni zajem ekrana)
Preverili smo še metapodatke, ki jih je datoteka vsebovala. Metapodatki so
informacije o datoteki. Iz podatkov sta bili razvidni uporaba fotoaparata Canon EOS
45
7D in programa Adobe Photoshop CS5 za njeno obdelavo. Podrobnosti so razvidne iz
spodnje slike.
Slika 23: Metapodatki testne datoteke (vir: lastni zajem ekrana)
Testno datoteko smo v nadaljevanju posneli na vse podatkovne medije in datoteko
pobrisali. V aplikaciji smo izbrali akcijo iskanja izbrisanih datotek in počakali, da se
je proces dokončal. Za primer testa smo uporabili isto logiko kot v zgornjem primeru,
in sicer smo datoteko obnovili takoj po brisanju, v drugem primeru pa smo med
procesom počakali pet ur.
V primeru SSD trdih diskov smo uporabili TRIM funkcijo v operacijskem sistemu
Windows 7. Vpliv funkcije smo izklopili na način, da smo oba SSD trda diska priklopili
v zunanje ohišje za trdi disk in onemogočili TRIM funkcijo.
Pridobljeni rezultati so razvidni iz spodnje tabele.
46
Tabela 2: Rezultati obnovljenih podatkov
Pridobljeni rezultati na klasičnih trdih diskih so bili pričakovani, kar pa ne moremo
trditi za rezultate, pridobljene na SSD diskih.
Rezultati, ki smo jih pridobili pri SSD diskih, ki uporabljajo lastne operacijske
sisteme, so povezani s težavami, ki smo jih v nalogi predstavili v prejšnjih poglavjih.
Problem, ki ga preiskovalcem predstavljajo krmilniki in njihove funkcije, so v
implementaciji strojne kode v krmilnike, ki niso dostopni in jih vsak proizvajalec
integrira na svoj način.
TRDI DISK Obnova takoj Obnova po 5 urah
Seagate USB 1 TB DA DA
Seagate SATA 2 TB DA DA
SAMSUNG SSD 840 128 GB NE NE
INTENSO SSD 128 GB DA NE
SAMSUNG SSD 840 128 GB USB DA NE
INTENSO SSD 128 GB USB DA DA
47
7 Razprava
Digitalna forenzika se kot mlada veja vedno srečuje z novimi izzivi. Integriteta
podatkov je v celotni fazi preiskave ključni element, ki ga v nadaljevanju ne moremo
več ponoviti. V diplomskem delu smo želeli enostavno predstaviti zajem podatkov pri
živem in mrtvem sistemu ter možne pasti, na katere moramo biti pozormi. Pri
zavarovanju podatkov smo za zagotavljanje integritete vezani na uporabo
zgoščevalnih funkcij. Te so element celotne preiskave, ki na sodišču zagotovijo, da se
podatki niso spreminjali.
Izpostaviti moramo predvsem slabost zgoščevalne funkcije MD5, ki se še vedno
uporablja in ima več varnostnih pomanjkljivosti. Težava pri uporabi takšne funkcije
se pojavi v primerih, ko sodišče najame sodnega izvedenca, ki se lahko v ključnih
obremenilnih dokazih sklicuje na integriteto podatkov.
Pomembno je torej, da se uporabljajo napredne zgoščevalne funkcije, ki nimajo
znanih slabosti, od katerih je aktualna SHA256. Izračun po tem standardu ni
integriran v vse aplikacije za zagotavljanje istovetnosti, zato je v ta namen
priporočljiva uporaba namembnega orodja za izračun zgoščenih vrednosti.
Vse večje težave pri zavarovanju elektronskih naprav predstavljajo vse bolj
razširjene naprave, ki uporabljajo bliskovni pomnilnik. Naprave z bliskovnim
pomnilnikom se zaradi svojega delovanja popolnoma razlikujejo od klasičnega trdega
diska. V diplomskem delu smo želeli na enostaven način predstaviti pomembne
ključne elemente, ki onemogočajo zagotavljanje integritete, kadar za shranjevanje
uporabljamo bliskovni pomnilnik. Zavarovanje klasičnega trdega diska se opravi preko
omejevalnika zapisovanja, ki onemogoči zapisovanje in poseganje v podatke na
izvornem trdem disku. V primeru uporabe SSD diska omejevalnik zapisovanja ne
opravi svoje naloge, saj operacijski sistem znotraj krmilnika izvaja funkcije za
pravilno delovanje.
