फ्लैश मेमोरी: कंप्यूटर फोरेंसिक के लिए समस्याएं

2010 के अंत में, ग्रीम बेल और रिचर्ड बोडिंगटन ने सॉलिड स्टेट ड्राइव्स: द बिगिनिंग ऑफ द मौजूदा प्रैक्टिस फॉर डिजिटल फॉरेन्सिक रिकवरी? ( सॉलिड स्टेट ड्राइव्स: द बिगिनिंग ऑफ द एंड ऑफ द मौजूदा फॉरेन्सिक डेटा टेक्नॉलॉजी?) प्रकाशित की, जिसके कारण मिश्रित प्रतिक्रियाएं हुईं। ऑनलाइन समुदाय। हालाँकि इस आलेख में चर्चा की गई ठोस-राज्य ड्राइव के संचालन की विशिष्ट विशेषता को पहली बार 2008 में DEFCON 16 सम्मेलन में घोषित किया गया था, यह Microsoft विशेषज्ञों द्वारा अध्ययन किया गया था और 2009 [1, 6 वीं स्लाइड] में मशीन स्टोरेज मीडिया डेवलपर्स के सम्मेलन में प्रस्तुत किया गया था और यहां तक ​​कि रूसी में भी इसका उल्लेख किया गया था। 2010 में सेमिनार [2, स्लाइड 10 और 11], समस्या की पहचान और फोरेंसिक समुदाय में इन विशेषताओं की एक गंभीर चर्चा मार्च 2011 में हुई।

इस लेख में मैं कंप्यूटर फोरेंसिक के प्रिज्म के माध्यम से फ्लैश मेमोरी के उपयोग के आधार पर सूचना वाहक के काम की विशेषताओं के बारे में बात करने की कोशिश करूंगा।

संक्षेप में कंप्यूटर फोरेंसिक के बारे में

कंप्यूटर फोरेंसिक का मुख्य ध्यान फोरेंसिक साक्ष्य बनाने (फॉरेंसिक कंप्यूटर और कंप्यूटर-तकनीकी परीक्षाओं का संचालन करना) और परिचालन जानकारी एकत्र करने के उद्देश्य से कंप्यूटर आधारित भंडारण मीडिया का अध्ययन है जो अदालत में सबूत के रूप में उपयोग नहीं किया जाता है। परंपरागत रूप से, संबंधित क्षेत्रों को कंप्यूटर फोरेंसिक के लिए जिम्मेदार ठहराया जा सकता है, जिसमें कंप्यूटर जानकारी के अध्ययन की महत्वपूर्ण भूमिका होती है: संगठनों में सूचना सुरक्षा घटनाओं की जांच, सैन्य (लड़ाकू) उद्देश्यों के लिए सूचना वाहक का अध्ययन, आदि।

चूंकि न्यायिक साक्ष्य प्राप्त करने के लिए बड़ी संख्या में मामलों में मशीन डेटा वाहकों की फॉरेंसिक जांच की जाती है, ऐसे अध्ययनों के संचालन की विधि को यह सुनिश्चित करना चाहिए कि परिणामों का पुन: परीक्षण करके सत्यापन किया जाए (यह आवश्यकता रूसी संघ की दंड प्रक्रिया संहिता के अनुच्छेद 57 में दर्ज है: “एक विशेषज्ञ बिना हकदार नहीं है… आचरण के बिना आचरण। जांच अधिकारी, अन्वेषक, अनुसंधान पोत की अनुमति, जो वस्तुओं के पूर्ण या आंशिक विनाश या उनके स्वरूप या बुनियादी गुणों में बदलाव "" में प्रवेश कर सकता है । कंप्यूटर की जानकारी के अध्ययन के संबंध में, परिणाम की पुनरावृत्ति के लिए आवश्यकताओं को विभिन्न तरीकों से सूचना की अपरिहार्यता सुनिश्चित करने में व्यक्त किया जाता है (हालांकि कुछ वैज्ञानिक "सूचना अखंडता" शब्द का उपयोग करना पसंद करते हैं):

