IT-Forensik · Linux

Verschlüsselte LVM-Volumes forensisch analysieren – LUKS und LVM in Kombination korrekt behandeln

In vielen Unternehmensumgebungen wird LUKS-Verschlüsselung mit dem Logical Volume Manager kombiniert, entweder durch Verschlüsselung der physischen Datenträger vor der LVM-Schicht oder durch Verschlüsselung einzelner Logical Volumes.

Nezávazná poptávka

Diese Kombination erfordert bei der forensischen Untersuchung eine korrekte Reihenfolge der Entschichtung: Zunächst muss die LUKS-Ebene entsperrt werden, bevor die darunter- oder darüberliegende LVM-Struktur korrekt ausgewertet werden kann.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Wir bestimmen die konkrete Schichtung aus LUKS und LVM, entsperren die Verschlüsselung bei Vorliegen eines gültigen Zugriffswegs und rekonstruieren anschließend die logischen Volumes für die weitere Dateisystemanalyse.

Typické oblasti použití

•Untersuchung verschlüsselter Unternehmensserver
•Rekonstruktion komplexer Verschlüsselungs- und Volume-Schichtungen
•Bewertung vorhandener Entsperrwege vor einer Analyse
•Vorbereitung der Dateisystemanalyse auf entschlüsselten Volumes
•Incident Response auf Linux-Systemen
•Soudní a mimosoudní posudky

So läuft die Analyse verschlüsselter LVM-Volumes ab

Nach der Sicherung wird zunächst die konkrete Schichtung aus LUKS und LVM bestimmt. Bei Vorliegen eines gültigen Entsperrwegs wird die Verschlüsselung geöffnet und die darunterliegende oder darüberliegende LVM-Struktur rekonstruiert. Erst danach erfolgt die eigentliche Dateisystemanalyse der betroffenen Logical Volumes.

Warum ist diese kombinierte Analyse forensisch relevant?

Die Kombination aus Verschlüsselung und logischer Volume-Verwaltung ist in professionellen Umgebungen weit verbreitet und erfordert ein präzises Verständnis der jeweiligen Schichtreihenfolge, um Daten nicht fälschlich als unzugänglich einzustufen.

Wird die Schichtung nicht korrekt erkannt, kann eine Untersuchung vorzeitig abgebrochen werden, obwohl grundsätzlich ein gültiger Zugriffsweg bestanden hätte. Eine sorgfältige technische Voranalyse ist deshalb entscheidend.

Často kladené otázky

Wird zuerst LUKS oder LVM entschichtet?+
Das hängt von der konkreten Konfiguration ab. Häufig liegt LUKS unterhalb von LVM, es sind aber auch andere Kombinationen möglich.
Kann ohne LUKS-Zugriff dennoch etwas ausgewertet werden?+
In der Regel nicht, da die eigentlichen Nutzdaten ohne erfolgreiche Entschlüsselung nicht zugänglich sind.
Ist diese Kombination in Unternehmen verbreitet?+
Ja, insbesondere bei Servern mit erhöhten Sicherheitsanforderungen wird Verschlüsselung häufig mit flexibler Volume-Verwaltung kombiniert.

🔗 Související témata

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Verschlüsselte LVM-Volumes forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontaktujte nás hned teď