Informatique légale · Linux

Analyse forensic des hôtes et clés SSH connus – Reconstitution des relations de confiance entre les systèmes

Les fichiers « known_hosts » de SSH répertorient les systèmes distants avec lesquels un utilisateur ou un système a déjà établi des connexions fiables, tandis que les clés publiques et privées permettent l'authentification proprement dite par clé.

Demande sans engagement

Ces fichiers peuvent fournir des indices précieux sur le plan médico-légal concernant les voies de communication effectivement utilisées entre les systèmes, par exemple lors de l'analyse d'un mouvement latéral au sein d'un réseau compromis.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les entrées existantes dans la liste des hôtes connus, les clés autorisées et les fichiers de clés privées, afin de reconstituer les chemins de connexion possibles entre les systèmes et de détecter les clés non autorisées ajoutées ultérieurement.

Domaines d'application typiques

•Reconstitution des mouvements latéraux entre des systèmes compromis
•Détection des clés SSH ajoutées sans autorisation
•Étude des relations de confiance entre Servern
•Identification des chemins de connexion utilisés dans les réseaux
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse des clés SSH et des hôtes connus

Une fois la sauvegarde effectuée, les fichiers « Known Hosts », les clés autorisées ainsi que les fichiers de clés privées sont systématiquement répertoriés. La date de création et la validité des clés autorisées sont vérifiées, tandis que les entrées du fichier « Known Hosts » fournissent des cibles de connexion potentielles pour la suite de l'analyse.

En quoi cette analyse présente-t-elle un intérêt sur le plan médico-légal ?

L'ajout ultérieur d'une clé autorisée est un mécanisme couramment utilisé pour obtenir un accès permanent et sans mot de passe à un système compromis, indépendamment des changements de mot de passe ultérieurs.

Les entrées « Known Hosts » peuvent en outre permettre d'identifier d'autres systèmes potentiellement également affectés au sein du même réseau et ainsi d'élargir de manière ciblée la portée de l'enquête.

Foire aux questions

Que contient un fichier « known_hosts » ?+
Une liste des systèmes distants déjà contactés, accompagnée des empreintes de leurs clés hôtes, qui ont servi à établir des connexions antérieures.
Comment détecter une clé SSH non autorisée ?+
En vérifiant la date de création, le champ de commentaire et la plausibilité par rapport à des clés connues et utilisées de manière légitime.
Les clés privées peuvent-elles faire l'objet d'une analyse médico-légale ?+
Oui, leur présence et leur utilisation peuvent être analysées, mais cela ne permet pas de contourner la protection par mot de passe.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire des hôtes et clés SSH connus " ? LanCologne vous accompagne dans la sauvegarde des preuves numériques conformément aux exigences judiciaires, ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant