sveuČiliŠte u zagre u fakultet elektrotehnike...
TRANSCRIPT
Računalna forenzika FER, 2018 1
SVEUČILIŠTE U ZAGREBU
FAKULTET ELEKTROTEHNIKE I RAČUNARSTVA
Forenzika ugradbenih računala
Filip Žigun
Računalna forenzika FER, 2018 1
1 SADRŽAJ
1 Sadržaj ................................................................................................................................................... 1
2 Uvod ...................................................................................................................................................... 2
3 Prikupljanje podataka ............................................................................................................................ 3
3.1 Pripremanje uređaja za forenzičku analizu .................................................................................... 3
3.1.1 Forenzičko odlemljivanje komponenti ................................................................................... 3
3.2 Prikupljanje podataka iz trajne memorije ...................................................................................... 4
3.2.1 Flash memorija ...................................................................................................................... 4
4 Metode prikupljanja podataka s ugradbenih računala .......................................................................... 7
4.1 Ručno prikupljanje podataka ......................................................................................................... 7
4.2 Logičko prikupljanje podataka ....................................................................................................... 7
4.3 Pseudo fizičko prikupljanje podataka ............................................................................................ 7
4.4 Prikupljanje podataka preko priključka za podršku ....................................................................... 8
4.5 Prikupljanje podataka čitanjem memorijskog čipa ........................................................................ 8
4.6 Prikupljanje podataka čitanjem logičkih vrata ............................................................................... 9
5 Primjeri forenzike ugradbenih računala .............................................................................................. 10
5.1 Snimatelji događaja ..................................................................................................................... 10
5.2 Satelitska navigacija ..................................................................................................................... 10
6 zaključak .............................................................................................................................................. 11
7 Literatura ............................................................................................................................................. 12
2
2 UVOD
Ugradbena računala se nalaze svud oko nas i za velik broj različitih svrha npr. u uredskim sustavima,
kućanskim aparatima, igraćim konzolama, sustavima za upravljanje vozilima, mobitelima… Ugradbeni
sustavi se može promatrati kao sustav koji korisnik ne može programirati i koji je dizajniran da koristi
nekoliko namjenskih funkcija.
Računalna forenzika je grana digitalne forenzike koja se bavi pronalaženjem dokaza na računalima i
medijima za pohranu podataka. Cilj računalne forenzike je ispitati računala i medije u duhu digitalne
forenzike s ciljem identificiranja, pohranjivanja, oporavka i analize digitalnih informacija. Forenzika
ugradbenih računala se bavi dohvaćanjem podataka s ugradbenih računala, što se zbog širokog raspona
različitih ugradbenih računala može se pokazati teškim postupkom.
3
3 PRIKUPLJANJE PODATAKA
Ugrađeni računalni sustavi se koriste za upravljanje vozilima, kontrolom zrakoplova, kontrolom prometa, u
telekomunikacijama, u kućanstvu itd. Neki od tih računalnih sustava imaju posebne postupke za
pronalaženje i dohvaćanje podataka npr. crne kutije kod istrage zrakoplovnih nesreća. S obzirom na stalno
širenje tehnologije u svim aspektima društva i stalnim razvojem nove tehnologije nije moguće razviti
metodologiju koja će obuhvatiti sve vrste ugradbenih računala.
3.1 PRIPREMANJE UREĐAJA ZA FORENZIČKU ANALIZU
U oporavku podataka s ugradbenog računala moguće je da će se uređaj na kojem su pohranjeni podatci
trebati od spojiti od opreme koja na koju je spojen, u takvoj situaciji mora se osigurati da se na uređaju
slučajno ne promijene podatci. U takvim situacijama treba uzeti u obzir napajanje uređaja i kako
transportirati uređaj do laboratorija da se podatci ne promijene.
Jednom kada uređaj bude spreman za analizu, potrebno je uključiti izvor napajanja što može rezultirati
promjenom podataka, stoga sve veze za prikupljanje podataka trebaju biti spojene prije nego što se uređaju
napajanje upali.
