Home Tecnica Programmi di utilità Il settore danneggiato e l'acquisizione forense

In evidenza

Smau Milano 2013 - 50ma edizione

Smau Milano 2013 - 50ma edizione

Forte dell’esperienza maturata nel Roadshow, Smau torna a Milano per la cinquantesima edizione del...
TecnoWorkshop Taranto2013: il programma

TecnoWorkshop Taranto2013: il programma

Ecco il programma del TecnoWorkshop Taranto2013 che si terrà sabato 14 settembre dalle 9:00 alle 14:30...
Festival della tecnologia ICT: la rivoluzione è cominciata

Festival della tecnologia ICT: la rivoluzione è cominciata

Si chiama festival della tecnologia ICT e non è una fiera né un congresso, ma un evento B2B innovativo...
TecnoWorkshop Taranto2013

TecnoWorkshop Taranto2013

Il giorno 14 settembre (sabato) dalle 9:00 alle 14:30 si terrà a Taranto, presso la sala Resta del...

Offerte di lavoro da InfoJobs

Società Italiana dei Professionisti delle Scienze dell'Informazione

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

Iscrizione nuovi soci (10/10/2013)

La Società Italiana dei Professionisti delle Scienze dell'Informazione, con delibera del Consiglio Direttivo del 10/10/2013 ha iscritto nel proprio Libro dei Soci dei nuovi professionisti:

11 Nov 2013 - Letture:452

Convenzione con ANDIP

La Società Italiana dei Professionisti delle Scienze dell'Informazione ha stipulato una convenzione con l'associazione ANDIP (Associazione Nazionale per la Difesa della Privacy) grazie alla quale ogni Socio avrà la possibilità di accedere alle iniziative, convegni e quant'altro proposto da ANDIP.

23 Set 2013 - Letture:494

TecnoWorkshop Taranto2013: conclusioni

L'evento ICT tanto atteso nella provincia jonica si è da poco concluso; in qualità di Coordinatore Regionale SIPSI sento il dovere di ringraziare i professionisti e consulenti venuti per conoscere ed ascoltare tutti i colleghi che hanno relazionato ed ogni...

19 Set 2013 - Letture:488

Nomina Coordinatore regionale (31/07/2013)

La Società Italiana dei Professionisti delle Scienze dell'Informazione, con delibera del Consiglio Direttivo del 31/07/2013 ha nominato il seguente Coordinatore regionale.

10 Set 2013 - Letture:506

Iscrizione nuovi soci (31/07/2013)

La Società Italiana dei Professionisti delle Scienze dell'Informazione, con delibera del Consiglio Direttivo del 31/07/2013 ha iscritto nel proprio Libro dei Soci dei nuovi professionisti ed aziende.

09 Set 2013 - Letture:522

Modifica del Regolamento Attuativo

La Società Italiana dei Professionisti delle Scienze dell'Informazione, con delibera del Consiglio Direttivo del 28/03/2013 ha modificato il proprio Regolamento Attuativo.

09 Apr 2013 - Letture:853

Iscrizione nuovi soci (28/03/2013)

La Società Italiana dei Professionisti delle Scienze dell'Informazione, con delibera del Consiglio Direttivo del 28/03/2013 ha iscritto nel proprio Libro dei Soci dei nuovi professionisti.

29 Mar 2013 - Letture:969

Bandi di Concorso

Avviso di selezione nell'Agenzia per l'Italia Digitale di 3 analisti ICT

Nell’ambito del progetto Sistema Pubblico di connettività l'Agenzia per l'Italia digitale ha indetto una procedura comparativa per il conferimento di tre incarichi di collaborazione coordinata e continuativa per profili specialistici di “Analista ICT”.

09 Mag 2013 - Letture:1103

Tips & Tricks

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

Come controllare i punti della patente di guida?

Un mio cliente dopo la notifica di verbale di accertamento della polizia municipale, comunica attraverso il modulo i dati della patente di un suo amico che era il conducente al momento dei fatti. Si è visto però recapitare una lettera del...

17 Ott 2013 - Letture:842

Realizzare un "conto alla rovescia" da terminale

Mi è capitato in questi giorni di necessitare di un contatore alla rovescia (o countdown in gergo) da utilizzare in un evento per dare il tempo ai relatori che si susseguivano nei loro interventi. Sembra strano ma quando si organizza...

16 Set 2013 - Letture:756

Grub2: ripristino di Grub da live-cd

Può succedere che GRUB2, per svariate cause non si avvii più, rendendo inservibile il nostro sistema operativo Debian (o altri sistemi operativi GNU/Linux installati nell’hard disk). Una delle cause principali di tutto questo è per esempio il voler installare anche Windows...