Uporabna navodila in priročniki so izrednega pomena za izvajanje digitalne forenzike,
vendar v primerih, ko se tehnologija hitro spreminja, lahko ravno ta navodila uničijo
celoten namen, za katerega so bila prvotno ustvarjena.
Diplomsko delo bi za tehnične podrobnosti preseglo zastavljene cilje.
48
7.1 Odgovori na hipoteze
H1: Novi digitalni mediji lahko onemogočijo uspešno forenzično zavarovanje.
Zagotavljanje integritete je ključnega pomena pri dokazovanju istovetnosti
zavarovanih podatkov. Zgoščena vrednost je namreč tista, ki zagotavlja, da se
podatki niso spremenili ob zavarovanju, kot pri tudi pri preiskavi.
V nalogi smo preverili delovanja klasičnih trdih in novejših SSD diskov, ki uporabljajo
krmilnike, na katerih se nahajajo lastni operacijski sistemi.
Kot smo preverili z lastnimi testi, lahko funkcije, ki jih krmilniki izvajajo na SSD
diskih, onemogočijo uspešno zagotavljanje zgoščene vrednosti. Prikazali smo
rezultate lastnih testov, kjer je razvidno, da zaradi delovanja določenih funkcij na
SSD krmilnikih, ki same skrbijo za uspešno uporabo bliskovnih celic, ne moremo
zagotoviti istovetnostni.
Hipotezo v tem primeru lahko potrdimo, saj integritete v primeru ko so uporabljeni
SSD krmilniki ne moremo zagotoviti.
H2: Težave pri pregledu takšnih naprav in izločanje takšnih dokazov v postopku
V nalogi smo opisali, da preiskovalcem največje težave predstavlja pridobivanje
izbrisanih podatkov, predvsem na napravah, ki uporabljajo bliskovni pomnilnik.
Ugotovitve testov kažejo na majhno možnost obnovitev podatkov, ki so pred
zavarovanjem pobrisani ali prepisani.
Obstaja namreč možnost, da bi takšen dokaz izločili iz postopka, saj ne moremo
zagotoviti istovetnosti z izračunom zgoščene vrednosti, zaradi delovanja krmilnika.
Znanje preiskovalca in poznavanje tehnologij delovanja je ključnega pomena, da ne
pride do izločanja takšnih dokazov. Vsako posamezno nejasnost je treba utemeljiti v
zapisniku, da kasneje ne pride do nejasnosti. Večjo stopnjo integritete lahko
zagotovimo z izračunom zgoščenih vrednosti z več različnimi standardi.
49
8 Zaključek
Računalniki, tablice, navigacije, mobilni telefoni, internet so postali del današnjega
življenja in življenje brez njih si težko predstavljamo. Za zagotavljanje integritete
pri zavarovanju teh elektronskih naprav moramo slediti zakonodaji, metodologiji in
načelom digitalne forenzike. Vsi postopki, ki niso v teh okvirih, lahko v nadaljevanju
pomenijo neveljaven dokaz in izločitev.
V diplomskem delu smo na začetku postavili hipoteze in vprašanja, na katera smo
odgovorili s pregledom teorije in lastnimi testi.
Pri zavarovanju živega sistema smo opozorili na pasti, na katere mora biti pozoren
preiskovalec, ko izvaja zavarovanje. V nalogi smo z lastnimi testi pokazali, da SSD
diskom ne moremo zagotoviti ustrezne integritete podatkov zaradi lastnikov
krmilnikov, ki skrbijo za delovanje bliskovnih pomnilnikov. Ti zaradi lastnega
delovanja spreminjajo zgoščene vrednosti, ki jih izračunamo. Klasični trdi diski v
kombinaciji z omejevalniki zapisovanja omogočajo ustrezno zagotavljanje
integritete.
Obnova podatkov s klasičnih in SSD diskov je pokazala težavo pri SSD diskih, kjer je
bil uspeh obnovljenih podatkov nizek.
