Von wegen GELÖSCHT ... Slack-Space, RAM-Slack, Drive-Slack, File-Slack |

[@tomo_2403]

Kannst du bitte auch mal ein Video machen, wie man den Drive-Slack ausliest? Wäre ja auch ganz interessant.

[@Florian.Dalwigk]

Kommt bestimmt irgendwann

[@florian5147]

Ja würde mich auch sehr interessieren. Bzw. wie als gelöscht markierte Dateien wieder hergestellt werden können

[@Team_BSE]

Linux-Standardbefehl "dd" zum nackschen Auslesen und für Recovery-Aufgaben macht sich "testdisk" ganz schick...

[@nulled7888]

Einfach mal googlen :P

[@adamschuster4147]

Besser kann man es nicht erklärt bekommen 👍👍. Vielen Dank für deine Arbeit. Schöne Grüße aus Oberfranken

[@Florian.Dalwigk]

Danke dir 😊

[@resera5195]

ahhh Forensik, ich weiß nicht warum, aber ich mag computer Forensik

[@Florian.Dalwigk]

Schön 😊

[@thepaulcraft957]

Sehr gut erklärt! ich dachte immer, dass hat was damit zu tuen, dass windows irgendwas mit dem dateityp dazu speichert.

[@im1random263]

Die Datei Metadaten werden soweit ich weis alle in den Inodes gespeichert (Bin mir nicht sicher ob das auch unter Windows zutrifft)

[@xaverxassnytz2746]

nett gemacht dieses und andere Videos - habe jetzt noch nicht alle Anmerkungen zu diesem durchgelesen; aber vielleicht solltest Du noch ADS = alternate data stream bei NTFS ergänzen - damit ist die im "dir" angezeigte Dateigröße auch kleiner als der tatsächlich benötigte Platz der Daten auf der Platte; der für die versteckten (benamten) Datenströme - wäre ja mal auch etwas für ein kleines Programmbeispiel zum Verstecken von Daten vor den Augen der "Normal-User" und "Nicht-Forensiker" bzw. wie man danach suchen kann oder darauf zugreifen kann ;-)

[@MiauRizius]

Ein "Nibble". Schöner Name 🙈 Aber cooles Video. War sehr interessant :D

[@Florian.Dalwigk]

Danke dir!

[@der-ScheF]

Wie krass! İch habe mich früher immer gefragt, warum die Größen sich unterscheiden! Früher (vor 25 Jahren) war ja der Platz, den man hatte, echt begrenzt und da machten dann 5 MB echt was aus! İnzwischen ist ja Platz, wenn man nicht alle Filme auf dem Rechner haben möchte, echt kein Ding mehr und daher hat mich das nie mehr gejuckt

[@Florian.Dalwigk]

Ist aber trotzdem interessant zu wissen, oder? ;)

[@der-ScheF]

@@Florian.Dalwigk ja klar, hast E-Mail

[@flexiorange3048]

Beim Formatieren einer Festplatte kann man die Clustergröße anpassen. Wäre es bei einer SSD nicht sinnvoll, die Cluster klein zu halten, wo ja die Zugriffszeit deutlich kürzer ist als bei HDDs?

[@dragon_rider_yt]

Algemein ist es des zu kleiner die zuordnungeinheit ist des zu weniger over had gibt es. Aber gute frage.

[@commanderxd2869]

Wirt der Drive-Slack eigentlich mit Kopiert wenn eine Datei kopiert wirt.

[@Florian.Dalwigk]

Nein

[@udevde414]

Mich würde mal interessieren in wie viele Themen Du Dich vor einem Video wieder reinlesen musst. Versteh das bitte nicht falsch. Deine Video sind wirklich gut erklärt und informativ, aber kein Mensch kann sich so viel merken :)

[@Florian.Dalwigk]

Für manche Details muss ich natürlich nochmal recherchieren.

[@runtime_error211]

Wie sieht das den bei ssd's aus? Manipulieren die modernen Controller nicht genau das mit den Nullen überschreiben um die Lebensdauer zu erhöhen? Meines Wissens nach kann man zumindest bei einigen Modellen die Daten nicht mehr wirklich sicher löschen. Da man nicht weiß ob der Controller ein echtes überschreiben verhindert hat. Und dann sind bei jeder ssd noch Reserve Sektoren was ja bedeutet das gewisse Sektoren im Alter ausgetauscht werden. Somit der kaputte auf ewig seine Daten behält.

[@derfzgrld]

Wenn es dir so wichtig ist, musst du das Teil halt im Anschluss noch vernichten. Ist aber natürlich nicht so praktisch, wenn du es eigentlich noch verwenden wolltest. Muss halt ne neue SSD ran.