29 Mar 2013 - Letture:3861

Thomson TG585 v8: cambio DNS

Il software del router Thomson TG585 v8 non permette di modificare i DNS, così, se per esempio si volessero sostituire i DNS del provider con gli OpenDNS, non si trova nessuna interfaccia grafica per farlo. L'unica strada è quella di...

28 Feb 2013 - Letture:3604

Emacs: tabbar-mode

Una cosa utilissima presente negli editor (ma anche nei browser web) è quella di poter aprire una serie di documenti non in nuove pagine ma in schede o tab. Rimanendo nella categoria degli editor, un ottimo esempio è dato da Geany...

27 Feb 2013 - Letture:1100

Touchpad Tapping & Scrolling in Debian GNU/Linux

In Debian Squeeze 6 (anche in Wheezy), il tapping è disabilitato di default: "(xserver-xorg-input-synaptics (in Squeeze) has tapping disabled by default for touchpads with one or more physical buttons; see /usr/share/doc/xserver-xorg-input-synaptics/NEWS.Debian.gz. For a list of available options, see synclient -l . Not...

26 Feb 2013 - Letture:1297

Comparare due float in bash

Mi è capitato spesso di dover fare dei test tipo A > B dove A e B sono due numeri reali (float) all'interno di uno script bash. Il problema però è che bash ha solo una aritmetica intera... Cercando un po'...

22 Feb 2013 - Letture:1263

I più attivi

Dati e punteggi dell'ultimo anno

Maria Elisa Scarcia Maria Elisa Scarcia
5 articoli
0,533 punti totali
Vittorio D'Aversa Vittorio D'Aversa
9 articoli
0,350 punti totali
Rodolfo Giometti Rodolfo Giometti
10 articoli
0,272 punti totali
Giovanna Casamassima Giovanna Casamassima
9 articoli
0,251 punti totali
Alfredo Visconti Alfredo Visconti
8 articoli
0,178 punti totali

Ci hanno visitato

Oggi:1352
Ieri:2558
Totali (14/04/09):2621695

I nostri numeri

Articoli pubblicati: 783
Iscritti al portale: 1152
Iscritti all'Elenco: 231
Iscritti ML Discussioni: 408
Iscritti ML Articoli: 31
Iscritti ML Lavoro: 203
 
Corso pratico di una giornata sulle tecniche di prototipazione rapida per sistemi GNU/Linux embedded

Boxee Box: la TV facile di D-Link

Grazie alla D-Link possiamo presentare un nuovo gioiello della tecnologia: il me...

Realizzare un "conto alla rovescia" da terminale

Mi è capitato in questi giorni di necessitare di un contatore alla rovescia (o c...

Nvidia 295.33, ecco i nuovi driver per linux versione 3.3

L'annuncio è di qualche giorno fa, Nvidia rilascia i nuovi driver 295.33 con sup...

Se il Galaxy S2 non va a dormire

Come felice possessore di un Samsung Galaxy S2 appena ho saputo che si poteva ag...

PHP & Busybox httpd

Esistono diversi web server pensati appositamente per i sistemi embedded, alcuni...

Linaro, la no-profit che produce distribuzioni Linux/ARM

Il progetto Linaro presentato nel 2010 da colossi del calibro di Freescale Semic...

Thomson TG585 v8: cambio DNS

Il software del router Thomson TG585 v8 non permette di modificare i DNS, così, ...

Ubuntu Spyware: cosa si può fare?

Il Software Libero è una questione di libertà, non di prezzo. La libertà è quell...

Il telefono… la tua voce!

Era lo slogan pubblicitario della Telecom di un po’ di anni fa. Certo, al concet...

Kameleon: oltre i limiti della virtualizzazione

Negli ultimi anni la potenza dei computer e la loro capacità è aumentata in modo...

Emacs: tabbar-mode

Una cosa utilissima presente negli editor (ma anche nei browser web) è quella di...

Come disabilitare il «Global Menu» in Ubuntu 11.10 e 12.04

Una delle novità introdotte nelle ultime versioni di Ubuntu (che usano quindi Gn...

Tenere i servizi sotto controllo con Monit

In questi giorni mi è capitato di dover risolvere un problema per un mio cliente...

Snom 870: il telefono con Linux

Definirlo solo telefono è sicuramente riduttivo, infatti lo Snom 870 è sicuramen...

Geexbox: la mini distro MediaCenter Linux

Geexbox è un piccolo ma potente sistema operativo orientato alla riproduzione di...

