IT Security Forensische Analyse des VP8 Video Codecs Containerformat WebM DI Riegler Markus VP8 Video Codec DI Riegler Markus 11.11.2011
Agenda Motivation und Zielsetzung Vorstellung VP8 und WebM Exkurs File Carving explizit Smart Carving Dateianalyse Beweiserbringung Exkurs IVF Dateiformat und FFMPEG Titel des Mustervortrages Wintersemester 2010/11 Max Mustermann 01.10.2010
Motivation Mai 2010: Google präsentiert VP8 und WebM Viele Unterstützer: Lizenzlage: Open Source Kreuzlizenzierungsabkommen Mozilla, Opera, AMD, Cisco, TI Samsung, Umstellung der Videoplattform YouTube auf WebM URL Erweiterung: "&webm=1" Hardwareunterstützung in ASICs und PLDs Hardwareencoder: Anthill Neues Fileformat neue forensische Herausforderung
Zielsetzung bzw. Fragestellung Auffinden von WebM Fragmenten mittels File Carving Analyse Extraktion von sogenannten Key Frames Vollständig beschriebener Frame innerhalb eines Videos Umwandlung in ein Bildformat JPG BMP PNG Wie erfolgt die Beweiserbringung der Existenz eines Videos im WebM Format auf einem Datenträger?
WebM Containerformat Audiocodec: Vorbis Videocodec: VP8 Stark Matroska basierend EBML Prinzip Weniger Features als Matroska Offizielle Projektseite: http://www.webmproject.org/
VP8 Entwickelt von On2 Höhere Bildqualität bei niedrigerer Rechenauslastung Frametypen Intraframe Interframe Aufbau Frame Header Partitions
File Carving Problem Fragmentierung Problem Unallocated Space Slack Space Smart Carving Preprocessing Collating Reassembly
Analyse einer WebM Datei Testdatei gizmo.webm
Wichtige Elemente in einer WebM Datei 1A 45 DF A3 Kennzeichnung einer EBML Datei 77 65 62 6D webm String zur Kennzeichnung einer WebM Datei 56 5F 56 50 38 V_VP8 String zu Kennzeichnung des VP8 Video Codecs 41 5F 56 4F 52 42 49 53 A_VORBIS String zur Kennzeichnung des Audio Codecs Vorbis. A3 Kennzeichnung eines Simple Block, welcher gleichzeitig genau einen Frame darstellt 9D 01 2A Kennzeichnung eines Keyframes in VP8
Ermittlung eines Keyframes EBML [A3] Element VP8 Key Frame Signatur 9D 01 2A
Das IVF Dateiformat Format für Videorohdaten 32 Byte IVF Header 12Byte Frame Header
Aufbau der IVF Datei
FFMPEG Konvertierung der IVF Datei in das Bildformat JPEG:
Resultat
IT Security Vielen Dank für Ihre Zeit! Fragen??? VP8 Video Codec Sommersemester 2011 Riegler Markus, BSc. 08.09.2011 VP8 Video Codec DI Riegler Markus 11.11.2011