Raziskava je pokazala, da slabosti nekaterih zgoščevalnih funkcij dodatno otežujejo
zagotavljanje istovetnosti podatkov.
Namen diplomskega dela je bil predstavitev možnih težav pri zagotavljanju
integritete, saj se število naprav z bliskovnim pomnilnikom naglo povečuje.
50
9 Uporabljeni viri
Bell G. B. in Boddington R. (2010). Solid State Drives: The Beginning Of The End For
Current Practice In Digital Forensic Recovery? The Journal of digital forensics,
Security and Law.
Carrier, B. (2011). File system forensic analysis. New Jersey: Pearson education, Inc.
Casey, E. (2011). Digital Evidence and Computer Crime (3rd ed.). San Diego: Elsevier
Inc.
Dpi, A. (2008). Hard Disk Drives. Pridobljeno na https://www.itschool.gov.in/PDF/
SITC hardware training/Hard disk.pdf
Ehsan, J. (2015). How to Fix a Physically Broken Hard Drive. Pridobljeno na
http://infoharddrive.blogspot.si/2015/01/external-hard-drive-freezes-
computer.htm
Encase Forensic (različica 8) [Programska oprema]. (2017). Pridobljeno na
https://www.guidancesoftware.com/encase-forensic?cmpid=nav_r
Forensic Toolkit (različica 6.1) [Programska oprema]. (2016). Pridobljeno na
http://accessdata.com/product-download/digital-forensics/forensic-toolkit-
ftk-version-6.1
FTK Imager (različica 3.3.0.5) [Programska oprema]. (2017). Pridobljeno na
http://accessdata.com/product-download
Gubanov, Y. (2016). Live RAM Acquisition and Analysis. Guidancesoftware.com.
Pridobljeno na https://www.guidancesoftware.com/docs/default-
source/enfuse/2016-presentations/live-ram-analysis-from-acquisition-to-
reporting.pdf?sfvrsn=4
Gubanov, Y. in Afonin, O. (2012). Why SSD Drives Destroy Court Evidence, and What
Can Be Done About It. Pridobljeno na http://ru.belkasoft.com/en/why-ssd-
destroy-court-evidence
Gubanov, Y. in Afonin, O. (2014). SSD Forensics 2014. Pridobljeno na
http://ru.belkasoft.com/en/ssd-2014
Guidance. (2008). User's Guide - Tableau. Pridobljeno na
http://Tableau_TD2_Users_Guide.pdf
Hard Disk Drive. (11. 1. 2017). En.wikipedia.org – Pridobljeno na
https://en.wikipedia.org/wiki/Hard_disk_drive
Hash function. (1. 12. 2016). En.wikipedia.org. Pridobljeno na
https://en.wikipedia.org/wiki/Hash_function
51
Head Swap. (5. 1. 2017). Harddrive-repair.com. Pridobljeno na
http://www.harddrive-repair.com/head-swap.html
Helba, S. (2010). Computer forensic - Investigating hard discs, file and operating
systems. New York: Cengage learning.
Holewinski S. in Andrzejewsky G. (2009). Data Recovery From Solid State Drive.
Pridobljeno na https://www.gillware.com/docs/SSD_whitepaper.pdf
How Does NAND Flash Memory Work. (30. 1. 2009). Gogonomo.com. Pridobljeno na
http://www.gogonomo.com/blog/2009/01/how-does-nand-flash-memory-
work/
Kardoš, Z. (2010). Možnosti računalniške forenzike z uporabo nekomercialnih
programskih orodij (Specialistična naloga). Pridobljeno na
https://dk.um.si/IzpisGradiva.php?lang=slv&id=13396
Kastelic, T. in Škraba, M. (2012a). Digitalni dokazi - metode in izkušnje policije. V A.
Dvoršak in D. Frangež (ur.), Digitalni dokazi, kazensko pravni, kriminalistični
in informacijsko-varnostni vidiki (str. 29-44). Ljubljana: Fakulteta za
varnostne vede.
Kastelic, T. in Škraba, M. (2012b). Načela digitalne forenzike. Ljubljana: Ministrstvo
za notranje zadeve, Policija.