Come installare un programma da una macchina Debian ad un'altra

Mi è capitato alcune volte di avere la necessità di eseguire il programma strace...

Multistrap: come ti creo un rootfs Debian dal nulla

Una volta c'era debootstrap, un tool fantastico che permetteva di creare un root...

IPhone recupero file: un gioco di squadra!

Un giorno l'amico Armando Buzzanca mi chiama perchè deve recuperare una no...

Lion desktop: finalmente una distribuzione mirata alle aziende!

Chi è abituato a lavorare con Linux, ed in particolare ha provato a lavorare con...

I dati e le loro anomalie nascoste

La motivazione per questo articolo nasce dalla crescente problematica di gestion...

Il NAS D-Link DNS-343

Grazie alla D-Link azienda produttrice di apparecchiature di rete e non solo v...

Disattivare il controllo account utente in Windows 7 e Vista

Il controllo account utente è quel particolare servizio progettato per aumentare...

Come saltare il proxy «blocca-tutto» aziendale

Mi capita spesso, ma non sempre, di andare da dei miei clienti e non potermi con...

Come ti controllo i tassi di interesse con Linux

In questi giorni sto cercando di fare una surruga per il mutuo di casa mia. Tra ...

Touchpad Tapping & Scrolling in Debian GNU/Linux

In Debian Squeeze 6 (anche in Wheezy), il tapping è disabilitato di default:&nbs...

Odroid: la piattaforma di gioco libera

Si chiama Odroid ed e basata su Android, è la prima piattaforma di gioco interam...

Intervista esclusiva a Mageia Linux

La Presidente dell'Associazione MAGEIA.ORG, Anne Nicolas, in questa intervi...

E-Waste: il rischio nella spazzatura

Partendo dalla segreteria telefonica attraverso il fax e l’agendina elettronica ...

F-Droid, e il FOSS su Android è servito!

Come Software Libre Evangelist mi son spesso trovato ad incoraggiare l'uso del s...

XMount finalmente liberi di virtualizzare!

Cosa succede dopo che abbiamo acquisito un disco in bitstream su file immagine? ...

Cloud Computing: la sicurezza è ancora un problema

Quasi tutte le organizzazioni, sia private, sia pubbliche, quando pensano al clo...

Il settore danneggiato e l'acquisizione forense

Se si deve acquisire un hard disk in maniera forense, ossia con tutti i crismi n...

Clonare una macchina vera in 30 minuti con VirtualBox

Essendo uno sviluppatore mi son reso conto che la virtualizzazione di una macchi...

Architettura di una trading room

La trading room o sala mercati è il luogo dove vengono effettuate le operazioni ...

SUN Wiki Publisher: scrivere facilmente su Wikipedia

Personalmente uso parecchio Mediawiki (il motore di Wikipedia); lo ritengo un ot...

Cifratura wireless: TKIP vs AES

Una delle domande più frequenti di chi intende implementare una rete Wireless è...

Sabayon Linux 5.4 (32 e 64 bit)

E' stata rilasciata online la nuova versione 5.4 di Sabayon Linux, una tra ...

Comparare due float in bash

Mi è capitato spesso di dover fare dei test tipo A > B dove A e B sono due nu...

Integrazione Webmaster Tool. Google Analytics, le ultime novità

Google non finisce mai di stupirci, ma soprattutto è inarrestabile sull'implemen...

Process Analysis per Disaster Recovery Plan

La gestione del processo aziendale, per la sicurezza dei sistemi, rappresenta il...

Generare un file pieno di 0xff

Per generare in file da 16Kbyte pieno di zeri su di un sistema UNIX/GNU-Linux si...

Arduracing: come realizzare una robot-car intelligente con Arduino

Arduracing è un progetto realizzato con Arduino in collaborazione con il Lucccal...

E’ nato bitcoin. Hanno rubato Bitcoin!

Cosa sono i Bitcoin? Se vogliamo molto semplice rappresentano l'equivalente del...

Linutop4 PC

Il produttore francese Linutop, con sede a Parigi, ha annunciato il nuovo modell...

SL4A e il drone parla più lingue

Chi come me non ama Java si sentirà a disagio volendo programmare una qualsiasi ...

Come controllare i punti della patente di guida?

Un mio cliente dopo la notifica di verbale di accertamento della polizia municip...

AVG Live CD Rescue: l'antivirus live!

Qualche giorno fa mi sono reso conto che in azienda sta per scadere la licenza d...

Perché cross compilare quando si può compilare nativamente?

Lavorando con architetture diverse mi trovo spesso a dover utilzzare uno stesso ...

