사람들이 램에서 데이터를 어떻게 복구합니까?


11

그냥 궁금 해서요 법 집행 기관과 증거를 얻기 위해 램에서 범죄 한 데이터를 복구하지 않는 것에 대해 읽었지만 어떻게 처리합니까? 램 스틱에서 파일을 복구하려면 어떤 종류의 장비가 필요합니까?

답변:


10

칩을 고정하고 다른 컴퓨터에 넣고 linux 명령 dd를 실행하여 원시 데이터를 디스크에 복사하십시오.

원시 데이터를 확보 한 후 dd를 다시 사용하여 새 파티션에 복사하고 파티션에서 삭제 취소 프로그램을 실행하십시오. 삭제 취소는 인식 가능한 형식 (예 : 그림 등)에 해당하는 모든 파일을 가져와야합니다. 나머지는 추가 처리가 가능하지만 원하는 것을 알지 못하면 쉽게 처리 할 수 ​​없습니다.

나는 내가 이것을 직접했다는 것을 말할 수는 없지만 그것이 어떻게되었는지 상상하기는 어렵지 않습니다.

Daniel Beck이 댓글에 게시 한이 비디오를 확인 하여이 방법을 사용하여 하드 드라이브 암호화를 해독하는 방법을 시연하십시오.


3
이 게시판에는 Ed Felten CITP 사이트의 페이지에 대한 링크가 포함되어 있으며 주제에 대한 독창적 인 조사 결과가 있습니다.
Daniel Beck

이것은 "법 집행"이 아니며, 통제 된 조건에서 수행 할 수있는 것입니다. 이런 종류의 컴퓨터 액세스 (몇 분 및 일부 액체 질소)가 있으면 컴퓨터를 끄지 마십시오.
Nifle

@Nifle 근처의 표면에 고정되기 전에 컴퓨터를 끄는 데 상당한 관심을 가진 사람이있을 것입니다. 또한 그것은 최근의 연구이며, 그 중 상당수는 즉각적인 실제 적용에 관한 것이 아닙니다.
Daniel Beck

2
@Nifle은 사실이 아닙니다. 특별한 도구가 필요하지 않습니다. 에어 스프레이는 (칩 냉각) 캔과 USB 드라이브 또는 별도의 컴퓨터에서 실행되는 몇 가지 필요한 도구를 포함하는 최소한의 리눅스 설치만으로 충분합니다.
Evan Plaice

1
그러나 램으로 컴퓨터를 부팅하면 POST 중에 모든 것이 지워지지 않습니까?
steini

1

당신은 (실제로) 할 수 없습니다. 컴퓨터 전원이 꺼질 때 1 분 정도 지나면 충전 누출이 발생하여 "기억"상태를 유지하려면 RAM을 지속적으로 새로 고쳐야합니다.

양식 위키 백과

DRAM (Dynamic Random Access Memory)은 집적 회로 내에서 별도의 커패시터에 각 데이터 비트를 저장하는 랜덤 액세스 메모리 유형입니다. 실제 커패시터는 충전을 누설하기 때문에 커패시터 충전이 주기적으로 리프레시되지 않으면 정보가 결국 사라집니다. 이 새로 고침 요구 사항으로 인해 SRAM 및 기타 정적 메모리와 달리 동적 메모리입니다.

개인용 컴퓨터의 기본 메모리 ( "RAM")는 가정용 RAM (PlayStation, Xbox 360 및 Wii), 랩톱, 노트북 및 워크 스테이션 컴퓨터의 "RAM"과 같이 DRAM (Dynamic RAM)입니다.

DRAM의 장점은 구조적 단순성입니다. SRAM의 6 개 트랜지스터와 비교할 때 비트 당 하나의 트랜지스터와 커패시터 만 필요합니다. 이를 통해 DRAM은 매우 높은 밀도에 도달 할 수 있습니다. 플래시 메모리와 달리 전원이 꺼지면 데이터가 손실되므로 휘발성 메모리 (예 : 비 휘발성 메모리)입니다. 사용 된 트랜지스터와 커패시터는 매우 작으며 수백만 개의 메모리 칩에 적합합니다.


5
키워드는 "결국"입니다. 이 연구 논문 citp.princeton.edu/memory 는 RAM이 마더 보드에서 제거한 후에도 전원이 꺼진 후 몇 초에서 몇 분 동안 RAM의 내용을 유지한다는 것을 보여줍니다. 기계.
jg-faustus

2
@ jg-faustus 컴퓨터에 액세스 할 수 없다면 왜 꺼야합니까?
Nifle

5
@Nifle 잠겨 있으면 사용자가 현재 사용중인 파일을 볼 수 없습니다. 다시 시작하고 (Windows를 사용하는 경우) 드라이브가 암호화되지 않은 경우에만 암호를 해킹 할 수 있습니다. 올바른 도구와 새로 뽑은 램 칩으로 램을 읽어 하드 드라이브 암호화 키를 해독 할 수도 있습니다. 보안 및 법의학 분야에서 이러한 작은 기술은 매우 유용 할 수 있습니다.
Evan Plaice


6
@Evan-여전히 OP가 참조하는 "정상적인 상황"이라고 생각합니다. "경찰이 나타나서 컴퓨터를 가져갑니다." 가 아니라 "당신이 DHS 폭풍 아파트 몇 초 후에 컴퓨터를 종료 초 후에 그들은 당신의 컴퓨터는 휴대용 RAM 추출 실험실에서 해체했다"
Nifle

0

DRAM 셀은 전하를 저장합니다. 그들은 누출되어 언급했듯이 새로 고쳐야합니다.

제조 공차와 온도 및 구성 요소 수명의 영향으로 DRAM 셀을 새로 고치지 않으면 더 이상 읽을 수없는 실제 시간을 정의 할 수 있습니다. 주어진 DRAM 칩의 리프레시 사양은 실제로 최악의 값입니다. 20 년 이상 최대 온도에서 실행되는 월요일 생산 칩으로 데이터를 읽을 수있게하는 것입니다. 대부분의 경우 셀은 데이터를 훨씬 더 오래 유지할 수 있습니다.

또한 DRAM 칩 내부의 회로는 주어진 셀의 충전량을 "0"또는 "1"로 읽을 지 여부를 결정합니다 (일부 디자인에서는 반대로 충전 될 수 있음-낮은 충전은 "1"을 의미 함). "1"로 판독하기에 충분히 높지 않은 충전 내용은 여전히 ​​셀에 있습니다. 경우에 따라 사양을 벗어난 작동 전압으로 DRAM 칩을 실행하면 (스트레스가 발생하거나 느려질 수 있음) 1에서 0으로 결정된 임계 전압을 일시적으로 조작 할 수 있으므로 일부 또는 모든 셀을 다시 읽을 수있게됩니다.

또한 실제로 출력 레지스터가 없으면 양자화 된 (1 또는 0으로 전환 된) 출력 신호에서도 미묘한 전압 또는 파형 차이가있을 수 있습니다. 앰프는) 완벽한 양자화 기는 드물며, 특히 정밀하지 않은 속도로 구축 된 경우에는 더욱 그렇습니다.

또한 셀이 안정적으로 읽히더라도 결정된 공격자 또는 법의학자는 여전히 통계를 자신의 이점으로 사용할 수 있습니다 (0 또는 1을 몇 번 읽었는지 상관 관계를 계산하십시오) ...

당사 사이트를 사용함과 동시에 당사의 쿠키 정책개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.