Bài giảng Pháp chứng kỹ thuật số - Bài 4: Các kỹ thuật che giấu và tiêu hủy dữ liệu trên máy tính - Đàm Quang Hồng Hải

Bài 4: Các kỹ thuật che giấu và tiêu hủy dữ liệu trên máy tính 
Giảng viên: TS. Đàm Quang Hồng Hải 
PHÁP CHỨNG KỸ THUẬT SỐ 
Chống điều tra kỹ thuật số 
Anti Forensics – chống điều tra kỹ thuật số là các kỹ thuật được sử dụng để đối phó để việc tìm kiếm và thu thập các chứng cứ số trong điều tra . 
Sử dụng các kỹ thuật làm ảnh hưởng đến sự tồn tại, số lượng và chất lượng của chứng cứ số thu được tại hiện trường vụ án, điều này làm cho việc phân tích và kiểm tra chứng cứ gặp khó khăn hoặc không thể thực hiện được . 
Mục đích của A nti forensic s 
	Các c ông cụ A nti F orensic khiến công việc truy hồi chứng cứ trong quá trình điều tra trở nên khó khăn hơn hoặc thậm chí là không thể thực hiện được. 
Các thủ đoạn chống điều tra kỹ thuật số 
Người ta chia các thủ đoạn chống điều tra kỹ thuật số ra các loại như sau: 
Che giấu các dữ liệu có chứng cứ số 
Xóa các chứng cứ số 
Làm sai lạc các dấu vết 
Dùng phần mềm chống các quy trình và các công cụ điều tra kỹ thuật số 
Che giấu các dữ liệu có chứng cớ 
Ẩn các dữ liệu có chứng cớ là quá trình làm cho dữ liệu khó tìm với người lạ trong khi cũng giữ nó dễ tiếp cận với người chủ để còn sử dụng trong tương lai. 
Mã hóa dữ liệu 
Kỹ thuật giấu dữ liệu 
Ẩn giấu các file dữ liệu 
Mã hóa dữ liệu 
Mã hóa ( Cryptography ) là một cách giấu dữ liệu thông dụng . Khi dữ liệu được mã hóa, người ta có thể sử dụng các thuật toán phức tạp để khiến dữ liệu khó có thể đọc được. 
Mã hóa có hai quá trình ngược chiều nhau là mã hóa (Encrypt) và giải mã (Decrypt) dựa vào một chìa khóa bí mật (key). 
Các thuật toán mã hóa càng phức tạp, càng mất thời gian giải mã nó mà không có mã số . Các thuật toán mã hóa có thể bị phá nhưng phải tốn nhiều thời gian và công sức. 
Mã hóa và giải mã dữ liệu 
Kỹ thuật mã hóa dữ liệu 
Thông thường khi mã hóa, người ta thiết lập mật khẩu cho tập tin hoặc thư mục , đây là cách an toàn nhất cho việc mã hóa và bảo vệ dữ liệu. Tập tin hoặc thư mục sẽ được mã hóa và chỉ có thể mở hoặc sử dụng bằng cách khai báo mật khẩu. 
Người ta hay dùng mã hóa các file bằng các phần mềm nén file (zip) có dùng mật khẩu. 
Nếu không có mã số , Pháp chứng viên sẽ phải sử dụng đến các chương trình chuyên dụng để có thể bẻ khóa. 
Mã hóa khi nén file zip 
Tạo một ổ đĩa logic mã hóa 
Người ta có thể tạo ổ đĩa ảo được mã hóa hoặc mã hóa toàn bộ một ổ đĩa logic của mình (bao gồm cả ổ cài đặt Windows). 
Dữ liệu được lưu trữ trên ổ đĩa đã được mã hóa (encryption volume) không thể đọc được nếu người dùng không cung cấp đúng khóa mã 
D ữ liệu tự động được mã hóa hoặc giải mã ngay khi được ghi xuống ổ đĩa đã được mã hóa hoặc ngay khi dữ liệu được nạp lên mà không có bất kỳ sự can thiệp nào của người dùng. 
