Digitale Ermittlungen 2022

Transkript

1 Digitale Ermittlungen 2022 Felix C. Freiling Friedrich-Alexander-Universität Erlangen-Nürnberg Lehrstuhl für Informatik 1 Universität Siegen,

2 Lehrstuhl für IT-Sicherheitsinfrastrukturen Schwerpunkt IT-Forensik Vorlesungsangebot: Reverse Engineering Forensische Informatik Fortgeschrittene Forensische Informatik Beteiligt am Master-Online Digitale Forensik Berufsbegleitender Masterstudiengang Entwicklung eines berufsbegleitenden Bachelor- Studiengangs IT-Sicherheit/Informatik 2

3 Forensische Wissenschaft Wortherkunft: forensisch, von lat. forum (Marktplatz) Marktplatz war Schauplatz der Gerichte Ein Spur (engl. evidence) ist ein Indiz (Hinweis/Zeugnis), das eine Theorie über einen Tathergang stützen oder widerlegen kann Mit forensisch wird die Eigenschaft von Spuren bezeichnet, als Beweis vor Gericht verwendbar zu sein Die Methoden aus vielen wissenschaftlichen Disziplinen werden zur Untersuchung und Verfolgung von Straftaten angewendet (forensische Wissenschaft)

4 Beispiel: Forensische Entomologie Quelle: Rückschlüsse auf Todesursache und Todesumstände aufgrund der Leichenbesiedlung durch Insekten Hinweise auf die Leichenliegezeit, etc. Weitere Beispiele: forensische Ballistik, forensische Serologie, forensische Daktyloskopie

5 Digitale Spuren und Forensische Informatik Digitale Spuren (digital evidence) sind alle Spuren, die auf Daten basieren, die in Computersystemen gespeichert oder übertragen worden sind. [Casey, S.12] Forensische Informatik ist die Anwendung wissenschaftlicher Methoden der Informatik zur gerichtsfesten Sicherung und Analyse digitaler Spuren Abgrenzung von Begriffen wie Computerforensik oder IT-Forensik (Betonung des wissenschaftlichen Aspekts)

6 Forensische Informatik im engeren Sinne Unterschied zwischen technisch vermeidbaren und technisch unvermeidbaren Spuren Technisch vermeidbar: Daten, die um ihrer selbst Willen erzeugt wurden. Beispiele: Log-Dateien, Zeitstempel in Dateisystemen Technisch unvermeidbar: Daten, die unweigerlich anfallen (nicht wegkonfigurierbar ) Beispiele: Gelöschte Dateien im Dateisystem, alte Stackframes im Hauptspeicher, Lage der MFT in NTFS Forensische Informatik im engeren Sinne untersucht vor allem technisch unvermeidbare Spuren Forensische Informatik im weiteren Sinne untersucht auch technisch vermeidbare Spuren

7 Inhalte der forensischen Informatik Spurensicherung: Digitale Spuren sind zunächst physische Spuren Magnetisierung auf der Oberfläche einer Festplatte etc. Spuren müssen unverändert gesichert werden Spuren müssen unverfälscht lesbar gemacht werden Spurenuntersuchung: Klassisch: Festplatten und Standarddateisysteme Suche nach gelöschten/versteckten Informationen Moderner: Speicherkarten und Mobiltelefone Problem des Zugangs und proprietärer Formate Aktuell: Hauptspeicher, Netzwerke cold boot attack, Router-Caches

8 Digitale Ermittlungen Ermittlungen, in denen digitale Spuren anfallen Wir wissen, wie digitale Ermittlungen heute aussehen Aber wie wird sich die Situation entwickeln? 8

9 2022 9

10 Fragestellungen Vor welchen Problemen stehen digitale Ermittlungen 2022? Welche Methoden und Werkzeuge wird es geben? Ansatz: Ausgehend von heutigen Werkzeugen und Forschungsergebnissen hochrechnen 10

11 Gliederung 1. Datenüberlastung Steigende Mengen an zu analysierenden Daten 2. Zunehmende Diversität von Software und Hardware Mobiltelefone, Software-Verschleierungstechniken 3. Verschlüsselte Datenträger und Kommunikation 4. Räumliche Entgrenzung Virtualisierung, Daten im Netz 11

12 1. 12

13

14 Datenüberlastung (Private) Speicherkapazität steigt deutlich schneller als die der Ermittlungsbehörden Quantität an gesicherten Daten übersteigt die Kapazität der Ermittler Bei einer durchschnittlichen Durchsuchung fallen mehrere 100 GB Daten an Allein das Sichern dauert Stunden Zunehmend komplexere Datenformate 14

