IT-forenzika · Linux

Forenzična analiza šifriranih LVM-volumov – pravilno ravnanje s kombinacijo LUKS in LVM

V mnogih poslovnih okoljih se šifriranje LUKS kombinira z upraviteljem logičnih volumnov (LVM), bodisi s šifriranjem fizičnih nosilcev podatkov pred plastjo LVM bodisi s šifriranjem posameznih logičnih volumnov.

Nezavezujoča poizvedba

Ta kombinacija pri forenzični preiskavi zahteva pravilni vrstni red odstranjevanja plasti: najprej je treba odkleniti raven LUKS, preden je mogoče pravilno analizirati strukturo LVM, ki leži pod njo ali nad njo.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Določimo konkretno razvrstitev iz LUKS in LVM, razšifriramo podatke ob obstoju veljavne poti dostopa in nato rekonstruiramo logične zvezke za nadaljnjo analizo datotečnega sistema.

Tipična področja uporabe

•Preiskava šifriranih strežnikov podjetij
•Rekonstrukcija kompleksnih šifrirnih in prostorskih plasti
•Ocena obstoječih poti za odpravo blokad pred analizo
•Priprava analize datotečnega sistema na dešifriranih diskovnih enotah
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza šifriranih LVM-volumov

Po varnostnem kopiranju se najprej določi konkretna struktura plasti LUKS in LVM. Če obstaja veljavna pot za odklepanje, se šifriranje odpre in rekonstruira se spodnja ali zgornja struktura LVM. Šele nato sledi dejanska analiza datotečnega sistema zadevnih logičnih volumnov.

Zakaj je ta kombinirana analiza forenzično pomembna?

Kombinacija šifriranja in logičnega upravljanja z volumi je v profesionalnih okoljih zelo razširjena in zahteva natančno razumevanje zaporedja posameznih plasti, da se podatki ne bi napačno označili kot nedostopni.

Če se plastitev ne prepozna pravilno, se lahko preiskava predčasno prekine, čeprav bi v osnovi obstajala veljavna pot dostopa. Zato je natančna tehnična predhodna analiza ključnega pomena.

Pogosta vprašanja

Kaj se najprej odstrani: LUKS ali LVM?+
To je odvisno od konkretne konfiguracije. Pogosto je LUKS pod LVM, vendar so možne tudi druge kombinacije.
Ali je mogoče kaj analizirati tudi brez dostopa do LUKS-a?+
Praviloma ne, saj brez uspešnega dešifriranja ni mogoče dostopati do dejanskih uporabnih podatkov.
Ali je ta kombinacija v podjetjih pogosta?+
Da, zlasti pri Servern, kjer veljajo višje varnostne zahteve, se šifriranje pogosto kombinira s prilagodljivim upravljanjem prostora na disku.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Forenzična analiza šifriranih LVM-volumov"? LanCologne vam pomaga pri sodno veljavnem zavarovanju digitalnih dokazov ter pri pregledni analizi relevantnih Linuxovih artefaktov.

Stopite v stik zdaj