SSD Forensik Das Problem Garbage Collection Security Forum 2015

Transkript

1 Das Problem Garbage Collection

2 Agenda 1 Grundlagen SSD Grundlagen HDD Imaging 2 Problemfelder Garbage Collection & TRIM Verschlüsselung Secure Erase Ansätze 3 Zusammenfassung Statistiken Zusammenfassung Ausblick 2

3 Grundlagen SSD Grundlagen HDD Imaging 3

4 SSD Grundlagen Funktionsweise - Controller Schnittstelle Betriebssystem <-> Flash Chips Ausführung von Firmware Wear Leveling Garbage Collection Komprimierung SSD Verschlüsselung Chip Chip Chip Chip OS Controller Chip Chip Chip Chip 4

5 SSD Grundlagen Funktionsweise Flash Chips Datenspeicher Unterteilung Cells Pages Blocks Planes Cells Page 2 Page 3 Page n Plane Block 2 Block 3 Block n 5

6 SSD Grundlagen Daten schreiben & modifizieren Speicherbereich muss leer sein Wear Leveling Gleichmäßige Auslastung Controller entscheidet Verwendung Over Provisioning Reservespeicher Nicht frei verfügbar Verwendet für SSD Funktionen und als Ersatzspeicher Vergleich HDD Speicherbereich muss nicht leer sein Direktes Überschreiben von unbenutztem Speicher 6

7 HDD Imaging 7

8 SSD Grundlagen Daten löschen TRIM-Command OS informiert Controller über gelöschte Datei SSD-Controller kann Daten sofort löschen Garbage Collection Keine sofortige Information über gelöschte Dateien Bereinigung unbenutzter Bereiche Vergleich HDD Alte Dateien bleiben bestehen Eintrag in File Table wird gelöscht 8

9 Problemfelder & Ansätze Garbage Collection TRIM Command Verschlüsselung Secure Erase Ansätze 9

10 Garbage Collection Funktionsweise & Auswirkungen Funktionsweise Bereinigung unbenutzter Blöcke Abhängig von Implementierung Einfluss durch SSD-Auslastung Auswirkungen Nicht zwingend vollständige Löschung Datenwiederherstellung oft noch möglich } GC GC GC GC GC GC GC GC GC GC GC GC GC GC GC GC GC GC GC GC 10

11 Garbage Collection Funktionsweise & Auswirkungen Funktionsweise Bereinigung unbenutzter Blöcke Abhängig von Implementierung Einfluss durch SSD-Auslastung Auswirkungen Nicht zwingend vollständige Löschung Datenwiederherstellung oft noch möglich GC GC F F F F 11

12 Garbage Collection Lazy Garbage Collection Durchführung nur bei SSD Idle Kein Wissen über Dateisystem Kein Wissen über gelöschte Dateien Daten evtl. noch verfügbar 12

13 Garbage Collection File Slack Kleinste schreibbare Einheit: 1 Page Kleinste löschbare Einheit: 1 Block Block File 1 Block File 1 Block File 1 & 2 Block File 2 13

14 TRIM Command Funktionsweise & Auswirkungen Funktionsweise OS informiert SSD über gelöschte Dateien SSD erhält Informationen über ungenutzte Bereiche Markierung der Bereiche für Garbage Collector Löschen der entsprechenden Bereiche Auswirkungen Vollständige Löschung von Dateien Daten nicht wiederherstellbar 14

15 TRIM Command DRAT/DZAT Deterministic Read After Trim Gelesene Daten immer gleich nach TRIM Neubeschreibung ändert Daten Möglicherweise Original-Daten Deterministic Read Zero After Trim Immer Null-Bytes nach TRIM 15

16 TRIM Command Betriebssystem TRIM wird nicht von allen Betriebssystemen unterstützt Zusätzlich von Dateisystem (NTFS, Ext4, ) abhängig Betriebssystem Unterstützt ab Microsoft Windows Windows 7 bzw. Windows Server 2008 R2 Linux Kernel Mac OS X FreeBSD

17 TRIM Command Anschlüsse & Konfiguration Nicht alle Anschlüsse übertragen den TRIM-Command Unterstützt SATA / esata SCSI PCI Express: ab Windows 8 Nicht unterstützt USB RAID (mit Ausnahmen) NAS (mit Ausnahmen) 17

18 TRIM Command Kleine Dateien Speicherung in MFT Keine Garbage Collection Nur sehr kleine Dateien <900 Bytes Daten wiederherstellbar 18

19 TRIM Command Korrupte Systembereiche Beschädigte Partition Tables Beschädigte Dateisysteme TRIM-Command wird nicht ausgeführt Dateien leichter wiederherstellbar 19

20 TRIM Command Bugs Firmware auf Controller Möglicherweise fehlerhaft TRIM-Command Over-Provisioning Wear Leveling 20

21 Verschlüsselung Funktionsweise & Auswirkungen Self Encrypting Drives Tools Hardware basierend Full-Disk Encryption Bereinigung durch Schlüsseltausch Vollständige Verschlüsselung Verschlüsselung verwendeter Bereiche 21

22 Verschlüsselung Folgen für Forensik Vollständige Verschlüsselung Schlüssel notwendig Evtl. Wiederherstellung gelöschter Dateien möglich Verschlüsselung verwendeter Bereiche Rückschlüsse auf Datengröße möglich Rückschlüsse auf Dateisystem möglich 22

23 Secure Erase Funktionsweise & Auswirkungen Funktionsweise Vollständiges Löschen der SSD Spannungsspitze zum Zurücksetzen der Bits Auswirkungen Daten nicht wiederherstellbar Möglicherweise fehlerhaft Anti-Forensik 23