15 e-discovery Spezieller Zweig der digitalen Forensik Bekannte Techniken aus anderen Bereichen, bei denen große Datenmengen anfallen Wirtschaftskriminalität, Wirtschaftsprüfung Methoden des Data Mining, Machine Learning, der Künstlichen Intelligenz Löst das Problem aber nicht grundsätzlich Konzentration auf Datensparsamkeit bei der Sicherung notwendig 15

16 Analogie: Identifikation physischer Beweismittel Bei einer (klassischen) Durchsuchung wird vor Ort gesichtet und selektiert Aufschriften auf Ordnerrücken Inhalt der ersten Seiten eines Notizbuches... Training und Erfahrung des Ermittlers geben den Ausschlag Bei einer (digitalen) Durchsuchung wird bereits heute selektiert Musik-CDs und Installationsmedien werden nicht kopiert Aber was ist mit dem Rest?

17 Abstraktionsebenen Speichermedien Dateiebene Dateisystemebene Partitionsebene Physische Ebene

18 Arten der Sicherung Sicherung auf physischer Ebene Entspricht vollständiger 1:1-Kopie Sicherung auf Partitions-/Dateisystemebene Selektion auf Ebene der Partitionen/Dateisysteme möglich Beispiel: Systempartitionen oder Swap-Space ausschließen Sicherung auf Dateiebene Selektion auf Dateiebene möglich Beispiel: nur Bilddateien sichern oder nur - Dateien

19 Live-Analyse Sicherung unter Nutzung des Rechners des Beschuldigten Booten von LiveCD, Sichtung und Selektion vor Ort Sicherung unter Nutzung des Rechners und des Betriebssystems des Beschuldigten (Live- Analyse) Programme von vertrauenswürdiger Quelle verwenden (CD) Vorsicht vor Rootkits und logischen Sprengfallen

20 Techniken und Werkzeuge LiveCDs HELIX ( F.I.R.E. (fire.dmzs.com) Spezialhardware: Shadow Drive ( Reborn Card (

21 Manipulations- und Fehlerrisiko Sehr gering: Zugriff auf Datenträger mit Hardware-Write- Blocker Booten des Rechners mittels LiveCD, Montierung des Datenträgers als Read-Only-Device Abschätzbar: Untersuchung am laufenden System (Live- Analyse) mit vertrauenswürdigen Programmen von CD

22 Verhältnismäßigkeit des Umfangs der Datenerhebung IT-Grundrecht schützt die Vertraulichkeit der persönlichen IT Zugriffe müssen auf das notwendige Maß beschränkt sein Zusätzlicher Vorteil der Selektion vor der Sicherung

23 Ausblick 2022 Begründete Selektion kann Datenüberlastung eindämmen Gefahr, etwas zu übersehen, von Fall zu Fall abwägen Live-Analyse wird auch wegen Verschlüsselung die Regel sein Qualifikationen und Erfahrung des Ermittlers vor Ort entscheidend

24 2. 24

25 Neue Technologien Smartphones Navigationsgeräte Fahrassistenzsysteme Drucker Scanner Kameras ipods/ipads/ixxxs... 25

26 Android System Architecture 26

27 Multimedia-Forensik Entdeckung von Manipulationen in Bildern Rückschlüsse auf das Eingabegerät Beispiel: Digitalkamera Bildquelle: Böhme et al (auch folgende 4 Folien) 27

28 BdK-Seminar Tatort Internet (Teil 2),

29 BdK-Seminar Tatort Internet (Teil 2),

30 BdK-Seminar Tatort Internet (Teil 2),

31 BdK-Seminar Tatort Internet (Teil 2),

32 Wear Levelling bei SSDs 32

33 Ausblick 2022 Trend zur Standardisierung hält an Embedded Devices haben Standard- Betriebssysteme Zugriffsmethoden ähneln denen heutiger Desktops Multimediaforensik wird Eingang in Standardwerkzeuge finden Zuordnungen von Druckern, Digitalkameras, Scannern,... Wear Levelling erlaubt tiefe Einblicke in Historie von Daten 33

34 3. 34

35 Verschlüsselte Datenträger und Kommunikation

36 Verschlüsselte Kommunikation Standard-TKÜ ohne Erfolgschancen Einzige Lösung: Abfangen der Gesprächsdaten vor/nach der Verschlüsselung Quellen-TKÜ 36

37 Verschlüsselte Festplatten Festplattenvollverschlüsselung Bitlocker, dmcrypt, FileVault, etc. Verschlüsselte Container Truecrypt, PGP, GPG, etc. Ohne Schlüssel ist man ähnlich machtlos wie bei verschlüsselter Kommunikation Lösung? 37

