ARMAZENAMENTO EM MEMÓRIA FLASH E SEU IMPACTO NA PERÍCIA CRIMINAL

Transcrição

1 ARMAZENAMENTO EM MEMÓRIA FLASH E SEU IMPACTO NA PERÍCIA CRIMINAL Angelo Shimabuko <angeloshimabuko@gmail.com> Polícia Civil do Distrito Federal Instituto de Criminalística Agosto de 2012

2 Conteúdo Introdução 1 Introdução 2 3 4

3 Introdução Artigos sobre recuperação de dados em memória flash: Bell e Boddington (2010) impossibilidade de recuperação de dados em SSDs. Williams (2010) TRIM torna impossível a recuperação de dados. Wei et al. (2011) dificuldade na remoção de dados em SSDs.

4 Bell e Boddington Solid State Drives: the beginning of the end for current practice in digital forensic recovery? 1 Quando o recurso de TRIM é habilitado, é impossível recuperar dados apagados; no SSD, de arquivos, 1090 foram recuperados; no HD, de arquivos, foram recuperados. 1 BELL, Graeme B.; BODDINGTON, Richard JDFSL Journal of Digital Forensics, Security en Law, vol. 5, n. 3. Disponível em <

5 Rob Williams Too TRIM? When SSD data recovery is impossible 2 Um SSD de 80 Gbytes foi testado com o TRIM desabilitado e desabilitado; usando-se um demo de uma ferramenta comercial, com o TRIM desabilitado, foram recuperados arquivos; com o TRIM habilitado, foram recuperados 488 arquivos. 2 WILLIAMS, Rob Techgage. Disponível em <http: //techgage.com/print/too_trim_when_ssd_data_recovery_is_impossible>.

6 Wei et al. Introdução Reliably erasing data from flash-based solid state drives 3 As técnicas de apagamento total (sanitizing) usada em discos magnéticos não são aplicáveis aos SSDs; o comando ATA SECURITY ERASE UNITY funcionou apenas em quatro de doze unidades SSDs testadas; técnicas de apagamento comerciais são muito demoradas (até mais de 100 horas) e pouco eficientes. 3 WEI, Michael; GRUPP, Laura M.; SPADA, Frederick E.; SWANSON, Steven th USENIX Conference on File and Storage Technologies. Disponível em <

7 Conceitos básicos. Características técnicas.

8 Conceitos básicos É um tipo de EEPROM (Electrically Erasable Programmable Read-Only Memory); foi inventada por Fujio Masuoka nos anos 1980, quando trabalhava para a Toshiba, e foi posteriormente desenvolvida pela Intel; há dois sabores : NOR e NAND esta é mais usada em mídias de armazenamento removíveis (pendrives, câmeras, smartphones) e SSDs.

9 Características técnicas A escrita é feita byte a byte (NOR) ou por página (NAND), mas não é possível sobrescrever; uma página tem (geralmente) 512 bytes; um bloco é constituído por páginas 16 a 128 páginas por bloco; para reutilização, a memória deve ser previamente apagada e essa operação deve ser executada por bloco.

10 Como funciona de dados em memória NAND; FTL Flash Translation Layer; coleta de lixo (garbage collection); nivelamento de desgaste wear leveling.

11 Flash Translation Layer Funciona como um tradutor entre os LBNs (logical block numbers) usados pelo sistema de arquivos e a estrutura de páginas e blocos da memória flash: uma página pode ser maior que um bloco lógico (setor de 512 bytes) 2048 ou 4096 bytes; a memória flash possui várias estruturas, além de blocos de apagamentos e zonas, tais como cabeçalhos de páginas (com informações de em uso-livre, desgaste, etc.) e células de reserva (spare cells); manipula páginas e blocos para nivelar o desgaste.

12 Coleta de lixo (garbage collection) Método para reutilização de blocos invalidados, i.e., continham dados que foram alterados; quando dados devem ser alterados, são gravados (programados) em outro local (página ou bloco) a página ou o bloco é invalidada(o); os blocos invalidados vão para uma fila, e são apagados para serem reutilizados.

13 Controle de desgaste (wear leveling) A vida útil de um dispositivo flash depende do ciclo de operações de apagamento e escrita, cujo limite varia entre 10 4 e 10 6 ; o gerenciamento do desgaste (wear leveling) pode ser feito de vários modos; uma parte essencial wear leveling é o FTL (Flash Translation Layer).

14 Remoção de dados Quando os dados são apagados, dependendo do tipo de dispositivo de armazenamento e do seu funcionamento, pode ocorrer: sua persistência; ou o seu total desaparecimento.

15 Persistência dos dados Em pendrives, cartões de armazenamento e dispositivos embarcados, a coleta de lixo é muito lenta ou não ocorre, se a taxa de ocupação é muito pequena. Neste caso, quando dados são removidos, ou mesmo sobrescritos, os blocos invalidados não são apagados.

16 Desaparecimento dos dados Em alguns SSDs (solid state drives), algumas técnicas provocam o apagamento imediato de blocos invalidados. a Samsung possui um aplicativo proprietário (usado no SSD testado por Bell e Boddington) ITGC (Idle Time Garbage Collection); o ATA TRIM é um comando ATA que pode ser usado pelo sistema operacional para determinar ao SSD que os setores usados por arquivos removidos devem ser apagados ( zerados wiped).

17 Breeuwsma et al. 4 indicam três métodos para recuperação de dados, gerando a imagem do meio de armazenamento: flasher tools; interface JTAG; remoção dos chips de memória. 4 BREEUWSMA, Marcel; et al. Forensic data recovery from flash memory Small Scale Digital Device Forensics Journal, vol. 1, n o 1. Disponível em <

18 Flasher tools Introdução São ferramentas de hardware e software que possuam interface (conectores) e aplicativos para acessar e extrair dados de dispositivos embarcados (p.ex., smartphones. Pode ser também um procedimento baseado em uma interface padrão (p.ex., USB) que utilize alguma falha do sistema operacional do dispositivo (p.ex., o método de Zdziarski para iphones).

19 JTAG Introdução A interface JTAG consiste em um conjunto de pinos da controladora da memória flash (e não dos chips de memória) e alguns comandos de depuração, que podem ser usados para ler a memória. Memória Micro- <===> interface externa (USB?) flash controlador <-> TDI (Test Data In) <===> <-> TDO (Test Data Out) <-> TCK (Test Clock) <-> TMS (Test Mode Select) <-> TRST (Test Reset - opc.)

20 Remoção dos chips Este é o método mais radical. Consiste na extração dos chips de memória e depois sua conexão a algum dispositivo de leitura. Geralmente irá destruir o dispositivo, e a possibilidade de recuperação de dados é pequena.

21 Conclusão Introdução O armazenamento em memória flash representa um desafio; em muitos casos não será possível a recuperação de dados; a obtenção de resultados positivos depende de estudos aprofundados, desenvolvimen to de técnicas adequadas e experimentação prévia (necessidade de laboratório).