24 Ansätze Informationen sammeln Host OS Verbindung SSD-Hardware SSD nur unmittelbar vor Imaging einschalten USB3.0 WriteBlocker für Geschwindigkeitsgewinn Chip-Off-Forensik nur mit Spezialkenntnissen und hardware Keine offiziellen Best-Practice Ansätze von NIST, BSI, 24

25 Zusammenfassung Statistiken Zusammenfassung Ausblick Quellen 25

26 No TRIM TRIM Statistiken Diverse Testszenarien Prozent der wiederhergestellten Bytes nach einer Stunde Random.small Random.large NTFS Ext4 HFS+ NTFS Ext4 HFS+ Idle, Low 0,39% 100% 0,39% 0,55% 100% 0,58% Idle, High 0,39% 100% 0,39% 0,47% 100% 0,50% Activity, Low 0,39% 100% 0,39% 0,58% 100% 0,50% Activity, High 0,39% 100% 0,39% 0,52% 100% 0,58% Idle, Low 100% 100% 100% 100% 100% 100% Idle, High 100% 100% 100% 100% 100% 100% Activity, Low 100% 100% 35,25% 100% 100% 100% Activity, High 100% 0,39% 35,26% 100% 0,39% 100% Quelle: Nisbet, Lawrence, Ruff: A Forensic Analysis and Comparison of Solid State Drive Retention With Trim Enable File Systems 26

27 Statistiken Recovery nach Quick Format Device 64 GB Corsair P64 SSD Files Recovered Description of recovered Files 1064 deleted evidence text files from the drive An additional 26 deleted evidence text files were carved from unallocated space 604 File name and temporal metadata recovered and file partially readable but could not be recovered as original text documents 460 File name and temporal metadata recovered but not readable and could not be reconstituted as original text documents 23 File name and temporal metadata recovered and file readable but could not be reconstituted as original text documents 3 File name and temporal metadata recovered but not readable and could not be reconstituted as original text documents Total files recovered 1090 Compared to files present prior to quick format & other experiment study period Quelle: Bell, Boddington: Solid State Drives: The Beginning of the End for Current Practice in Digital Forensic Recovery? 27

28 Statistiken Recovery nach 24 Stunden mit TRIM SSD FS Files Recovered Samsung S470 NTFS 0% Ext4 0% Corsair F60 NTFS 70,79% Ext4 0% Crucial M4 NTFS 0% Ext4 0% Recovery nach 16 Stunden ohne TRIM SSD Files Recovered Samsung S % Corsair F60 100% Quelle: Bonetti, Viglione, Frossi, Maggi, Zanero: A Comprehensive Black-box Methodology for Testing the Forensic Characteristics of Solid-State Drives 28

29 Statistiken Recovery nach Durchführung diverser Überschreibungsmethoden Overwrite Operation Data recovered Filesystem delete 4,3 91,3% Gutmann 0,8 4,3% Gutmann lite 0,02 8,7% US DoD M (7) 0,01 4,1% RCMP TSSIT OPS-II 0,01 9,0% Schneier 7 Pass 1,7 8,0% German VSITR 5,3 5,7% US DoD M (4) 5,6 6,5% British HMG IS5 (Enh.) 4,3 7,6% US Air Force ,8 7,3% US Army AR ,91 7,07% Russian GOST P ,07 13,86% British HMG IS5 (Base.) 6,3 58,3% Pseudorandom Data 6,16 75,7% Mac OS X Sec. Erase Trash 67% Quelle: Wei, Grupp, Spada, Swanson: Reliably Erasing Data From Flash-Based Solid State Drives 29

30 Zusammenfassung & Ausblick Zusammenfassung Kein einheitliches Rezept Jede SSD kann sich anders verhalten Herkömmliche Wege nicht mehr zielführend Herkömmliche Wege keine Garantie für Datenintegrität Viele Stolpersteine für Forensiker Ausblick Evtl. Support von SSD-Herstellern Bessere SSD-Forensik-Hardware 30

31 Fragen? 31

32 Quellen Bell, Boddington: Solid State Drives: The Beginning of the End for Current Practice in Digital Forensic Recovery? Bonetti, Viglione, Frossi, Maggi, Zanero: A Comprehensive Black-Box Methodology for Testing the Forensic Characteristics of Solid-State Drives Elcomsoft: SSD Evidence Acquisition and Crypto Containers Gubanov, Afonin: Why SSD Drives Destroy Court Evidence, and What Can Be Done About It Gubanov, Afonin: SSD Forensics 2014 Nisbet, Lawrence, Ruff: A Forensic Analysis And Comparison of Solid State Drive Data Retention With Trim Enabled File Systems Wei, Grupp, Spada, Swanson: Reliably Erasing Data From Flash-Based Solid State Drives 32

33 Kontakt Dr. Christian Kurz Manager Forensic Technology Solutions / Christoph Dulghier Consultant Forensic Technology Solutions / This publication has been prepared for general guidance on matters of interest only, and does not constitute professional advice. You should not act upon the information contained in this publication without obtaining specific professional advice. No representation or warranty (express or implied) is given as to the accuracy or completeness of the information contained in this publication, and, to the extent permitted by law, Wirtschaftsprüfung GmbH, its members, employees and agents do not accept or assume any liability, responsibility or duty of care for any consequences of you or anyone else acting, or refraining to act, in reliance on the information contained in this publication or for any decision based on it Wirtschaftsprüfung GmbH. All rights reserved. In this document, refers to Wirtschaftsprüfung GmbH which is a member firm of PricewaterhouseCoopers International Limited, each member firm of which is a separate legal entity.