Virtualizzazione di Windows XP o altri SO su Ubuntu con Qemu

I pc odierni sono sempre più potenti e molto spesso sotto sfruttati, la virtua...

LIM: la lavagna multimediale con il wiimote

LIM sta per Lavagna Interattiva Multimediale, ed è un progetto che, tramite l'...

Rete lenta? Vediamo chi consuma...

Molte volte capita di trovarsi la rete molto lenta e magari non abbiamo a dispos...

Cosino e la prototipazione rapida

Durante la mia più che decennale esperienza lavorativa con i sistemi embedded mi...

Valutare la sicurezza it

Sempre di più il mercato si accorge che anche le PMI hanno bisogno di una seria ...

Installare Linux su una USB key: ecco come!

L’installazione  e l'avvio di una distribuzione Linux Live da un supporto U...

Gimp, OpenOffice & C. su N900? Semplice con Debian!

Che Maemo fosse versatile me ne sono accorto subito, ma l'idea di poter installa...

munin: come ti controllo il server aziendale

In questi ultimi tempi il server che mantiene il nostro portale è sottoposto ad ...

Velocizzare la compilazione di Linux

Lavorando con sistemi embedded di diversa natura mi capita spessissimo di dover ...

WODE, l'emulatore DVD per la Wii

Qualche giorno fa mi è capitato di sfidare mio cognato ad una partitella a tenni...

OpenWRT: la distribuzione piccola e versatile

In queste ultime settimane ho avuto modo di vedere da vicino OpenWRT, una distri...

Programmare in C sull'N900

In questo articolo vedremo come sia semplice programmare in C sull'N900. In part...

Il settore danneggiato e l'acquisizione forense

Stampa E-mail
(4 voti, media 4.00 di 5)
Area Tecnica - Programmi di utilità
Scritto da Nanni Bassetti   
Domenica 17 Gennaio 2010 16:22

Se si deve acquisire un hard disk in maniera forense, ossia con tutti i crismi necessari al fine di garantire che la copia sia identica all'originale, a tutti quelli che operano nel settore viene subito in mente l'uso di DD, DCFLDD o DC3DD (nel mondo Open Source GNU/Linux), con le classiche opzioni e parametri.

Gli approcci sono due:

  1. Ottimistico (consideriamo il disco sano e tutti i settori sani).
  2. Pessimistico (consideriamo che il disco abbia qualche settore danneggiato)

Nel caso in cui l'approccio ottimistico sia sconfessato, perchè durante l'acquisizione ci si ritrova con degli errori di lettura, allora si tenderà a porsi nell'ottica pessimistica, a volte anche ricominciando tutto d'accapo.

Esaminiamo gli scenari:

dd if=/dev/sdb of=/media/sdc1/disco.dd conv=noerror,sync bs=32K

Il suscritto comando leggerà blocchi da 32Kb dal disco /dev/sdb e scriverà sul disco destinazione /media/sdc1 (montato in scrittura) il file disco.dd, l'opzione conv=noerror,sync serve a due cose:

  1. Noerror - indica a dd di non fermarsi di fronte ad eventuali errori di lettura, ignorando i blocchi illeggibili, ma questo, senza il sync, cambierebbe l'indirizzamento del disco, poichè l'immagine (disco.dd) del disco avrebbe una dimensione finale errata, inferiore a quella del disco originale.
  2. Sync - Il flag sync forza dd a scrivere i blocchi della dimensione prescelta (es. BS=32K) e se non ci sono abbastanza dati per riempire il blocco, quest'ultimo sarà riempito di zeri (0s padding). Questo crea un problema, il file immagine di destinazione avrà una dimensione multipla del BS prescelto. Es. se il disco origine è di 6Kb ed il BS=4K, il file immagine avrà come dimensione 8Kb.

Inoltre, con un BS=32K e conv=noerror,sync, se dovessimo incontrare dei settori danneggiati, che però appartengono al buffer di lettura di 32Kb, il dd così configurato andrebbe a riempire ben 32Kb di zeri, sacrificando anche i settori sani che potrebbero esserci in quei 32Kb.

Se ci sono solo due di settori danneggiati 512 bytes * 2 =1024 bytes = 1Kb, significa che i rimanenti 31Kb saranno azzerati, perchè dd ha letto un blocco da 32Kb ha incontrato degli errori ed ha fatto il riempimento di zeri su tutto il blocco letto.