[@runtime_error211]

@@derfzgrld eine ssd wegen diesem Umstand grundsätzlich nur verschlüsselt zu betreiben wäre eine echte Lösung. Wenn du keine kritischen Daten hast oder dir deine Daten egal sind, kannst du das natürlich auch ignorieren. Wie das eine ssd technisch verwaltet würde mich trotzdem interessieren. Wirklich Block orientiert sind sie ja wohl nicht.

[@finnqni8563]

Kannst du mal ein Video über Dateisysteme machen (z. B. Ext4, FAT32)?

[@Florian.Dalwigk]

Es ist eines zu FAT, exFAT und NTFS in Planung.

[@finnqni8563]

@@Florian.Dalwigk ich freue mich darauf :)

[@p-196]

wie ist es eigentlich mit dem BTRFS Dateisystem?

[@Florian.Dalwigk]

Was jetzt genau?

[@p-196]

@@Florian.Dalwigk das mit dem reservierten Speicherbereich, der von der Datei selbst nicht benötigt wird.

[@Florian.Dalwigk]

Steht das nicht in der Doku?

[@p-196]

@@Florian.Dalwigk müsste ich mal nachschauen

[@lukas-vaelinalsorna1834]

Btrfs arbeitet soweit ich das grad im kopf hab mit inodes, diese verweisen dann normal auch auf blöcke auf der platte und hier sollte es ja dann zumindest eine form von slack-space geben. Aber keine Ahnung wie sich das dann aufteilt (geht ja dann drum, wie btrfs mit den sektoren der platte umgeht) Ist jetzt aber auch nur Herleitung und kein sicheres Wissen

[@panagiotisnatsoglou6442]

Sehe ich nicht richtig oder wurde für das Video die Quelle von der Hochschule Wismar nicht herangezogen? :)

[@Florian.Dalwigk]

Nein, das Video entstand auf Basis anderer Quellen (meinem Studium).

[@kpunkt.klaviermusik]

Inwiefern werden denn auf der Festplatte Passwörter gespeichert? Ansonsten super erklärt!

[@Florian.Dalwigk]

Insofern, dass sich manche Leute Passwortdateien erstellen.

[@kpunkt.klaviermusik]

@@Florian.Dalwigk Ah so. Das wäre aber sehr unvorsichtig.

[@Florian.Dalwigk]

Das stimmt. Machen aber viele ...

[@yung_pablo3072]

Hey, super Video! EIne Frage: Macht es Sinn den VBR anzupassen bzw zu verkleinern ?

[@antifallobst130]

Welches os nutzt du eig? Bzw welche distro?

[@Florian.Dalwigk]

Unterschiedlich

[@kapparho7411]

Er benutzt auf jeden Fall Windows (erkennbar an dem eingeblendetem Fenster).

[@Florian.Dalwigk]

U.a.

[@antifallobst130]

@@kapparho7411 hab das vid nich nicht ganz geguckt, aber warum er?

[@Florian.Dalwigk]

Warum denn nicht? Windows läuft auf sehr vielen Rechnern!

[@mazito4445]

eh so nice man, ich muss im Proseminar dazu was ausarbeiten... Dazu hab ich mich erstmal durch die Windows Documentations geboxt... Die zu ntfs is ultra lang tbh, aber der Teil mit dem Boot Sector is bei Fat/ntfs ziemlich ähnlich. Das Video bestätigt nochmal, wie ich mir das vorzustellen hab.

[@Florian.Dalwigk]

Super! Viel Erfolg :)

[@mazito4445]

@@Florian.Dalwigk ok gerade kritisch, ich hab eigentlich darauf hinausgearbeitet, einen Vergleich zwischen fat und ntfs zu machen, wobei ich nur kurz am rande ein paper zur forensic (im Bezug auf die Metadaten in den $tabellen von ntfs) in den chat streue, um zu zeigen, wie sehr ich in dem Thema bin. Ich glaube, wenn ich noch ein paar Sachen zu slack erzähle, bin ich eventuell schnell am Thema vorbei... Naja Hauptsache die Sache mit den Clustern und Sections wird klar.

[@mazito4445]

@@Florian.Dalwigk bestanden Bestnote... Jetzt folgt der nächste lernstruggle

[@Florian.Dalwigk]

Cool, herzlichen Glückwunsch!

[@thegoodthingz]

Kannst du nochmal das binärstystem erklären

[@Florian.Dalwigk]

Habe ich doch im Video. Schau dich ansonsten nochmal ein bisschen auf dem Kanal um.

[@thegoodthingz]

Alles gut habe ein Buch bei mir gefunden

[@Florian.Dalwigk]

Gut

[@Cookiekeks]

Woher weißt du das eigentlich alles?