38 Nachteile Sehr aufwändig herzustellen, jeweils genau auf den Einzelfall zugeschnitten (Unikat) Gleicht vom Verhalten Schadsoftware Probleme mit AV-Produkten Gezieltes Einbringen ist schwierig Am sichersten händisch (oder per Social Engineering, wie neuere Schadsoftware) Unsicherer: über das Netz (wie klassische Schadsoftware) Hardware-Alternativen müssen händisch eingebracht werden Rechtliche Rahmenbedingungen sind aufgrund hoher Streubreite komplex (IT-Grundrecht) 38

39 Alternativen Rekonstruktion des Schlüssels im Rahmen einer offenen Beschlagnahme Notwendig: Kopie des Hauptspeichers Möglich wenn das System im laufenden Zustand angetroffen wird Firewire, Thunderbolt/Light Peak Möglich auch im Standby- und Ruhezustand Auch bei gerade ausgeschalteten Rechnern möglich (Cold Boot) 39

40 Rückverfolgung Verwendung von Anonymisierungsdiensten Weiterentwicklung von Fast Flux-Netzwerken im Rahmen von Botnetzen Lösung? 40

41 Ausblick 2022 Verschlüsselung stärker verwendet als heute Verdeckte Software wird zum Standardermittlungsinstrument Quellen-TKÜ, digitaler verdeckter Ermittler Recht(sprechung) wird die Einsatzumstände bestimmen 41

42 4. 42

43 Räumliche Entgrenzung Copyright by Jamie Zawinski 43

44 Virtualisierung Quellen: vmware.com, microsoft.com, oracle.com 44

45 Sicherung auf Knopfdruck Virtualisierung hat für Ermittler viele Vorteile Systeme können lösgelöst von der Hardware untersucht werden Snapshot-Mechanismus auf Knopfdruck Problematisch: zusätzliche Softwareschicht zwischen System und Ermittler Vertrauen in die korrekte Ausführung des Snapshots Problem der plausible deniability 45

46 Wo ist meine VM? 46

47 Wo sind Daten im Netz?

48 Ausblick 2022 Virtualisierung verwandelt Hardware in Software Mit allen Vor- und Nachteilen [Brodowski und Freiling, 2011] Aufspüren der Daten schwierig Zugriffsmethoden der Benutzer selbst verwenden (ähnlich Quellen-TKÜ) Recht(sprechung) wird die Einsatzumstände bestimmen 48

49 Abschluss 49

50 lost academic research [Garfinkel 2010] 50

51 Theorie und Praxis Viele Entwicklungen der Forschung kommen nicht in der Praxis an Forscher haben oft kein Interesse, ihre Entwicklungen an Firmen zu verkaufen Firmen sind regelmäßig schlecht informiert über den Stand der Forschung Ansatz: Temporärer personeller Austausch zwischen Forschung und Praxis Mehr Forscher in die Praxis Mehr Praktiker zur Forschung 51

52 Literatur Matthias Bäcker, Felix Freiling, Sven Schmitt: Selektion vor der Sicherung. In: Datenschutz und Datensicherheit, 4/2010 Rainer Böhme, Felix Freiling, Thomas Gloe und Matthias Kirchner: Multimedia- Forensik als Teildisziplin der digitalen Forensik. In: Proc. INFORMATIK 2009, Workshop Digitale Multimedia-Forensik, S Dominik Brodowski, Felix Freiling: Cyberkriminalität, Computerstrafrecht und die digitale Schattenwirtschaft. Band 4 der Schriftenreihe Öffentliche Sicherheit, FU Berlin, 2011 Brian Carrier: File System Forensic Analysis. Addison-Wesley, Felix Freiling, Christian Moch: The Forensic Image Generator Generator. Proc. IMF 2009 Simson Garfinkel: Digital Forensics Research: The next 10 Years. Proc. DFRWS 2010 Alexander Geschonneck: Computer Forensik. dpunkt Verlag, 2. Auflage, 2006 J. Alex Halderman, Seth D. Schoen, Nadia Heninger, William Clarkson, William Paul, Joseph A. Calandrino, Ariel J. Feldman, Jacob Appelbaum, and Edward W. Felten: Lest We Remember: Cold Boot Attacks on Encryption Keys. Proc. 17th USENIX Security Symposium, July 2008 Thorsten Holz, Felix Freiling, Martin Mink: A Case Study in Teaching Forensic Computing. Proc. IMF 2008 Eoghan Casey: Digital Evidence and Computer Crime, 2nd Edition, Academic Press, 2004

53 Werbung 53

54 Master Digitale Forensik Berufsbegleitender Studiengang vertiefend (setzt technischen Abschluss voraus) läuft seit Wintersemester 2010/ Semester (90 ECTS), 75% online-lehre, 25% Präsenz Kooperationsprojekt zwischen Hochschule Albstadt-Sigmaringen (Federführung), FAU, LMU

55 Module Master Online 55