• ऑपरेटिंग सिस्टम द्वारा अध्ययन के तहत मीडिया को भेजे गए किसी भी लिखने के आदेश को ब्लॉक करने वाले सॉफ़्टवेयर लिखने वाले ताले (लिनक्स ओएस में, केवल -आरओ कमांड , लूप / देव / <डिवाइस के साथ रीड-ओनली मोड में बनाए गए राइट-बैक डिवाइस। > <आरोह बिंदु> " );
• हार्डवेयर रिकॉर्डिंग ताले जो समान कार्य करते हैं, लेकिन किसी भी सॉफ़्टवेयर इंस्टॉलेशन की आवश्यकता नहीं है (सरल शब्दों में: कंप्यूटर और भंडारण माध्यम के बीच मध्यस्थ डिवाइस जो संचारित आदेशों को फ़िल्टर करते हैं);
• विशेष ऑपरेटिंग सिस्टम जो बूट और ऑपरेशन के दौरान कनेक्टेड स्टोरेज मीडिया में रिकॉर्डिंग कमांड नहीं भेजते हैं।

प्रारंभिक चरण में कंप्यूटर फोरेंसिक का विकास

कंप्यूटर सूचना के फोरेंसिक अनुसंधान के तरीकों के विकास की पहचान निम्न प्रवृत्तियों से की जा सकती है:

• क्रिप्टोग्राफिक हैश फ़ंक्शन द्वारा अध्ययन किए गए डेटा की अपरिवर्तनीयता (अखंडता) की पुष्टि;
• रिकॉर्डिंग लॉक के अनिवार्य उपयोग या एक माध्यम से दूसरे माध्यम की सामग्री की नकल करके बनाई गई सूचना वाहकों की फोरेंसिक प्रतियों के अध्ययन द्वारा (कभी-कभी ऐसी प्रतियों को बिटवाइज़ या सेक्टर-बाय-सेक्टर कहा जाता है) के अभियोग्यता सुनिश्चित करना ;
• इन प्रवृत्तियों के लोकप्रियकरण, न्यायिक अनुसंधान के संचालन के तरीकों में उनका निर्धारण।

यह समझना मुश्किल नहीं है कि कंप्यूटर फोरेंसिक का विकास कंप्यूटर स्टोरेज मीडिया की स्थिर सामग्री से प्रभावित होता है, जिसे एक साधारण सिद्धांत के रूप में व्यक्त किया जा सकता है: "डेटा केवल कमांड द्वारा बदला जाता है । " यह सिद्धांत फ्लॉपी डिस्क, हार्ड डिस्क ड्राइव (HDD), और अन्य "पारंपरिक" प्रकार के स्टोरेज मीडिया पर लागू होता है, और बिना कमांड के इन मीडिया की सामग्री को बदलना एक खराबी (बुरे क्षेत्रों की उपस्थिति) माना जाना चाहिए।

बेशक, सेवा डेटा बदलना (स्मार्ट पैरामीटर) एक गंभीर समस्या नहीं है, क्योंकि किसी भी समस्या को हल करने के लिए फोरेंसिक में ऐसी सेवा जानकारी का उपयोग शायद ही कभी किया जाता है (और इसे बदलने के लिए गंभीर रूप से माना नहीं जाता है, बदलते सिस्टम के विपरीत)।

फोरेंसिक के प्रिज्म के माध्यम से फ्लैश मेमोरी का विकास

हटाने योग्य और गैर-हटाने योग्य कंप्यूटर स्टोरेज मीडिया में फ्लैश मेमोरी का बड़े पैमाने पर उपयोग फ्लैश मेमोरी सेल पहनने की समस्या को हल करके संभव बनाया गया था, जो व्यक्तिगत मेमोरी ब्लॉकों के संभावित सफाई (पुनर्लेखन) चक्रों की संख्या को सीमित करता है और असमान डेटा रिकॉर्डिंग के कारण फ्लैश मेमोरी संसाधन को काफी कम कर देता है। आम फाइल सिस्टम में (डेटा के कुछ टुकड़े दूसरों की तुलना में अधिक बार लिखे गए हैं)।

इस समस्या को हल करने के लिए, फ्लैश निर्माताओं ने वियर लेवलिंग विधि का उपयोग करना शुरू किया, जिसमें मेमोरी के सबसे घिसे-पिटे क्षेत्रों से लेकर कम घिसने वाले तक के डेटा शामिल होते हैं। यह प्रक्रिया फ़ाइल सिस्टम स्तर पर या नियंत्रक स्तर पर की जा सकती है: पहले मामले में, डेटा को विशेष फ़ाइल सिस्टम के चालक द्वारा पुनर्वितरित किया जाता है, दूसरे मामले में, ऑपरेटिंग सिस्टम में पारदर्शी तरीके से डेटा को मीडिया नियंत्रक द्वारा पुनर्वितरित किया जाता है (जब रीडिंग होता है, तो नियंत्रक आवश्यक बाइट ऑर्डर प्रदान करता है, अर्थात, यह फिर से बनाता है। स्मृति कोशिकाओं की भौतिक स्थिति को तार्किक स्मृति पतों के पत्राचार के उपयोग के माध्यम से मूल डेटा संरचना)।

