Le fasi del sequestro

Транскрипт

1 Le fasi del sequestro Dr. Stefano Fratepietro Contenuti Individuazione il sequestro problematiche frequenti Acquisizione Tecnologie più diffuse Blocker hardware Strumenti software Algoritmi di hashing Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 2

2 Organizzazione della giornata Quattro ore teoriche con approfondimenti introduttivi tecnico forensi Quattro ore pratichè di attività informatico forense in laboratorio Fate domande! Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 3 Una definizione essenziale L informatica forense è la disciplina che concerne le attività di individuazione, conservazione, protezione, estrazione, documentazione e ogni altra forma di trattamento e interpretazione del dato memorizzato su supporto informatico, al fine di essere valutato come prova nei processi giudiziari Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 4

3 Le 4 fasi del trattamento del reperto informatico Individuazione Acquisizione Analisi Rappresentazione Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 5 Individuazione L'individuazione del reperto informatico deve essere esaustiva ed approfondita non potendo riguardare solo supporti informatici Tutto ciò che possa contenere dei dati Non solo computer: centralina di una automobile ad esempio Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 6

4 Cosa porre a sequestro Computer Dispositivi di storange comuni (hard disk e penne usb) e non comuni (orologi strani, coltellini svizzeri) Floppy, CD, DVD, HD DVD o Blueray Ipod Macchine fotografiche digitali Console Cellulari, palmari, smarthphone Tutto ciò che possa contenere dati informatici Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 7 Acquisizione I Insieme delle procedure e dei metodi che permettono di creare una copia fedele del reperto posto a sequestro E' la fase più delicata Se l'acquisizione del reperto risultasse eseguita utilizzando modi non conformi, una controparte potrebbe utilizzare tale argomento per ripudiare il dato acquisito Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 8

5 Acquisizione II Secondo le necessità investigative, l'acquisizione può essere effettuata nell'immediatezza dell'intervento in laboratorio attraverso il sequestro giudiziario dei supporti Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 9 Acquisizione perchè viene eseguita? Per permettere una analisi del reperto senza correre il rischio che i dati vengano alterati Per poter preservare nel tempo i dati acquisiti Comodità Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 10

6 Accesso in sola lettura E' fondamentale che le acquisizioni vengano fatte mediante software o sistemi che accedano in sola lettura al dispositivo In Linux è d'obbligo utilizzare il comando mount -t filesystem ro /dev/x /path Esistono dispositivi hardware chiamati Write blocker che proteggono l'accesso in scrittura Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 11 Write blocker I Dispositivo hardware che permette l'accesso controllato in sola lettura al dispositivo collegato Blocca le scritture indirette del sistema operativo Illude il sistema operativo facendo credere che ha accesso anche in scrittura (ma non è vero) Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 12

7 Write blocker II Write blocker USB 2.0 Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 13 Algoritmi di hashing Sono funzioni che data una sequenza definita di bit restituiscono un valore univoco L'algoritmo restituisce una stringa di numeri e lettere a partire da un qualsiasi flusso di bit di qualsiasi dimensione L'output è detto Digest La lunghezza dei valori di hash varia a seconda degli algoritmi utilizzati L'algoritmo non è invertibile, cioè dal digest non si può ricavare la sequenza di bit Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 14

8 Algoritmi utilizzati Md5 (RFC1321) prende in input una stringa di lunghezza arbitraria e ne produce in output un'altra a 128 bit (ovvero con lunghezza fissa di 32 valori esadecimali, indipendentemente dalla stringa di input) Sha1 (RFC3174) prende in input una stringa di lunghezza arbitraria e ne produce in output un'altra a 160 bit (ovvero con lunghezza fissa di 40 valori esadecimali, indipendentemente dalla stringa di input) Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 15 Collisioni I Non esiste una vera corrispondenza biunivoca tra l'hash e la sequenza di bit Dato che le combinazioni di bit possibili, con dimensione finita maggiore dell'hash, sono più degli hash possibili, ad almeno un hash corrisponderanno più combinazioni possibili Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 16

9 Collisioni II Quando due sequenze di bit producono lo stesso hash si parla di collisione La qualità di una funzione di hash è misurata direttamente in base alla difficoltà nell'individuare due testi che generino una collisione. Un singolo gruppo di ricercatori riusci a generare una collisione dimostrando che gli algoritmi SNEFRU, MD2, MD4 ed MD5 non sono sicuri Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 17 Modalità di acquisizione Acquisizione di dispositivi semplici Si smonta il dispositivo e lo si collega su una postazione atta all'acquisizione Acquisizione on the fly direttamente sul sistema posto ad analisi Acquisizione di dispositivi complessi In caso di sistemi RAID è quasi d'obbligo una acquisizione on the fly direttamente sul sistema posto ad analisi Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 18

10 Procedure per l'acquisizione Individuazione del device Assicurarsi di avere accesso in sola lettura al device Calcolo hash del device Acquisizione del device con copia su un altro supporto Calcolo hash della copia del device Verifica degli hash calcolati Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 19 Acquisizione mediante strumenti open source dd crea una bitstream del device dd_rescue come dd ma più evoluto aimage bitstream compressa EnCase like Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 20

11 Scenari strani Scenario realmente accaduto: Acquisizione di un nuovo modello di hard disk appena uscito sul mercato Non esiste ancora un adattatore in commercio per poterlo utilizzare al di fuori dal suo sistema Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 21 Acquisizione di un dispositivo complesso Hard disk Hitachi con piattina non standard Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 22

12 Scenari strani Cosa fare in questi casi? Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 23 Acquisizione utilizzando sistemi live cd Linux Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 24

13 Analisi Riproducibilità delle operazioni eseguite Eseguendo operazioni identiche bisogna ottenere sempre lo stesso risultato Questa caratteristica garantisce che, nella dialettica del processo, qualsiasi rilievo sollevato da una parte in merito ad un reperto informatico possa essere verificato anche dalle altre parti Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 25 Preservazione Memorizzare l'acquisizione dei dispositivi in supporti non riscrivibili in duplice copia CD DVD Blue ray (nel futuro prossimo) Verbale riassuntivo di consegna totale cd/dvd totale file listato dei comandi eseguiti Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 26

14 Verifica post masterizzazione Dopo la masterizzazione eseguire sempre il controllo di masterizzazione corretta Verifica degli hash delle immagini Da eseguire su un computer diverso da quello della masterizzazione Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 27 Bibliografia La perizia e la consulenza tecnica, Dr. Donato Caccavella CEDAM Elementi di informatica forense, prof. Cesare Maioli - dm.unibo.it/~maioli/docs/fti_informatica_3009.doc Slides del corso di Informatica Forense, Dr. Stefano Fratepietro steve.yourside.it Dr. Stefano Fratepietro - Creative Commons License steve.yourside.it 28