Подбрасывание цифровых улик

[@antons7708]

Клево!!! отличный контент!

[@maksimpozdnyakov306]

Интересный канал 👍 одна просьба можно ролик сделать про "Ловушка для хакера " детально разобрав хронологию действий ! УВ

[@sharkylions4069]

kzbin.info/www/bejne/p4KWk4GfZ9aNbrs шифрование не поможет вам от подбрасывания улик... если вас взяли за включенным компом/девайсом и вы не успели его вырубить, то это не поможет вам от первого возможного момента... т.е. подброса "при изъятии"... но ни как не защитит от подброса "при эскспертизе"... в стерильной среде это может быть и поможет, но в стерильной ситуации вам и подбрасывать не будут :) а т.к. против вас ведётся грязная игра, то она может вестись на любом этапе...

[@CyberYozh]

А как вы хотите что-то подбросить на зашифрованный жесткий диск? или в лаборатории просто поменять жесткий диск в устройстве?

[@sharkylions4069]

@@CyberYozh ок давайте рассмотрим устройство HDD... стандартного - доступного в любом магазине, без встроенных криптомодулей, которые позволят диску работать только с определённым контроллером, на любом другом, модуль не даст ничего не только записать, но и прочитать... у нас есть поверхность диска, и головка... плата с контроллерами привода диска и головок, сами приводы, микросхемы с инструкциями и т.д. и т.п. ничего кроме этого НЕТ! внешний контроллер мне кто-то мешает подоткнуть к харду? - НЕТ! почему тогда мне не подоткнуть туда контроллер с возможностью доступа низкого уровня... дальше если это хард с ноута я уже писал что есть масса разделов которые просто физически не закриптишь - ноут работать перестанет... но даже это не всё... зависит от того что и как именно криптится... т.е. от самой утилиты, если она будет криптить свободное пространство - ОК... но с диском больше 500 Гигов ждать загрузки содержимого директории ты будешь до второго пришествия, особенно если в директории масса мелких файлов оно и на некриптованном харде не отличается скоростью загрузки :) а если криптить он будет только явное содержимое, то отрезать кусок диска в пользу ещё одного раздела - почему нет? да и прямая запись ноликов и единичек на лоулевел не возбраняется, главное знать где пустое место... а дальше, как я говорил этот файл находится любым грамотным экспертом, попытка сокрытия файла (методом стирания заголовка) наличествует - повезло - файл полностью не затёрся при форматировании диска, например... и чувак едет на нары :)) вам ещё набросать практически возможных сценариев или достаточно? ЗЫ может конечно вы на столько богаты, чтобы покупать харды со встроенной аппаратной криптографией? :) но для "бюджетной" сферы я знаю только один метод борьбы и тот не 100%-ый... ибо да - от внедрения стороннего харда ни кто не защищён :) ну и до кучи могут ещё статейку за скупку краденного или за хищение прилепить... если уж очень надо посадить - найдут за что и как ;)

[@sharkylions4069]

@@CyberYozh и вообще... подброс это цель поместить некую информацию... любым методом, единственное условие - не скомпрометировать этот метод... при подбросе у нас нет цели "прочитать" данные... а шифрование защищает именно данные от доступа извне, но ни как не от вноса данных на физическое устройство :) на логику - может запретить, т.е. подброшенные данные остануться не зашифрованными НО! ранее я уже сказал - со стёртым заголовком эти файлы будут восприняты как недотёртые файлы ранее присутствовавшие на жёстком диске... ни кто и ни когда не сможет доказать что эти данные были внесены сюда вчера или год назад или секунду... всё что можно будет определить это найти такую же картинку и установить время фотосесии и возраст модели на тот момент, но это будет не в пользу того, кого подставляют... т.к. мы говорим о том, что подброс делает спец, а не идиот, как в описанном мной случае, в другом посте...