[@Florian.Dalwigk]

Selbststudium :)

[@FilmfanOliver1992]

Gelöschte KZbin Kommentare sind bestimmt im Slack-Space ;-D

[@Florian.Dalwigk]

😄

[@mizistein8084]

Gutes video!

[@Florian.Dalwigk]

Danke

[@dermarkusm]

sehr interessant

[@Florian.Dalwigk]

Freut mich, danke :)

[@faraday2059]

Hi Florian. Ich besuche das Studium Cyber Security und schreibe eine Wissenschaftliche Arbeit über File-Slack und Carving. Dein Video ist mega!. Ist es möglich, dass du mir die Quellen für dein Video geben kannst? Liebe Grüsse Raffi

[@Florian.Dalwigk]

Schon länger her. Wings Hochschule (u. a.). Vieles wusste ich so. Viel Erfolg.

[@divinus41]

Kannst du bitte auch ein Video zu Dateisystemen wie NTFS, FAT32, exFAT, ext4, etc. machen? :) Eventuell auch das Dateisystem von Apple für macOS behandeln? :D

[@Florian.Dalwigk]

Zu NTFS, FAT und exFAT ist schon ein Video geplant. Zu Apple mache ich nichts.

[@FilmfanOliver1992]

Ich dachte die tatsächliche Größe und die größe auf der Festplatte hängt mit der Binär-Prefixe zusammen

[@Florian.Dalwigk]

Ne, der Unterschied entsteht durch den Slack Space.

[@FilmfanOliver1992]

@@Florian.Dalwigk sowas habe ich im Studium nie gehabt^^

[@Florian.Dalwigk]

Ich auch nicht ;)

[@anastassogoldschmied]

Man müsste dann regelmäßig seine Platte säubern um keine Passwörter zu hinterlassen. Klingt aufwendig. Wäre unter Linux das hier eine Lösung? dd if=/dev/zero of=/tmp_file bs=1M count=999999999999

[@lars7898]

Oder die Platte einfach verschlüsseln, fertig.

[@anastassogoldschmied]

@@lars7898 Ja das ist klar, dies geht leider nicht immer und überall. schade auch. Zumindest bin ich noch zu unerfahren den Bootloader und manche dateien aus / mit zu verschlüsseln. Sonst hast du recht. Solange man ein sehr gutes Passwort und eine sichere verschlüsselung hat ist sie Praktisch nicht knackbar.

[@lukas-vaelinalsorna1834]

Aber du speicherst deine Passwörter i. d. R ja nicht im Klartext dauerhaft auf der platte oder? Die Programme sollte normal ja nur die hashes speichern, und wenn du dein passwort eingibts wird es ja nicht direkt auf Platte ungehasht gespeichert... Aber versteh mich nich falsch, Vorsicht ist selten verkehrt

[@anastassogoldschmied]

@@lukas-vaelinalsorna1834 ich bin kein profi , das im vorraus. Aber wenn du was entschlüsselst , muss das system doch irgendwo temporär den schlüssel sichern um die dateien zu nutzen?

[@lukas-vaelinalsorna1834]

@@anastassogoldschmiedje nachdem um was es geht liegt das ja evtl auch nur im RAM (klar ne entschlüsselte Festplatte sicher nicht). Und programme wie z. B. passwortmanager (an die denke zumindest ich hier vor allem) sind sich in den meisten Fällen glaub ich der Problematik bewusst. Und wenn das Passwort nur ne user eingabe ist, liegt die ja auch erstmal im RAM.

[@cat17katze]

Dan kann man eine Festplatte mit kleinen, zufälligen Dateien dichtmachen, ohne alles vollzuschreiben, und gezielt die Sektoren dichtmachen, ohne wirklich alles vollzuschreiben

[@nyancat370]

Ich habe es verstanden! :D

[@Florian.Dalwigk]

Klasse!

[@SlashZooka]

Also ich hatte mal einen Nachbar der war bei diesem Thema immer sehr gründlich, ausgediente Festplatten wurden komplett gelöscht, überschrieben (sofern noch möglich) und dann mit der Bohrmaschine bearbeitet. Er hat einfach mehere Löcher durchgebohrt xD.

[@Florian.Dalwigk]

Nur ein paar Löcher reinbohren reicht aber nicht ;)

[@SlashZooka]

@@Florian.Dalwigk Naja, die Daten dann noch zu erheben ist doch erheblich schwerer geworden xD.

