Los Discos de Estado Sólido. Un nuevo reto para los analistas en informática forense. Jeimy J. Cano M., Ph.D. CFE, Profesor Invitado / UPB Colombia

Transcripción

1 Los Discos de Estado Sólido. Un nuevo reto para los analistas en informática forense Jeimy J. Cano M., Ph.D. CFE, Profesor Invitado / UPB Colombia

2 Agenda Introducción Mercado de las unidades de estado sólido (SSD Solid State Drives) Historia de las memorias flash Evolución de las unidades de estado sólido Arquitectura de las SSD Discos magnéticos Vs. SSD Retos forenses de las tecnologías modernas Retos forenses en SSD Conclusiones Reflexiones finales Referencias 2

3 Mercado de las unidades de estado sólido Tomado de: 3

4 Mercado de las unidades de estado sólido Tomado de: 4

5 Mercado de las unidades de estado sólido 5

6 Mercado de las unidades de estado sólido Tomado de: 6

7 Historia de las memorias Flash NOR Flash Memory Escritura Lectura NAND Flash Memory Escritura Lectura Dr. Fujio Masouka 7

8 Evolución de las unidades de estado sólido Tomado de: 8

9 Evolución de las unidades de estado sólido OTP: one-time programmable (diodes/fuses) EPROM: electrically programmable ROM EEPROM: electrically erasable and programmable ROM Flash Tomado de: Jurriaan Schmitz. Notas de clase. Semiconductor Components. Basado en: Roberto Bez et al., ST Microelectronics Proceedings of the IEEE, Vol. 91 no. 4, April

10 Arquitectura general de los SSD Unidades de estado sólido Interfase de datos SATA Arquitectura interna Interfase de energía SATA SPI Flash Cache Microcontrolador NVRAM Almacenamiento permanente Flash chip Flash chip Flash Chip Flash Chip Flash chip Traducido de: Presentación de Nasir Memon Polytechnic Institute of NYU. Transparencia No

11 Arquitectura interna unidades de estado sólido

12 Discos magnéticos vs unidades de estado sólido No existen partes mecánicas No son afectados por los movimientos bruscos Basado en polaridades eléctricas Distribución basada en celdas No existe la fragmentación Cuenta con partes mecánicas Susceptible a los movimientos bruscos Basado en polaridades magnéticas Distribución basada en cilindros, cabezas y sectores Proclive a la fragmentación 12

13 Discos magnéticos vs unidades de estado sólido Tomado de: Empirical Analysis of Solid State Disk Data Retention when used with Contemporary Operating Systems. Disponible en: 13

14 Discos magnéticos vs unidades de estado sólido Tomado de: Tomado de: 14

15 Discos magnéticos vs unidades de estado sólido Algoritmo de Nivelación (Wear leveling) Permite el desgaste del disco de manera homogénea Asegura que todos los bloques de almacenamiento fallen mas o menos al mismo tiempo Permite reducir la velocidad de lectura y escritura en lecturas secuenciales Colector de basura (Garbage collector) Reubica los datos existentes a nuevos lugares, marcando como inválidos los lugares previos para su borrado posterior. Tomado de: 15

16 Discos magnéticos vs unidades de estado sólido Tomado de: Tomado de: 16

17 Traducción en unidades de estado sólido Tomado de: Tomado de: Understanding%20the%20flash%20translation%20layer%20(FTL)%20specification.pdf 17

18 Uso de TRIM en unidades de estado sólido Tomado de: / 18

19 Uso de TRIM en unidades de estado sólido Tomado de: 19

20 Retos forenses sobre nuevas tecnologías Tomado de: SANS 2013 Digital Forensics Survey. 20

21 Retos forenses en SSD Generación de imágenes idénticas Análisis de slack space (Espacios de holgura) Informática forense en SDD Data carving 21

22 Retos forenses en SSD Imagen en HDD Tomado de: Tomado de: 22

23 Retos forenses en SSD Imagen física en SSD Tomado de: No es viable hacer una imagen bit a bit (física) sobre el SSD dado que no podemos pasar sobre el FTL 23

24 Retos forenses en SSD Imagen lógica en SSD OJO: Cambia en cada momento de actividad del disco. Tomado de: Es viable hacer una imagen lógica sobre el SSD desde el FTL, pero los hash no serán equivalentes 24 SSD Forensics

25 Retos forenses en SSD Slack Space en HDD Tomado de: 25

26 Retos forenses en SSD Slack Space en SSD Supuestos Tamaño de la página 4kb Tamaño del bloque Tamaño del disco 5 páginas (20Kb) 1 Bloque (20Kb) Disco Supuestos Archivo DOC 4kb Imagen Perro Imagen paisaje 8kb 12kb CACHE No es viable con las herramientas actuales efectuar un análisis de slack space! Disco Tomado de: 26

27 Retos forenses en SSD Data carving en HDD Tomado de: Tomado de: 27

28 Retos forenses en SSD Data carving en SSD Tomado de: Cómo hacer data carving si previamente se hace un borrado antes de pasar los nuevos datos? 28

29 Retos forenses en SSD Si quisiéramos condiciones semejantes que los HDD en los SSD? CONDICIONES REQUERIDAS Detener el colector de basura Bloquear el TRIM Sobrepasar el FTL Método para acceder al FTL y los niveles de traducción Modificar el driver de acceso Tomado de: 29

30 Retos forenses en SSD Qué tenemos a la fecha frente a estos retos? DATA Flash Salvation Tomado de: 30

31 Conclusiones No es viable por el momento efectuar imágenes físicas en SSD No existe posibilidad de slack space por la existencia del colector de basura El data carving es técnicamente inexistente por el funcionamiento del SSD Forense en SSD El borrado sobre los SSD es prácticamente irreversible Las herramientas forenses actuales no pueden sobrepasar el FTL Tanto el FTL como el driver son susceptibles de manipulaciones no autorizadas. 31

32 Reflexiones Forense en SSD Un reto para repensar la computación forense Procedimientos Herramientas Conocimiento Leyes y Normas 32

33 Referencias CANO, J. (2013) Unidades de esta sólido. El reto de la computación forense en un mundo de semiconductores. Blog IT-Insecurity. Disponible en: (Consultado: ) GUVANOV, Y. y AFONIN, O. (2012) Why SSD Drives Destroy Court Evidence, and What Can Be Done About It: Part 2. Disponible en: (Consultado: ) SHEWARD, M. (2012) Rock Solid: Will Digital Forensics Crack SSDs? Disponible en: (Consultado: ) BARBARA, J. (2013) Solid State Drives: Part 2. Disponible en: (Consultado: ) BARBARA, J. (2013) Solid State Drives: Part 3. Disponible en: (Consultado: ) EDWARDS, N. (2012) The TRIM Command. Disponible en: (Consultado: ) MEMON, N. y PAL, A. (2009) The evolution of file carving. The benefits and problems of forensics recovery. IEEE Signal Processing Magazine. March. Disponible en: (Consultado: ) BELL, G. y BODDINGTON, R. (2010) Solid state drives: the beginning of the end for current practice in digital forensic recovery. The Journal of Digital Forensics, Security and Law. Vol 5. No. 3. Disponible en: (Consultado: ) BLOG Happy SysAdmin (2011) Solid State Drives, some theory and a selection of videos. Disponible en: (Consultado: ) 33

34 Gracias por su atención! Preguntas? Jeimy J. Cano M., Ph.D, CFE Profesor Invitado / UPB -COLOMBIA Blog personal: 34