3.1.1 Forenzičko odlemljivanje komponenti
Ukoliko se želi čitati memorija direktno s memorijskog čipa spajanjem na čitač memorija, čip je potrebno
prije pažljivo odlemiti jer ukoliko se to ne učini dobro može doći do gubitka podataka. Odlemljivanjem je
moguće uništiti čip i sadržaj, zbog topline potrebne za odlemljivanje čipa.
Prije izuma BGA tehnologije moguće je bilo pričvrstiti sonde na pinove memorijskog čipa i pročitati slike
memorije pomoću sonde bez potrebe za odlemljivanjem komponenata. BGA tehnika spaja čipove izravno
na pločicu kroz rastaljenu kuglicu za lemljenje, tako da više nije moguće priključiti sonde.
Prije uklanjanja čipa pločica je pečena u peći da bi se uklonio ostatak vode. To sprječava takozvani popcorn
efekt, kod kojega ostatak vode uništi čip kod odlemljivanja. Postoje uglavnom tri metode za topljenje lema:
- vrućim zrakom
- infracrveno svjetlo
- fazno parenje.
Tehnologija infracrvene svjetlosti radi s usmjerenim infracrvenim svjetlosni snop na specifični čip i koristi
se za male čipove. Vrući zrak i para se ne mogu dobro usmjeriti kao infracrveno zračenjem.
Nakon procesa odlemljivanja čip treba proći kroz proces rebalinga. Rebalingom se na čip ponovno dodaju
kuglice lema koje su uklonjene procesom odlemljivanja.
4
Slika 3.1. Odlemljivanje vrućim zrakom
Prednost forenzičnog odlemljivanje je da uređaj ne mora biti funkcionalan da bi se mogla napraviti kopija
bez ikakvih izmjena izvornih podataka. Nedostatak je taj što je taj proces vrlo skup. Uređaji za rebaliranje
su skupi i postoje neki rizici od ukupnog gubitka podataka. Stoga, forenzično odlemljivanje trebaju obavljati
samo iskusni laboratoriji.[1]
3.2 PRIKUPLJANJE PODATAKA IZ TRAJNE MEMORIJE
Trajne memorije su memorije koje mogu sačuvati zapisane podatke i nakon gubitka napajanja uređaja.
Koriste u računalima za pohranjivanje konfiguracija uređaja ili za bilježenje događaja u sustava. Trajne
memorije koje se koriste kod ugradbenih računala su npr. SIM kartica, SD, EEPROM i Flash kartice.
Neke od tih memorija imaju zaštitu od čitanja podataka zbog otežavanja procesa reversnog inženjerstva,
podatci se ne mogu čitati izvan sustava dok procesor može čitati podatke.
3.2.1 Flash memorija
Flash memorija je vrsta trajne memorije u koju se može električki zapisivati i koju je moguće električki
brisati. Flash memorija dolazi u dvije implementacije: NOR flash i NAND flash, nazvane po osnovnim
logičkim strukturama tih čipova. Za razliku od NAND flash-a, iz NOR flash-a može se čitati oktet po oktet u
5
stalnom vremenu zbog čega se često koristi kada je primarni cilj flash memorije držanje i izvršavanje
programa, a dijelovi NOR flash-a koji nisu zauzeti za program mogu se koristiti za pohranu korisničkih
podataka. Većina mobilnih medija, poput USB flash diskova ili multimedijalnih uređaja kao što su digitalni
fotoaparati i mobiteli, koriste NAND flash memoriju za stvaranje kompaktnog mobilnog uređaja za pohranu
podataka.[2]
3.2.1.1 Alati za programiranje flash memorije
Najjednostavniji i neinvazivni način čitanja podataka flash-a je jednostavnim hardverskim sučeljem i
softverom koji kopira sve podatke flash memorije iz ciljnog sustava u drugi sustav radi daljnje analize.