[@lukas-vaelinalsorna1834]

Viele schleifen glaub auch die Oberfläche ab oder so. Aber wie wir ja letztens bei der Regrl von Locard gelernt haben, alles eliminieren kannst du nicht ;)

[@moosfett1]

Wären random Bits nicht besser geeignet als Nullen? Ich dachte sonst könnte man die Festplatte noch physikalisch auslesen oder bin ich da falsch informiert? Übrigens super Video wieder was gelernt :)

[@Florian.Dalwigk]

Wie sollte man sie bei Nullen physikalisch auslesen?

[@moosfett1]

@@Florian.Dalwigk Ich dachte in einem Labor könnte man zumindest theoretisch noch kleine Unterschiede Messen und so die Daten rekonstruieren was bei zufälligem Überschreiben nicht oder schwerer geht, glaube das Mal beim CCC in einem Vortrag gehört zu haben aber bin mir nicht sicher...

[@Florian.Dalwigk]

Ok, wüsste ich jetzt nicht. Wie gesagt, man kann beides machen.

[@ElonMusk71]

👍🏼👍🏼🙏🏼

[@dragon_rider_yt]

Hmm also wenn ich jetzt die kleinste zuordnungs Einheit nehme verschwende ich deutlich weniger als wenn ich das größte nimm. Hmm jetzt erklärt sich auch warum ca nur 900 GB laut Windows nutzbar sind ich glaube 931 müsste es sein. Also knapp 100 GB ist einfach nur ungenutzt. Oder bin ich auf dem Holtz weg.

[@Florian.Dalwigk]

Geht in die richtige Richtung.

[@dragon_rider_yt]

@@Florian.Dalwigk Ok Danke.

[@Florian.Dalwigk]

Gerne

[@maximilian15366]

Manche Leute formatieren ihre Festplatten mermahls ist das wirklich notwendig?

[@Florian.Dalwigk]

Lol, ich arbeite gerade an einem Video zu GENAU DIESER FRAGE 😅

[@mephist008]

Also an sich sind ja 4096 Bytes 4 KiB und nicht KB...aber ansonsten hast die s echt gut erklärt 😉🤞🏼

[@Florian.Dalwigk]

Umgangssprachlich ... Kebibyte, wenn du es genau nimmst.

[@Florian.Dalwigk]

Ist jetzt aber auch kein Drama ... man weiß ja, was gemeint ist.

[@wunder99]

Ursprünglich hieß es kB. Da dies von vielen Informatik-Unbegabten missverstanden wurde, wurde aus kB kiB. Leider weiß man im Computer-/Technikladen nie, ob kiB oder das neue kB gemeint ist, wenn kB drauf steht. (andere Größen analog)

[@lars7898]

Einfach jeden Datenträger mit ordentlichen Passwörtern verschlüsseln, dann muss man sich darüber keine Gedanken machen :-)

[@Florian.Dalwigk]

Das reicht nicht.

[@lars7898]

@@Florian.Dalwigk Was würde denn fehlen, damit es reicht?

[@xaverxassnytz2746]

@@lars7898 beim nachträglichen Verschlüsseln einzelner Dateien werden diese nicht zwingend an den alten Ort = die bis dato genutzten Sektoren geschrieben - man muss auf jeden Fall die ganze Platte überschreiben, lückenlos, damit wirklich alle Sektoren getroffen werden - habe mal gehört, dass einige Platten auch Sektoren/Spuren reservieren, um dort bei Defekten einzelner Sektoren/Spuren Daten auszulagern; die würden aber auch nicht überschrieben, wenn die Platte mit einer/mehrerer Riesendatei/en gefüllt wird - bleibt noch der Punkt mit der Restmagnetisierung - hier hilft dann nur mehrmaliges verschiedenartiges Überschreiben: mal mit 0x00, dann z.B. 0x55. 0xAA, 0xFF oder andere Bitmuster - doch schneller mit dem Hammer oder Bohrer 🙂

[@lars7898]

@@xaverxassnytz2746 Das Nachträgliche Verschlüsseln ist natürlich möglicherweise unsicher, da hast du natürlich Recht... Deswegen sollte man jeden Datenträger direkt beim Kauf verschlüsseln, sodass jedes geschriebene Byte verschlüsselt ist, und dann muss man sich um den Slack-Space keine Sorgen machen.

[@Serko759]

Kommentar!

[@Florian.Dalwigk]

Ok

[@pi9463]

Moin

[@Florian.Dalwigk]

44

[@Florian.Dalwigk]

Kommen auch noch mal andere Kommentare als "moin" und "erster"?

[@pi9463]

@@Florian.Dalwigk ist schon machbar

[@Florian.Dalwigk]

Bitte

[@BlenderDefender]

Ich versteh nur Slack.

[@Florian.Dalwigk]

😄

[@antifallobst130]

1 kommentar xd

[@Florian.Dalwigk]

Ok