gefragmenteerde bestanden Bestand Bestand Bestand Bestand Bestand a Bestand a Bestand a Bestand a Bestand Bestand Bestand Bestand c Bestand a

Transcriptie

1 Terrorisme, dgelijks het onderwerp in de medi. Er kn niet omheen gekeken worden, de komende jren zl de strijd tegen terreurorgnisties ls IS en DAESH het onderwerp vn gesprek vormen. Tl vn nslgen werden reeds voorkomen en zullen ook in de toekomst nog voorkomen worden. Achter de schermen werken veiligheidsdiensten hrd om nieuwe nslgen te verijdelen, hiervoor mken zij geruik vn llerlei technische middelen. Ondnks het vernieuwde krkter vn deze middelen proeren criminele orgnisties steeds nieuwe technologieën uit om hun pkkns te verkleinen. Zonder het te eseffen heeft het egrijpen vn het nieuwe estndssysteem vn Microsoft, het genmde EXFAT (stt voor extended file lloction tle), l mensenlevens gered. Toch worstelen experts en estnde progrmm s nog met het egrijpen vn lle onderdelen vn EXFAT. De reden vn de eperkte eschikre kennis rond het onderwerp, is dt Microsoft de werking vn EXFAT geheim wenst te houden. Het heeft geopteerd om licenties voor het geruik vn het estndssysteem etlend te mken. EXFAT kent een ntl voordelen ten opzichte vn zijn voorgngers en ten nzien vn zijn concurrenten. Net zols ij EXFAT, is het doel vn een estndssysteem om progrmm s estnden of dt te lten schrijven, lezen of verwijderen op een opslgmedium. Elke prtitie op een computer eschikt drom over een estndssysteem. Elk estndssysteem kent zijn voor- en ndelen en wordt drom niet zomr in eender welke omgeving geruikt. EXFAT zl voorl geruikt worden op externe opslgmedi omdt het etrouwr en snel werkt. De nieuwe us-sticks en geheugenkrten die vndg over de toonnk gn, werken vk met het estndssysteem EXFAT. Het is vn groot elng dt deze opslgmedi genlyseerd kunnen worden door veiligheidsdiensten omdt, door criminelen uitgewisselde, us-sticks elngrijke informtie kunnen evtten.

2 Gelukkig werd over de oudere roers vn EXFAT, zols FAT32 en FAT16, wel informtie vrijgegeven. Op eplde vlkken verschilt EXFAT weinig vn het oudere FAT32. Zo lijkt er een verschil te estnd tussen het ehndelen vn gefrgmenteerde en vn niet-gefrgmenteerde estnden. Een gefrgmenteerd estnd is een estnd dt niet neensluitend op een opslgmedium gepltst wordt, mr in stukken. De voornmste reden wrom een gefrgmenteerd estnd zo op het opslgmedium gepltst wordt, is dt er niet genoeg neensluitende ruimte vrij is op het medium. Een geruiker merkt weinig vn dit fenomeen, chterliggend wil dit echter wel zeggen dt de computer het estnd in elkr moeten puzzelen ij elke ewerking. c c Hrde schijf met niet-gefrgmenteerde estnden Zelf hrde schijf mr met gefrgmenteerde estnden EXFAT zl eerst trchten om estnd niet-gefrgmenteerd op te sln. Hierij mkt het geruik vn een itmp die gt ijhouden welke plts (cluster) op de hrde schijf, door een estnd eschreven is. Door de itmp kn het snel zien wr er nog plts is op de hrde schijf en kn het een estnd neensluitend op de gegevensdrger pltsen. Bijkomend wordt er een wrde ngemkt in de root directory. De root directory kn ls een mp voorgesteld worden die geruikt zl worden om elngrijke informtie over dt op te sln. Een opgeslgen wrde in de root directory, vn een op de gegevensdrger opgeslgen estnd, evt onder ndere de estndsnm en de strtloctie (strtcluster) vn dt estnd.

3 Een vooreeld vn een root directory. Bij gefrgmenteerde estnden zl het estnd zich verdeeld op de schijf evinden. Hierdoor zl EXFAT nog ijkomend geruik moeten mken vn de File Alloction Tle. Die tel houdt ij wr welk stukje estnd zich op de schijf evindt zodt het opnieuw n elkr gepltst kn worden wnneer het nodig is. Door te egrijpen hoe een estnd ngemkt wordt, kn het ook teruggehld worden. Uit onderzoek lijkt dt ij het wissen vn een estnd enkel in de root directory een wrde vernderd wordt die ngeeft dt het estnd niet-toegewezen is. Het estnd evindt zich op dt moment nog steeds fysiek op het opslgmedium, ook l is het door de geruiker niet meer zichtr. Door de wrde niettoegewezen terug te vernderen nr de oorspronkelijke wrde, kn het estnd volledig teruggehld worden. De enige voorwrde die hiern veronden is, is dt er nog geen nieuw estnd geschreven werd op de plts wr het oude, niet-toegewezen, estnd zich evond. Slechts een ntl progrmm s zijn in stt om op een goede mnier de veiligheidsdiensten tot nut te zijn. Hoewel de estnde progrmm s in stt zijn tot het uitvoeren vn krchtige ewerkingen, dient voorzichtig omgesprongen worden met geruikte methoden en ewoordingen die in de progrmm s worden weergegeven. Zo geeft het grtis progrmm The Sleuthkit ij niet-toegewezen estnden n dt ze gewist zijn, hoewel dit in prktijk niet ltijd het gevl is. Uit onderzoek lijkt dt de progrmm s The Sleuthkit, Autopsy, Tyrhex en X-wys in stt zijn om niet-gefrgmenteerde estnden te recupereren mr dt enkel Tyrhex en X-wys gefrgmenteerde estnden ruikr kunnen terughlen.

4 Hoewel de csus een fictief vooreeld weergeeft, worden dgelijks gelijkrdige onderzoeken uitgevoerd met een positief resultt An de hnd vn de fictieve csus, wordt geschetst hoe zowel gefrgmenteerde ls niet-gefrgmenteerde estnden volledig hndmtig teruggehld kunnen worden. Zo wordt ijvooreeld een gewist filmpje vn een ommenmker teruggehld. Het, voor een jury, uitleggen vn de geruikte methoden, mkt deel uit vn het tkenpkket vn een forensisch onderzoeker. Tot slot kunnen de geruikte methoden en formules ook geruikt worden voor het vereteren vn de estnde softwre. Resultt vn de csus. Op het filmpje is te zien hoe 4 personen een om n het mken zijn.

5 Zonder het te eseffen heeft de kennis rond EXFAT l nslgen voorkomen, heeft het ook ndere criminele feiten n nden kunnen leggen, en zl het dt ook in de toekomst lijven doen. Het is moeilijk te vtten, dt het egrijpen vn een estndssysteem zo n impct kn heen op een hele smenleving. Auteur: Timothy De Groot