Nažalost, ne postoji općenita metoda za ovaj postupak, jer svaki ugrađeni sustav može imati svoje sučelje
za podatke spremljene u flash memorijske čipove. Također nema standardiziranog "operacijskog sustava"
s dokumentiranim funkcijama koje pristupaju flash memoriji. Međutim, alati za kopiranje memorije
posebno su usmjereni na određeni uređaj (raspon) i ponekad se mogu koristiti za forenzičke svrhe. Ovi alati
uglavnom potječu iz dva izvora: proizvođači ili servisni centri koji koriste ove alate za debugiranje i
dijagnostiku, a ponekad i za ažuriranja softvera na uređaja koji su terenu, ili hakeri koji koriste te alate za
provjeru i promjenu funkcionalnosti uređaja. Prije upotrebe na uređaju, alat za programiranje flash-a
potrebno je testirati na sličnom uređaju zbog provjere funkcionalnost, a po mogućnosti prije svakog
pojedinačnog ispitivanja.
3.2.1.2 JTAG
Ne pružaju svi ugradbeni sustavi standardizirano sučelje, niti postoji standardno sučelje za sve ugradbene sustave. Minijaturizacija dijelova uređaja otvara pitanje kako automatski testirati funkcionalnost i kvalitetu lemljenih integriranih komponenti. Za ovaj je problem industrijska skupina, Joint Test Action Group (JTAG), razvila testnu arhitekturu nazvanu „Boundary scan“. Ova tehnika dodaje posmačni registar na svaku integriranu komponentu. Tako da ne troši bilo kakvu snagu i ne utječe na uređaj. Ovi registri omogućavaju ispitivanje i postavljanje vrijednosti na priključke uređaja i omogućuje čitanje vrijednosti priključaka te čitanje memorije. Testni pristupni port čini registar za pomak neposredno dostupnim. Za interoperabilnost između komponenti različitih proizvođača JTAG je standardizirao postupak za provođenja „Boundary scan“ arhitekture, stoga se ova tehnika često naziva JTAG standard. Prije nego što se JTAG sučelje uređaja može upotrijebiti za oporavak memorije moramo znati koji se procesor i memorije koriste i kako su spojeni na sabirnicu sustava. Kada priključci nisu dostupni izvana, ispitivač mora pronaći testne točke za JTAG sučelje na pločici i odrediti koja testna točka se koristi za koji signal. JTAG priključak nije uvijek lemljen s priključcima, tako da ponekad treba otvoriti uređaj i zalemiti pristupnu priključnicu. Protokol za čitanje memorije mora biti poznat i mora se koristiti odgovarajući napon da se spriječi oštećenje uređaja.
6
Slika 3.2. Boundary scan arhitektura
„Boundary scan“ omogućava stvaranje kompletne sliku radne memorije i trajnih memorija. Rizik promjene
podataka je minimalan i memorijski čip se ne mora odlemljivati da bi se podatci dohvatili. Stvaranje slike
može biti sporo i ne imaju svi ugradbeni sustavi JTAG omogućen. Također se može biti teško za pronaći
pristupne priključke.[2]
3.2.1.3 Fizičko izvlačenje podataka
Još jedan način stvaranja slike flash memorije je fizički uklanjanje flash memorijskog čipa s PCB-a i čitanje
flash memorije direktno s čipa pomoću memorijskog čitača. Ova se metoda može koristiti kada JTAG nije
dostupan i softverski alati ne mogu se koristiti.
Za dohvaćanje podataka na ovaj način potrebno je odlemiti čip s PCB-a. Odlemljivanje čipa za forenzičku
obradu i prikupljanje podataka opisano je u poglavlju 3.1.1. Nakon uklanjanja čipa čip se obično mora
pripremiti za daljnju obradu (čišćenje i vraćanje veza) nakon uklanjanja.
Čip flash memorije može se čitati s komercijalno dostupnim programerima za memorijske čipova.
