come fanno le persone a recuperare i dati dalla RAM?


11

Sono solo curioso. Ho letto delle forze dell'ordine e cosa non recuperare i dati incriminanti dall'ariete per ottenere prove, ma come si fa? Che tipo di attrezzatura sarebbe necessaria per recuperare i file da un rametto?

Risposte:


10

Congela il chip, inseriscilo in un altro computer ed esegui il comando ld dd per copiare i dati grezzi sul disco.

Dopo aver ottenuto i dati non elaborati, copiarli in una nuova partizione usando nuovamente dd ed eseguire un programma non ripristinato sulla partizione. Undelete dovrebbe estrarre tutti i file che rientrano in un formato riconoscibile (ex immagini, ecc ...). Il resto potrebbe essere ulteriormente elaborato ma non facilmente se non sai cosa stai cercando.

Non posso dire di averlo fatto da solo, ma non è difficile immaginare come sia stato fatto.

Guarda questo video che Daniel Beck ha pubblicato nei commenti per vedere una dimostrazione di come craccare le crittografie del disco rigido usando questo metodo.


3
Quella scheda contiene un collegamento a una pagina del sito CITP di Ed Felten con la ricerca originale sull'argomento.
Daniel Beck

Non si tratta di "Law Enforcment", è qualcosa che può essere fatto in condizioni controllate. Se hai quel tipo di accesso al computer (pochi minuti e un po 'di azoto liquido), perché non impedirgli di spegnersi.
Nifle,

@Nifle Probabilmente c'è qualcuno con un interesse sostanziale a spegnere il suo computer prima di essere bloccato su una superficie vicina. Inoltre, è una ricerca piuttosto recente e gran parte di ciò non riguarda applicazioni pratiche immediate.
Daniel Beck

2
@Nifle non vero. non ci vogliono strumenti speciali per realizzare. Una bomboletta spray (per raffreddare il chip) e un'installazione minima di Linux che include alcuni strumenti necessari (e disponibili gratuitamente) in esecuzione su un'unità USB o un computer separato è tutto ciò che serve.
Evan Plaice,

1
Ma se avvii il computer con il ram, ciò non cancellerebbe tutto su di esso durante il POST?
steini,

1

Non puoi (in pratica). La RAM deve essere costantemente aggiornata per continuare a "ricordare", quando il computer viene spento la carica fuoriesce dopo circa un minuto.

Modulo Wikipedia

La memoria dinamica ad accesso casuale (DRAM) è un tipo di memoria ad accesso casuale che memorizza ogni bit di dati in un condensatore separato all'interno di un circuito integrato. Poiché i condensatori reali perdono la carica, le informazioni alla fine svaniscono a meno che la carica del condensatore non venga periodicamente aggiornata. A causa di questo requisito di aggiornamento, si tratta di una memoria dinamica rispetto a SRAM e altra memoria statica.

La memoria principale (la "RAM") nei personal computer è Dynamic RAM (DRAM), così come la "RAM" delle console di gioco domestiche (PlayStation, Xbox 360 e Wii), laptop, notebook e workstation.

Il vantaggio di DRAM è la sua semplicità strutturale: sono necessari solo un transistor e un condensatore per bit, rispetto ai sei transistor in SRAM. Ciò consente a DRAM di raggiungere densità molto elevate. A differenza della memoria flash, è memoria volatile (vedi memoria non volatile), poiché perde i suoi dati quando viene rimossa l'alimentazione. I transistor e i condensatori utilizzati sono estremamente piccoli: milioni possono adattarsi a un singolo chip di memoria.


5
La parola chiave è "eventualmente". Questo documento di ricerca citp.princeton.edu/memory mostra che la RAM mantiene il suo contenuto da pochi secondi a qualche minuto dopo aver perso energia, anche dopo che è stata rimossa dalla scheda madre, che è abbastanza a lungo per un attaccante con accesso fisico al macchina.
jg-faustus,

2
@ jg-faustus Se hai accesso al computer, perché spegnerlo?
Nifle,

5
@Nifle Se è bloccato, non vedrai quali file sta utilizzando l'utente. È possibile riavviarlo e (se si utilizza Windows) aggirare la password ma solo se l'unità non è crittografata. Con gli strumenti giusti e un chip ram appena spremuto, puoi persino craccare la chiave di crittografia del disco rigido leggendo il ram. Nel campo della sicurezza e della medicina legale, queste piccole tecniche possono essere estremamente utili.
Evan Plaice,


6
@Evan - Penso ancora che siano più "situazioni normali" a cui si riferisce l'OP. "Gli sbirri si presentano e prendono il tuo computer." e non "Pochi secondi dopo aver spento il computer, il DHS fa irruzione nel tuo appartamento e pochi secondi dopo, il tuo computer viene smantellato nel suo laboratorio di estrazione di RAM portatile"
Nifle,

0

Le celle DRAM immagazzinano cariche elettriche. Hanno perdite, quindi, come è stato detto, devono essere rinfrescati.

Esistono tolleranze di fabbricazione e l'influenza della temperatura e dell'età dei componenti, che definiranno il tempo REALE necessario affinché una cella DRAM non sia più leggibile in modo affidabile se non è stata aggiornata. Le specifiche di aggiornamento per un determinato chip DRAM saranno in realtà un valore nel caso peggiore - qualcosa che manterrà i tuoi dati leggibili con i chip di produzione di lunedì che hanno funzionato alla massima temperatura per 20 anni più o meno. Nella maggior parte dei casi, la cella può mantenere i dati molto più a lungo.

Inoltre, i circuiti all'interno di un chip DRAM decidono se leggere la quantità di carica in una data cella come "0" o "1" (in alcuni progetti, che potrebbe essere invertita - carica bassa significa "1"). Carica contenuti che non sono abbastanza alti da essere letti come "1" è ancora nella cella - e in alcuni casi, eseguendo il chip DRAM con una tensione operativa fuori specifica (che potrebbe stressarlo o renderlo molto più lento , ma non lo distruggerà ancora), la tensione di soglia sulla quale 1 viene deciso da 0 può essere temporaneamente manipolata, in modo che alcune o tutte le celle tornino a essere leggibili.

Inoltre, a meno che non ci sia effettivamente un registro di uscita, potrebbero esserci sottili differenze di tensione o forma d'onda anche nel segnale di uscita quantizzato (commutato su 1 o 0) che può darti un suggerimento su quale carica è effettivamente nella cella - comparatori (che leggono gli amplificatori) sono raramente quantizzatori perfetti, specialmente se sono costruiti per velocità e non precisione.

Inoltre, se una cella legge in modo inarrestabile, un determinato aggressore o forense può comunque utilizzare le statistiche a suo vantaggio (conta quante volte viene letto uno 0 o 1 e correlato) ...

Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.