फ्लैश मेमोरी, जिसके लिए सिस्टम में एक अतिरिक्त ड्राइवर को स्थापित करने और एक विशेष फ़ाइल सिस्टम का उपयोग करने के लिए लेवलिंग पहनना आवश्यक है, सामान्य उपयोगकर्ताओं के बीच व्यापक रूप से उपयोग नहीं किया जाता है, और नियंत्रक पहनने के लेवलिंग एल्गोरिदम का सबसे अधिक उपयोग किया जाता है।

इस प्रकार, यहां तक ​​कि जब रीड-ओनली मोड में फ्लैश मेमोरी के साथ काम करते हैं, तो नियंत्रक लगातार डेटा को पुनर्वितरित कर रहा है। हालांकि, यह प्रक्रिया ऑपरेटिंग सिस्टम और पाठकों के लिए बिल्कुल पारदर्शी है, इसलिए, फ्लैश मेमोरी की फोरेंसिक जांच करने में कोई विशेष कठिनाई नहीं है (हालांकि भौतिक स्तर पर डेटा को पुनर्वितरित किया जाता है, लेकिन तार्किक स्तर पर वे स्थिर हैं), यदि दो बड़े BUTs के लिए नहीं:

1. USB फ्लैश ड्राइव कभी-कभी विद्युत रूप से मेमोरी कोशिकाओं के ब्लॉक को तब तक कनेक्ट नहीं करते हैं जब तक कि इन ब्लॉकों को पहले नहीं लिखा जाता है [4];
2. प्रभावी वियर लेवलिंग के लिए मेमोरी के अतिरिक्त (रिजर्व) वर्गों की उपस्थिति की आवश्यकता होती है, जिसके लिए इन फाइल सिस्टमों के मुफ्त (निर्लिप्त) वर्गों का उपयोग करना उचित होता है।

पहला "लेकिन" इस तथ्य की ओर जाता है कि जब USB फ्लैश ड्राइव की मेमोरी के अनजाने हिस्से को पढ़ते हैं, तो यादृच्छिक डेटा (शोर) वापस आ जाता है , जो कि, जैसा कि अपेक्षित था, प्रत्येक रीडिंग के साथ बदलता है।

दूसरा (लेकिन ") ठोस राज्य ड्राइव (SSDs) के निर्माताओं की समस्या की ओर जाता है (पहले से ही हल) परिभाषा और उपयोग की परिभाषा (मुक्त) इन फाइल सिस्टम के भागों को पहनने से भी।

ये विशेषताएं "केवल कमांड द्वारा डेटा बदल दिया जाता है" सिद्धांत का एक गंभीर उल्लंघन है , जिस पर आधुनिक कंप्यूटर फोरेंसिक आधारित है। इसके अलावा, फ़ाइल सिस्टम के मुफ्त (अप्रकाशित) अनुभागों का उपयोग जिसमें डिलीट की गई फाइलें और पिछली फाइल सिस्टमों से लेवलिंग वेयर के लिए डेटा में गंभीर डेटा रिकवरी की समस्या होती है (क्योंकि कंट्रोलर डेटा के एक फ्री सेक्शन का उपयोग करने से पहले इसकी सफाई करता है, अर्थात) हटाए गए डेटा को नष्ट कर दिया जाता है, विशेष कार्यक्रमों के साथ ओवरराइटिंग फ़ाइलों के समान संक्षेप में)।

बिना लाइसेंस वाले फ़ाइल सिस्टम स्पेस का उपयोग करके फ्लैश पहनने का काम कैसे होता है?

काम के सरलीकृत एल्गोरिथ्म को कई लाइनों में वर्णित किया जा सकता है:
स्पष्ट रूप से जानकारी संग्रहीत करने के लिए फ़ाइल सिस्टम द्वारा उपयोग नहीं किए जाने वाले डेटा क्षेत्रों के लिए (तार्किक स्तर पर) फ़्लैश सेल स्पष्ट रूप से साफ़ हो जाती हैं, उनके लिंक हटा दिए जाते हैं (अर्थात, ऑपरेटिंग सिस्टम अब संबंधित सेक्शन को पढ़कर इन सेल की सामग्री को नहीं पढ़ सकता है। डेटा), फिर भौतिक स्तर पर डेटा को फिर से विभाजित करने के लिए कोशिकाओं का उपयोग किया जाता है। यदि कोशिकाओं को साफ करने के समय में हटाए गए फ़ाइलों या पिछले फ़ाइल सिस्टम के टुकड़े होते हैं, तो यह डेटा स्थायी रूप से हटा दिया जाता है (अधिलेखित)।