M ã hóa phân vùng với TrueCrypt 
Kỹ thuật giấu dữ liệu 
Steganography - việc viết và chuyển tải các thông điệp một cách bí mật, sao cho ngoại trừ người gửi và người nhận, không ai biết đến sự tồn tại của các thông điệp này , là một dạng của bảo mật như là che giấu file chứa dữ liệu . 
Trong kỹ thuật ẩn giấu thông thường , thông điệp xuất hiện dưới một dạng khác trong quá trình truyền tải: hình ảnh, bài báo hoặc thông điệp ẩn có thể được viết bằng mực vô hình giữa các khoảng trống trong một lá thư bình thường. 
Yêu cầu về giấu dữ liệu kỹ thuật số 
Viết và chuyển tải các thông điệp một cách bí mật trên một đối tượng, sao cho ngoại trừ người gửi và người nhận, không ai biết đến sự tồn tại của thông điệp. 
Steganography cũng sẽ xảy ra hai quá trình ngược nhau là mã hóa (Encode) và giải mã (Decode) nhưng không cần thông qua chìa khóa nào cả, ai nắm được thuật toán sẽ lấy được thông tin bí mật. 
Đối tượng chứa thông điệp bí mật có thể là hình ảnh, audio, video, 
Giấu dữ liệu trong file hình ảnh 
N hững file hình ảnh có vẻ bình thường (như bức ảnh dưới ) nhưng bên trong nó có thể ẩn chứa những thông tin hoàn toàn bí mật 
Các phần mềm giấu dữ liệu 
Có nhiều phần mềm như: QuickStego, Steganography, OpenPuff 
Phần mềm QuickStego 
Website  
Phần mềm QuickStego cho phép người ta ẩn các văn bản trong hình ảnh như vậy mà chỉ có những người dùng khác của QuickStego có thể lấy và đọc các tin nhắn bí mật ẩn. 
Một khi văn bản được giấu trong một hình ảnh hình ảnh lưu vẫn là một "hình ảnh", nó sẽ tải giống như bất kỳ hình ảnh khác và xuất hiện như nó đã làm trước. 
Các hình ảnh có thể được lưu lại, gửi qua email, tải lên web, như trước đây, sự khác biệt duy nhất là nó có chứa văn bản ẩn. 
Ẩn giấu dữ liệu trong file 
Kỹ thuật ẩn giấu dữ liệu trong File hình ảnh 
Thay đổi các bit dữ liệu của hình ảnh bằng các bit của thông điệp bí mật sao cho mắt thường khó nhận ra sự thay đổi trên hình ảnh chứa thông điệp. 
Thuật toán cơ bản nhất là LSB (Least Significant Bit) để ẩn một thông điệp vào một tập tin ảnh bằng cách thay đổi Bit cuối cùng của các giá trị màu RGB trong bức ảnh bằng Bit của thông điệp bí mật. 
Thuật toán LSB 
Điều tra bằng Histogram 
So sánh Histogram giữa ảnh gốc và ảnh có giấu tin 
StegSpy-chương trình phát hiện message ( Hiderman, JPHideand Seek, Masker , JPegX) 
Phần mầm nhận biết file có chứa message 
Kỹ thuật giấu dữ liệu 
Kỹ thuật che giấu còn được dùng trong công nghiệp giải trí và phần mềm như một kỹ thuật đánh dấu (watermarking) trên các hình ảnh, âm nhạc hay phần mềm để : 
B ảo vệ bản quyền tác giả, 
N găn chặn mạo nhận, chống sao chép, 
X ác thực nội dung, 
C ho phép giám sát hay lần ngược dấu vết các bản sao bất hợp pháp. 
Ẩn giấu các file dữ liệu trên đĩa 
Dùng phần mềm chia file chứa dữ liệu ra thành các mục nhỏ khác nhau và giấu mỗi mục ở một file khác nhau. 
Những phần đĩa dư do các file không sử dụng hết dung lượng được gọi là slack space. Dùng phần mềm giấu file chứa dữ liệu bằng cách sử dụng slack space. 
Kỹ thuật ẩn giấu các file gây khó khăn rất lớn cho việc truy hồi và tập hợp những thông tin bị ẩn giấu . 