Quindi la soluzione sarebbe quella di impostare dd con un BS=512, che è la misura minima di un settore, così da leggere il disco, settore per settore e nel caso uno di essi fosse illeggibile, sarebbe riempito di zeri (sync), mentre il settore successivo (leggibile) sarebbe letto correttamente, preservandone il suo contenuto.

dd if=/dev/sdb of=/media/sdc1/disco.dd conv=noerror,sync bs=512

Il problema di questa configurazione è che stressa di più gli hard disk, costringendoli a moltissime letture (sector by sector) e rende l'operazione più lenta.

Come risolvere?

Ci sono dei tools alternativi come ddrescue o dc3dd, che permettono di leggere blocchi di dimensioni maggiori di 512 bytes, ma nel momento in cui si trovano di fronte ad un errore, questi useranno il block size di dimensione minima, 512 bytes appunto e lo riempiranno di zeri.

DC3DD ha il default blocksize di 32768 bytes (32Kb), al fine di aumentarne la performance.

Il file immagine finale è calibrato sulla dimensione del disco sorgente indipendentemente dalla dimensione del blocco, così la dimensione del file immagine è esattamente la stessa, come se avessimo usato un BS=512. 

Sector Error Recovery

Quando si incontra un errore ed il block size è più grande del settore del device sorgente, e il parametro conv=sync,noerror è impostato, dc3dd cerca dalla fine all'inizio del blocco e prova a leggere ciascun settore indvidualmente, così i settori buoni saranno acquisiti e quelli cattivi saranno rimpiazzati dagli zero.

Questa caratteristica permette di acquisire le aree non danneggiate del disco a velocità maggiori, (dato che il BS=32K), senza perdere i blocchi di dati che circondano un bad sector.

Per attivare questa modalità è richiesto il direct I/O mode abilitato (iflag=direct su Linux, /dev/rdisk* su Mac OS X). 

dc3dd if=/dev/sdb of=/media/sdc1/disco.dd conv=noerror,sync bs=32k iflag=direct

oppure con ddrescue 

ddrescue -d -r3 /dev/sdb /media/sdc1/disco.dd log.txt

In sostanza il parametro iflag=direct o -d per ddrescue, serve a bypassare la Kernel Cache (pagecache)1 e accedere direttamente al disco (direct I/O), considerando così la dimensione minima del settore.

Chi volesse usare DCFLDD con direct access non può utilizzare il parametro iflag=direct, dato che dcfldd è un fork di dd, quindi non segue lo stesso sviluppo di quest'ultimo, ma può accedere al device sorgente in direct I/O tramite il /dev/raw (per questo documentarsi sul device raw in Gnu/Linux).

E' chiaro che per uso forense si tende ad usare di più uno strumento come DC3DD dato che ha anche caratteristiche di multiple hashing automatico, verifica, ecc.. Es.:

dc3dd if=/dev/sdb of=/media/sdc1/disco.dd conv=noerror,sync bs=32k iflag=direct progress=on hash=md5,sha1 log=log.txt vf=/dev/sdb verifylog=log_verifica.txt


 


1 La page cache è il luogo in cui il kernel mantiene in RAM una copia dei dati, per migliorare le prestazioni evitando l'I/O del disco, quando i dati che devono essere letti sono già in RAM. DC3DD è basato su DD, quindi iflag=direct funziona anche con DD.

 
 

Login

           | 

In primo piano

Un nuovo sponsor per il Portale

Un nuovo sponsor per il Portale

Vi sarete senz'altro accorti che il nostro portale, da qualche tempo, è molto più affidabile e reattivo....
Pubblicità mirata dei prodotti

Pubblicità mirata dei prodotti

Hai un prodotto o un servizio da pubblicizzare? Fallo su consulenti-ict.it! Pubblicizzare un prodotto...
Recensioni sul Portale

Recensioni sul Portale

Hai un prodotto hardware/software o un libro riguardante uno dei temi dell'ICT? Vuoi farlo conoscere...

Professionisti e Consulenti ICT

Dai un'occhiata al nostro Elenco dei Professionisti e Consulenti ICT.
Trova l'esperto informatico, elettronico o delle telecomunicazioni che fa per te!

Mappa dell'Italia Puglia Molise Campania Abruzzo Marche Lazio Umbria Basilicata Toscana Emilia Romagna Calabria

- ItaliaCMS

Offerte di lavoro

Visualizza Topic »

Rodolfo Giometti at Studio EnneEnne - GNU/Linux embedded systems
La casa vacanze in Toscana perfetta per famiglie e gruppi numerosi.

Discussioni dal Forum

Nessun post da visualizzare.

Eventi

Non ci sono eventi in programma

Sondaggi

busyCaricamento Sondaggio...