Nedostatak je taj što je su potrebni upravljački programi za svaku vrstu memorijskog čipa. Ako upravljački
program za određenu vrstu čipa nije dostupan, proizvođač programera mora implementirati upravljački
program. To može potrajati neko vrijeme i nije uvijek moguće kada datasheet nije dostupan.[2]
7
4 METODE PRIKUPLJANJA PODATAKA S UGRADBENIH RAČUNALA
Postoje mnoge klasifikacije prikupljanja forenzičkih podataka, to se posebno odnosi na područje ugrađenih
računalnim sustavima. Klasifikacija je podijeljena u šest metodologija:
• Ručno prikupljanje podataka
• Logičko prikupljanje podataka
• Pseudo-fizičko prikupljanje podataka
• Prikupljanje preko priključka za podršku
• Prikupljanje podataka čitanjem memorijskog čipa
• Prikupljanje podataka čitanja logičkih vrata
4.1 RUČNO PRIKUPLJANJE PODATAKA
Ovo je najstarija metoda za koju je potrebno najmanje obuke i opreme. Ispitivač koristi zaslon uređaja i
korisničko sučelje te fotoaparat za snimanje svih relevantnih podataka, što je više moguće. Ispitivač slika
stanja zaslona kako prolazi kroz različita stanja sustava.
4.2 LOGIČKO PRIKUPLJANJE PODATAKA
Metoda logičkog prikupljanja podataka se primjenjuje na ugradbena računala na kojima postoji operacijski
sustav. Operacijski sustava u potpunosti kontrolira čemu se može pristupiti i pruža metodu prijenosa
podataka. Ispitivač povezuje uređaj s forenzičkom radnom stanicom i preko različitih programa komunicira
s OS-om na ciljnom uređaju. OS može zabilježiti vezu i komunikaciju na ciljnom uređaju te može ažurirati
podatke sustava.
4.3 PSEUDO FIZIČKO PRIKUPLJANJE PODATAKA
Proces pseudo-fizičkog prikupljanja podataka uključuje prebacivanje programskog koda, na ciljni uređaj, na
neki način koji omogućava pristup većini podataka. Kôd može pružiti samo pristup i iskoristiti OS ciljanog
uređaja za pružanje komunikacije ili je kompletna zamjena za operacijski sustava sa funkcijom prikupljanja
podataka s ciljnog uređaja. Nakon toga, ispitivač povezuje uređaj s forenzičnom radnom stanicom i preko
programa komunicira s programskim kodom ili OS-om na ciljnom uređaju. OS može zabilježiti vezu i
komunikaciju na ciljnom uređaju te ažurirati podatke sustava. Preneseni kod također može utjecati na
podatke na ciljnom uređaju.
8
4.4 PRIKUPLJANJE PODATAKA PREKO PRIKLJUČKA ZA PODRŠKU
Većina elektronički proizvedenih masovnih uređaja ima priključke za ispitivanje ili za ažuriranje programa
koji se izvršava uređaju na različitim čipovima. To se može implementirati preko korisnički dostupnih
priključaka kao što su USB, RS232 ili čak nekih drugih pinova koji nisu dostupni korisnicima…
Da bi se pristupilo tim priključcima, gotovo sva manja elektronika zahtijeva rastavljanje. Nakon što je uređaj
rastavljen, priključak se mora identificirati i mora se pronaći specifičan komunikacijski protokol.
Komunikacija se uspostavlja s određenim dijelovima pločice koje služe za pohranu podataka i dohvaćaju se
podatci. Ti se podaci zatim pohranjuju za daljnju analizu.
Najčešće korišteni protokoli su JTAG, I2C, SPI, CAN, LIN…
Slika 4.1. JTAG pristupna točka Samsunga SGH-D500
4.5 PRIKUPLJANJE PODATAKA ČITANJEM MEMORIJSKOG ČIPA
Za ovu metodu prikupljanja podataka memorijski čipovi odlemljuju se s pločice i podaci se ekstrahiraju
pomoću specifične komunikacije. Podatci s čipova se čitaju posebnim memorijskim čitačima, postoje
uređaji specijalizirani za neke memorijske čipove i univerzalni čitači. Podatci koji se dobiju ovom metodom
su binarni. Postoji nekoliko kritičnih točaka s ovom metodom, uključujući mogućnost trajnog oštećenja
memorijskog čipa tijekom odlemljivanja i uklanjanja uređaja.
