Informatica forense · Linux

Analisi forense dei volumi LVM crittografati – Gestire correttamente la combinazione di LUKS e LVM

In molti ambienti aziendali, la crittografia LUKS viene combinata con il Logical Volume Manager, sia crittografando i supporti fisici prima del livello LVM, sia crittografando singoli volumi logici.

Richiesta non vincolante

Questa combinazione richiede, nell'ambito dell'analisi forense, una sequenza corretta di decomposizione: occorre innanzitutto sbloccare il livello LUKS prima di poter analizzare correttamente la struttura LVM sottostante o sovrastante.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Determiniamo la struttura concreta composta da LUKS e LVM, sblocchiamo la crittografia in presenza di un percorso di accesso valido e ricostruiamo quindi i volumi logici per l'ulteriore analisi del file system.

Campi di applicazione tipici

•Analisi dei server aziendali crittografati
•Ricostruzione di strutture complesse di crittografia e di stratificazione dei volumi
•Valutazione dei percorsi di sblocco esistenti prima di un'analisi
•Preparazione dell'analisi del file system sui volumi decriptati
•Risposta agli incidenti sui sistemi Linux
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge l'analisi dei volumi LVM crittografati

Dopo il backup, viene innanzitutto determinata la struttura specifica composta da LUKS e LVM. Se è presente una chiave di sblocco valida, la crittografia viene sbloccata e viene ricostruita la struttura LVM sottostante o sovrastante. Solo successivamente viene eseguita l’analisi effettiva del file system dei volumi logici interessati.

Perché questa analisi combinata è rilevante dal punto di vista forense?

La combinazione tra crittografia e gestione logica dei volumi è ampiamente diffusa negli ambienti professionali e richiede una comprensione accurata della sequenza dei livelli, per evitare che i dati vengano erroneamente classificati come inaccessibili.

Se la stratificazione non viene riconosciuta correttamente, un esame potrebbe essere interrotto prematuramente, sebbene in linea di principio fosse presente una via di accesso valida. È quindi fondamentale effettuare un’accurata analisi tecnica preliminare.

Domande frequenti

Qual è il primo a essere rimosso, LUKS o LVM?+
Dipende dalla configurazione specifica. Spesso LUKS si trova al di sotto di LVM, ma sono possibili anche altre combinazioni.
È possibile analizzare comunque qualche dato anche senza accesso a LUKS?+
Di norma no, poiché i dati effettivi non sono accessibili senza una decodifica riuscita.
Questa combinazione è diffusa nelle aziende?+
Sì, in particolare nel caso di Servern, che presenta requisiti di sicurezza più elevati, la crittografia viene spesso abbinata a una gestione flessibile dei volumi.

🔗 Argomenti correlati

LanCologne – Analisi forense di Linux a Colonia

Avete bisogno di un'indagine forense professionale sull„"analisi forense di volumi LVM crittografati”? LanCologne vi supporta nel back-up di prove digitali a prova di tribunale e nella valutazione tracciabile degli artefatti Linux rilevanti.

Contattaci subito