Kovačič, M. (2012). Zgostitveni algoritmi in zagotavljanje integritete (istovetnosti)
digitalnih dokazov. Pridobljeno na https://pravokator.si/wp-
content/uploads/2012/04/Zagotavljanje_integritete_digitalnih_dokazov.pdf
Kozierok, C. M. (2001). PCGuide - Ref - Hard Disk Operational. Pridobljeno na
http://www.pcguide.com/ref/hdd/op/over.htm
Kumar, A. (2014). What is a Hybrid Hard Drive. Pridobljeno na
http://www.thewindowsclub.com/what-is-a-hybrid-drive
Larrivee, S. (2016). Solid State Drives 101 – Everything You Ever Wanted to Know.
Pridobljeno na https://www.cactus-tech.com/files/cactus-
tech.com/documents/ebooks/Solid%20State%20Drives%20101%20EBook.pdf
Majcen, G. (2011). Elektronski dokazi v kriminalistični preiskavi (Diplomsko delo).
Maribor: Pravna fakulteta.
McKemmish, R. (1999). What is Forensic Computing? Trends & Issues in Crime and
Criminal Justice. Canberra: Australian Institute of Criminology.
Medlin, B. D. in Crazier, J. A. (2010). A Study of Hard Drive Forensics on Consumers’
PCs: Data Recovery and Exploitation. Pridobljeno na http://m.www.na-
businesspress.com/JMPP/MedlinWeb.pdf
52
Ngo, J. (2013). Digital storage basics, Part 4: SSD explained. Pridobljeno na
https://www.cnet.com/how-to/digital-storage-basics-part-4-ssd-explained/
NSRL. (2017). Nsrl.nist.gov. Pridobljeno na https://www.nsrl.nist.gov/index.html
Paraben (različica 2.0) [Programska oprema]. (2016). Pridobljeno na
https://www.adorama.com/prbnp2ck2.html
ReadyBoost. (1. 12. 2016). En.wikipedia.org. Pridobljeno na https://en.wikipedia.
org/wiki/ReadyBoost
SANS (različica 3) [Programska oprema]. (2016). Pridobljeno na http://digital-
forensics.sans.org/community/downloads
Selinger, P. (2006). MD5 Collision Demo: Collisions in the MD5 cryptographic hash
function. Pridobljeno na http://www.mscs.dal.ca/~selinger/md5collision/
Selinšek, L. (2012). Pravno-teoretični vidiki preiskave elektronskih naprav - nekaj
odprtih vprašanj. V A. Dvoršak in D. Frangež (ur.), Digitalni dokazi. kazensko
pravni, kriminalistični in informacijsko-varnostni vidiki (str. 7-16). Ljubljana:
Fakulteta za varnostne vede.
Sofer, N. (2017). Hashmyfiles (različica 2.22) [Programska oprema]. Pridobljeno na
http://www.nirsoft.net/utils/hash_my_files.html
Solomon G., Rudolph K., Tittel E., Broom N. in Barrett D. (2011). Computer Forensics
JumpStart (2nd ed.). Chichester: Sybex
Šavnik, J. (2012). Vloga sodnega izvedenca za računalniško forenziko v kazenskih
postopkih. V A. Dvoršak in D. Frangež (ur.), Digitalni dokazi: kazensko pravni,
kriminalistični in informacijsko-varnostni vidiki (str. 75-88). Ljubljana:
Fakulteta za varnostne vede.
Škraba, M. (2014). Postopki digitalne forenzike in zagotavljanje integritete podatkov
(Diplomsko delo). Ljubljana: Fakulteta za varnostne vede.
Špeh, A. (2011). Poenotenje postopkov računalniške forenzike v slovenski policiji
(Diplomsko delo). Kranj: Fakulteta za organizacijske vede.
Vacca, J. R. (2002). Computer forensics: Computer crime scene investigation.
Hingham: Charles River Media, Inc.
Zakon o kazenskem postopku. (2014). Uradni list RS, (87/2014).
Žvab, Z. in Dvoršek, A. (2012). Digitalni dokazi - novost v kriminalističnem
preiskovanju? Pridobljeno na http://www.fvv.um.si/DV2012/zbornik/
kriminalisticna_dejavnost/zvab_dvorsek.pdf
X-Ways (različica 19.2) [Programska oprema]. (2017). Pridobljeno na http://www.x-
ways.net/forensics/index-m.html