9
4.6 PRIKUPLJANJE PODATAKA ČITANJEM LOGIČKIH VRATA
Ova metodologija zahtijeva opremu i kemikalije koje se obično ne nalaze u većini digitalnih forenzičkih
laboratorija. Postupak uključuje uklanjanje ciljnog čipa na sličan način kao i metoda prikupljanja podataka
čitanjem s memorijskog čipa. Umjesto da pokušava komunicirati s memorijskim čipom električkim
signalima, čip se doslovno razreže na više slojeva, kako bi se vidio svaki izvorni poluvodički litografski sloj, a
informacije se prikupljaju promatranjem slojeva.
Slojevi se mjere u nanometrima, svaki je sloj uklonjen, fotografiran. Kasnije se fotografije ubacuju u poseban
softvare koji stvara sliku cijelog čipa i pojedinačnih slika. Proces se izvodi pogađanjem i zahtjeva visoku
razinu razumijevanja unutarnjeg dizajna čipa i litografije čipa. Taj proces najbolje funkcionira s
planariziranim čipovima. Koraci procesa su odlemljivanje čipa, uklanjanje slojeva, slikanje, shematski prikaz,
organizacija i konačno analiza.[3]
10
5 PRIMJERI FORENZIKE UGRADBENIH RAČUNALA
5.1 SNIMATELJI DOGAĐAJA
Snimatelji događaja su uređaji koji se koriste se za snimanje i spremanje trenutačnog stanja i konfiguracije
sustava koji se prati. Uređaji prate stanje sustava i kada se dogodi neki kritični događaj na primjer,
automobilska nesreća, uređaj će se snimiti stvari poput brzine, stanja zračnih jastuka itd. Ili sofisticiranijih
„crnih kutija“ koji se koriste u zrakoplovima. „Crne kutije“ snimaju podatke kao što su brzina, nadmorska
visina i zvukove pilotske kabine. Različiti snimatelji događaja imaju različite mogućnosti pohranjivanja.
Slika 5.1. „Crna kutija“ iz zrakoplova
5.2 SATELITSKA NAVIGACIJA
Uređaji satelitske navigacije su mobilni uređaji koji mogu odrediti svoj položaj korištenjem položaja satelita.
Upotrebljavaju se za planiranje ruta do odredišta, bilo izravno ili putem određenih točaka, iz određenog
polazišta, obično korisnikovog doma. Satelitska navigacija pohranjuje detalje o putovanjima, vremenima i
datumima putovanja. Analiza tih podataka može se upotrijebiti kao dokaz u okviru kriminalističke istrage.
Obično se nalaze u vozilima i mobitelima.[4]
11
6 ZAKLJUČAK
Ugrađeni računalni sustavi su iznimno razvili od njihova nastanka pa do danas. Danas, se ugradbena
računala nalaze svud oko nas od pametne odjeće do pametnog bankarstva. Ugrađena računala naglašavaju
rast tehnologije na područjima elektronike, bežične komunikacije, umrežavanja, robotike itd. Sve veći broj
objekta oko nas ima mali procesor/senzor ugrađen u sebe koji uvijek komunicira sa ostalim uređajima oko
sebe, čineći naš život povezanim i dostupnijim nego ikada prije. Također dolaskom novih tehnologija kao
što je Internet stvari broj ugradbenih računala će se povećati.
Povećanjem broj ugradbenih računala potreba za forenzikom ugradbenih računala će se povećati. Također
razvojem tehnologije doći će do uporabe novih vrsta memorije u ugradbenim računalima samim time
nastat će i nove metode prikupljanja podataka.
12
7 LITERATURA
[1] Digital Forensics on Small Scale Digital Devices: Christian Backer, 2009
[2] Forensic Data Recovery from Flash Memory: Breeuwsma, de Jongh, Klaver, van der Knijff, Mark Roeloffs [3] https://articles.forensicfocus.com/2013/04/07/categorization-of-embedded-system-forensic-collection-methodologies, siječanj 2018. [4] Unified Forensic Methodology for the Analysis of Embedded Systems: R.J. Shaw, A.S. Atkins