Discussione Domanda Recupero DUMP ram, ed accesso ad archivio criptato

Ordina per data Ordina commenti per reazioni
E

Eoloprox

Utente Emerald
20 Marzo 2016
607
151
51
415
Salve a tutti gli smanettoni

Ho scaricato un tool molto potente che conoscerete sicuramente per eliminare tracce su disco "Ereaser".
In esame mettiamo un pc di medo alta potenza con NVME o SSD su file sytem ExFat.

Detto ciò la mia curiosità sta nel sapere sè durante un analisi forense, alla ricerca di un passphrase non brute-forceabile (in tempi decenti) di 19 caratteri
di un archivio 7Zip criptato a SHA-512... Presupponiamo che magari è stato
aperto nell’arco di 24, 48 ore... Con il dump della ram è fattibile estrarre le credenziali?
Esistono tool per svuotare o eliminare tali informazioni dalla RAM? Perché altrimenti anche se cancello l'archivio con il metodo di ghutman
e vienei recuperato, la ram aprirebbe tutte le porte.... Quindi primo mi servirebbe una vostra riflessione, a riguardo del Metodo Gutmann utilizzato da ereaser,
poi se riusciamo a cancellare i dati nella ram e come muovermi di conseguenza...

Grazie del supporto, ciao
 
Su gli SSD i metodi di eraser e in generale di sovrascrittura di singoli file possono non funzionare. A livello di sistema e di firmware quando vai a sovrascrivere è probabile che scriva su un nuovo blocco per non usurare troppo quelli dove era presente il file. Il metodo di cui parli se ricordo bene è quello di oltre 30 passaggi di sovrascrittura, totalmente inutile a mio parere, le informazioni militari vengono sovrascritte con 3 o massimo 7 passaggi, il resto è una perdita di tempo tua e usura del supporto di memoria.

SHA-512 non cifra nulla è solo l'hash, la crittografia usata da 7-Zip di default è AES-256. Una volta che chiudi il programma, la RAM utilizzata viene considerata libera e riutilizzata dal sistema (non so se prima di uscire la chiave viene sovrascritta con 0, va letto nel source). Invece il problema è quando fai doppio click su un file dell'archivio, perché viene estratto in chiaro nella cartella temp ed eliminato senza sovrascrittura quando chiudi l'archivio.
 
Ultima modifica:
ok, quindi, ssd non rimuove niente e gli archivi restano in chiaro sulla cartella temp... Dovrei utilizzare una tails, ed estrarre gli archivi li dentro, oppure una whonix.
 
Perché non usare la full-disk encryption o un container veracrypt? Quei software nascono per questi motivi, gli archivi hanno un altro scopo.
 
Ultima modifica:
Ho masterizzato tails si DVD-ROM, ed ho avviato la live, il sistema non salva nulla, ma ho creato una USB da usare in coppia con tails, con un volume criptato veracrypt, ed ho puntato l'opzione di cancellare la key dalla ram su windows, nel caso la aprissi per sbaglio da là...
 
Top Bottom
Indietro