Cấu trúc của đĩa cứng 
A. Track 
B. Geometric Sector 
C. Track Sector 
D. Cluster 
Giấu dữ liệu trong slack space 
Tìm thông tin trên slack space với EnCase 
Giấu file trong các file 
C ó thể gi ấu một file bên trong file khác. 
Executable files –là những file máy tính chạy được có thể giấu trong các file khác 
Những chương trình được gọi là packer có thể lồng các executable file vào các file loại khác, trong khi các công cụ binder có thể gắn kết rất nhiều executable file lại với nhau. 
Xóa các chứng cứ số 
Sử dụng các phần mềm xóa sạch chứng cứ số qua đó loại bỏ vĩnh viễn các tập tin cụ thể hoặc toàn bộ File system . 
Việc xóa các chứng cứ số có thể được thực hiện thông qua việc sử dụng các phần mềm như: 
Phần mềm xóa sạch tập tin 
Phần mềm làm sạch đĩa, 
Công nghệ khử từ , xóa sạch ổ đĩa . 
Phần mềm xóa sạch tập tin 
File wiping utilities – Phần mềm xóa sạch tập tin được sử dụng để xóa các tập tin cá nhân từ một hệ điều hành. 
Ưu điểm của Phần mềm xóa sạch tập tin có thể hoàn thành công việc nhanh chóng . 
Một số phần mềm: BCWipe, R-Wipe & Clean, Eraser, Aevita Wipe & Delete, PrivacySuite. 
Phần mềm Privacy Suite của Cyberscrub 
Phần mềm làm sạch đĩa 
Disk cleaning utilities - Phần mềm làm sạch đĩa sử dụng nhiều phương pháp để ghi đè lên dữ liệu hiện có trên đĩa . 
Phần mềm làm sạch đĩa sẽ vĩnh viễn xóa sạch các file bị xóa và đảm bảo không thể đọc lại các thông tin 
Một số phần mềm thông dụng: TuneUp Disk Cleaner, DBAN (Darik's Boot and Nuke), BCWipe, KillDisk, PC Inspector, cyberCide. 
TuneUp Disk Cleaner 
Công nghệ khử từ , xóa sạch ổ đĩa 
Làm sai lạc các dấu vết 
Mục đích của làm sai lạc các dấu vết là để gây nhầm lẫn, nghi ngờ và làm chuyển hướng quá trình điều tra số . 
Làm sai lạc các dấu vết bao gồm một loạt các kỹ thuật và các công cụ như làm thay đổi thông tin đăng nhập, làm giả mạo và tạo thông tin sai lạc. 
Dùng phần mềm thay đổi M etadata ( lý lịch dữ liệu ) được đính kèm với file. Nếu M etadata đã bị hủy hoại, việc chứng minh bằng chứng trở nên khó khăn hơn. 
Phần mềm thay đổi Header của file 
Dùng phần mềm đánh lừa bằng cách thay đổi thông tin trong header của file. 
H eader thường được ẩn với mọi người nhưng nó thực sự quan trọng khi nó thông báo cho máy tính loại file mà nó đang được gắn với. 
Pháp chứng viên đang tìm kiếm một định dạng file cụ thể có thể bỏ qua thông tin quan trọng bởi Header của file đã bị thay đổi như không liên quan tới thông tin cần tìm kiếm. 
Phần mềm: Transmogrify 
File Header 
M etadata của file 
Metadata bao gồm thông tin giống như khi một file được tạo ra hoặc lần file được thay đổi cuối cùng. 
Sử dụng các phần mềm bảo vệ hệ thống 
Nghi phạm có thể dủng phần mềm cài trên máy chống các quy trình và các công cụ điều tra kỹ thuật số 
Sử dụng ứng dụng tự động xóa dữ liệu khi có người không được quyền truy cập hệ thống vào . 
Phần mềm tự xóa dữ liệu 
Các phần mềm giúp người chủ máy tính, Laptop hay thiết bị di động có thể hủy dữ liệu khi máy bị mất hoặc bị thu giữ. 
Chức năng tự xóa có thể là một chức năng của các phầm mềm chống mất cắp thiết bị. 
Các phần mềm có thể dùng: Prey, LaptopLock, LoJack, McAfee Anti-Theft, Adeona... 
Phần mềm chống mất cắp thiết bị 
Hết bài 4