उसी समय, फ़ाइल सिस्टम के डेटा के मुक्त क्षेत्रों का पता लगाने के लिए सबसे दिलचस्प फ़्लैश ड्राइव नियंत्रक के तरीके हैं:

• एटीए-कमांड ट्रिम [3] का उपयोग करके पता लगाना: इस एटीए-कमांड का समर्थन करने वाला ऑपरेटिंग सिस्टम स्वचालित रूप से फाइलों या प्रारूपण को हटाने के लिए अप्रयुक्त डेटा क्षेत्रों के बारे में जानकारी को नियंत्रक को स्थानांतरित करता है, जिसका उपयोग पहनने के स्तर को समाप्त करने के लिए किया जा सकता है;
• फ्लैश ड्राइव नियंत्रक द्वारा फाइल सिस्टम संरचनाओं को संसाधित करके पता लगाना: ऑपरेटिंग सिस्टम की भागीदारी के बिना नियंत्रक, संग्रहीत डेटा को पढ़ता है, सबसे आम फ़ाइल सिस्टम की संरचनाओं को संसाधित करता है (उदाहरण के लिए: FAT) और डेटा के निर्बाध क्षेत्रों को निर्धारित करता है जिसे साफ किया जा सकता है और पहनने के लिए उपयोग किया जा सकता है।

यह ध्यान दिया जाना चाहिए कि इस पहनने के स्तर का उपयोग आधुनिक यूएसबी फ्लैश ड्राइव में नहीं किया जाता है, लेकिन इसका उपयोग केवल ठोस राज्य ड्राइव में किया जाता है।

और इससे कंप्यूटर फोरेंसिक को क्या खतरा है?

फ्लैश मेमोरी के पहनने को समतल करने के उपरोक्त सिद्धांतों से, दो निष्कर्ष किए जा सकते हैं:

• फ्लैश मेमोरी की सामग्री एक तार्किक स्तर पर भी बदल सकती है, जब स्टोरेज मीडिया को राइट लॉक का उपयोग करके कनेक्ट किया जाता है या जब रीड-ओनली मोड में बढ़ते फाइल सिस्टम;
• ठोस-राज्य ड्राइव जो स्वतंत्र रूप से फ़ाइल सिस्टम के रिक्त स्थान को स्वतंत्र रूप से पहचानते हैं और उनका उपयोग करते हैं, हटाए गए डेटा के तेजी से विनाश का कारण बनते हैं।

और फ्लैश मेमोरी के साथ फोरेंसिक कार्य के निम्नलिखित सामान्य सिद्धांत बनाएं:

• फ्लैश ड्राइव की सामग्री की अपरिहार्यता (अखंडता) की पुष्टि करने के लिए आप हैश फ़ंक्शन का उपयोग नहीं कर सकते हैं;
• सॉफ़्टवेयर और हार्डवेयर रिकॉर्डिंग लॉक का उपयोग फ्लैश ड्राइव के साथ काम करते समय अध्ययन किए गए डेटा की अपरिहार्यता (अखंडता) को सुनिश्चित नहीं करता है;
• ठोस राज्य ड्राइव से हटाए गए डेटा को पुनर्प्राप्त करना मुश्किल हो सकता है;
• यह गारंटी देने का एकमात्र तरीका है कि अनुसंधान के दौरान फ्लैश मेमोरी की सामग्री अपरिवर्तित रहे, मेमोरी मॉड्यूल को वाष्पित करना और उन्हें पढ़ना, इसके बाद विशेष सॉफ्टवेयर और हार्डवेयर डेटा रिकवरी कॉम्प्लेक्स के साथ सॉफ्टवेयर डेटा पुनर्निर्माण।

संदर्भ

1. नील ईसाई विंडोज 7 (पीडीएफ) में एटीए ट्रिम / डिलीट नोटिफिकेशन सपोर्ट ।
2. सुखनोव मैक्सिम। कंप्यूटर फोरेंसिक की समस्याएं और उन्हें कैसे हल करें (पीडीएफ)।
3. डेटा सेट प्रबंधन ATA8-ACS2 (DOC) के लिए प्रस्ताव करता है ।
4. डोमिनिक वेबर। फ्लैश ड्राइव और अधिग्रहण ।