[@zenakuSAN]

@@sharkylions4069 luks на весь диск. И все ок. Не зашифрованным будет только mbr + промежуток после mbr и до первого бита раздела - там где ютится grub. Все. Как ты туда что-то запишешь без перезаписи всего диска? Как ты что-то оттуда считаешь? И да, это все на ноуте. И нет, нет заметной разницы "с шифрованием" и "без шифрования"

[@sharkylions4069]

@@zenakuSAN вы дурачок? если нет прочитайте внимательно фразу про низкий уровень доступа, я пишу на диск не какой-то ОС а напрямую контроллером... тупо записываю нолики и единички... так я могу на диск записаль любой файл поверх всех разделов хоть физических, хоть логических, хоть шифрованых хоть не шифрованых... после чего запустить анализ данных и найти полное соответствие файлу, который требовалось найти... совпадение 100%-ое найдено... значит результат экспертизы подтвердил нахождение искомого файла, вердикт лаборатории - "виновен" а дальше сиди и доказывай что это не твой файл и ты ни чего с диска не стирал... и не пытался потом поверх заново разбить хард на разделы, чтобы скрыть свою преступную деятельность... ЗЫ если вы тупенький... то расскажу вам что в 90-е на основе таких контроллеров создавались целые фермы по копированию бит в бит... программные решения появились на много позже... но откуда вам знать, вы же про ассемблер даже не слышали, судя по "внимательности"...

[@sharkylions4069]

kzbin.info/www/bejne/p4KWk4GfZ9aNbrs откровенный бред, при использовании определённых методов и утилит можно изменить метаданные данные журналов и т.д. и т.п. поэтому это не просто самый опасный, а узаконенный метод для закрытия плана по хакерам и прочим лицам на чьих компьютерах и устройствах могут быть обнаружены данные которых там не было ни когда, но были обнаружены в результате экспертизы, например, или изъятия :)) и повторная экспертиза покажет, что эти данные были на этом компьютере в то время, которое было установлено, заинтересованными в появлении этих фалов, лицами... и время появления этих файлов может быть обозначено хоть эпохой перфокарт, хоть "началом времён"... ЗЫ где-то читал про чувака который отмазался только благодаря грамотным действиям адвоката, который может быть и не соображал в IT ничего, но был весьма скрупулёзен в поисках - он нашёл студию делавшую фотографии, установил дату рождения модели и дату фотосессии и ТОЛЬКО на основании этих данных смог доказать, что метаданные и журналы его подзащитного были подделаны и что возраст заявленный обвинителями у модели на момент фотосессии составлял на пол года или на полтора (точно не помню) больше чем заявлено, а файл "появился" на компьютере его подзащитного на этот же срок раньше чем фотосессия вообще была... тем не менее отсудится удалось то ли на втором, то ли на третьем разбирательстве... первый судья не принял во внимание доводы защиты... а теперь представим, что вам подкинули не голую модель а хакерский софт... автор которого не известен... и вся работа по подставе проделана столь же грамотно, как и в случае с фотографией, только на этот раз нет концов - как будете доказывать что вы не жираф? :)

[@CyberYozh]

Уточнил у своего знакомого криминалиста, он сказал, что написать могут все что угодно и отвергнуть любые экспертизы в российском суде. Это изъяны судебной системы, а не компьютерной криминалистики.

[@sharkylions4069]

@@CyberYozh я ещё даже не полноценный ИБэшник уже знаю как минимум 3 трувэя для подброса при наличии физического доступа к компу... причём без возможности установить факт подброса и это чисто на уровне системного администрирования... просто руками это всё ковырнуть можно... прошу прощения только, что придумал 4-й трувей... и это всё без скриптинга... а несколько строчек скрипта позволит это всё проделать в несколько секунд... и судебная система тут будет не причём... ЗЫ поэтому подброс + суд = 100% нары... так что вы там про методы криптозащиты говорили? :))) от чего они вас/нас там защитят? :) ЗЗЫ сколько вам потребуется времени, чтобы записать на диск JPG файл без заголовков на свободное пространство диска? используя обычный контроллер? :) например в не размеченную область или в облясть восстановления (на ноутах - стандарт и пустого места там хватает)... после восстановления заголовков получаем нужный нам файл... доказать что он был записан не пользователем не возможно в принципе, т.к. эта область не журналируется при доступе на низком уровне тем более... и презумпция невиновности тут уже не работает факт наличия есть, собственность твоя... ни один суд мира не примет твои отговорки... так что это далеко не проблема судебной системы... тут уже морально-этическая дилемма для экспертов-криминалистов :) а это хьюман-фэктори, т.е. вполне подвержен коррупционному воздействию...