latexandmore/FFI/ForensInf2_Zusammenfassung.tex
Moritz Eckert e034ac4b21 Fix typo
2019-03-15 13:29:01 +01:00

639 lines
38 KiB
TeX
Raw Permalink Blame History

This file contains ambiguous Unicode characters

This file contains Unicode characters that might be confused with other characters. If you think that this is intentional, you can safely ignore this warning. Use the Escape button to reveal them.

\documentclass{article}
\usepackage{amsmath}
\usepackage{nccmath}
\usepackage{graphicx}
\usepackage{hyperref}
\usepackage[ngerman]{babel}
\usepackage[utf8]{inputenc}
\usepackage{csquotes}
\usepackage[missing=no-git-metadata-found]{gitinfo}
\DeclareMathSizes{10}{10}{10}{10}
\newcommand{\xhspace}[0]{\noindent\hspace*{5mm}}
\setlength{\parindent}{0pt}
\title{Konfl\"unz}
\date{ }
\begin{document}
\section*{Anmerkungen}
Dieses Dokument wird auf $\;$\href{https://gitlab.cs.fau.de/ik15ydit/latexandmore}{https://gitlab.cs.fau.de/ik15ydit/latexandmore}$\;$ maintain't. Au\ss erdem Vorsicht: Die Vorlesungen k\"onnen sich von Jahr zu Jahr deutlich unterscheiden. \\ \\
\textbf{Generated by texlive on: \today}
\section{Begriffserkl\"arungen}
\subsubsection*{Kriminalistik}
Verhinderung, Aufdeckung und Aufkl\"arung von Kriminalit\"at (Naturwissenschaften/
Ingenieurwesen)
\begin{itemize}
\item Verbrechenstechnik (Wie wird das Verbrechen ausgef\"uhert?)
\item Kriminaltechnik (Einbringung von Sachbeweisen)
\item Kriminaltaktik (Planm\"a\ss iges und fallorientiertes Vorgehen, z.B.
Fahndung, Vernehmung, etc.)
\item Organisation der Verbrechensbek\"ampfung
\item Kriminalpsychologie (Schuldf\"ahigkeit, Motivforschung)
\end{itemize}
\subsubsection*{Kriminologie}
Erforschung von Ursachen und Erscheinungsformen von Kriminalit\"at (Sozialwissenschaft/Psychologie)
\section{Qualivative Probability}
\subsubsection*{Vorbedingungen:}
\begin{itemize}
\item $H_1$ Person A war am Tatort
\item $H_2$ Person A war \textbf{nicht} am Tatort
\end{itemize}
\subsubsection*{M\"ogliche Fahndungs-Ergebnisse:}
\begin{itemize}
\item $E_1$ es gibt Beweise, dass Person A am Tatort war
\item $E_2$ es gibt \textbf{keine} Beweise, dass Person A am Tatort war
\end{itemize}
\textbf{Wahrscheinlichkeit, dass die Vorbedingungen $H_{1,2}$ im Angesicht bestimmter Ergebnisse korrekt sind.}
\[ Prob_1( E_1 | H_1 ) \hspace{2cm} Prob_2( E_1 | H_2 ) \]
\[ Prob_3( E_2 | H_1 ) \hspace{2cm} Prob_4( E_2 | H_2 ) \]\\
\textit{Also wie wahrscheinlich sind also die Kombinationen:}\\\\
\begin{tabular}{|c|c|c|}
Person A am Tatort & Beweise & Wahrscheinlichkeit \\\hline
Ja & Ja & $Prob_1$ \\
Ja & Nein & $Prob_2$ \\
Nein & Ja & $Prob_3$ \\
Nein & Nein & $Prob_4$ \\
\end{tabular}
\subsubsection*{St\"arke/Aussagekraft von Beweisen}
\[ Staerke\;des\;Beweises = \frac{Prob_1( E_1 | H_1 )}{Prob_2( E_1 | H_2 )} \]\\
Also z.B. wenn die Wahrscheinlichkeit von $Prob_1$ (war am Tatort und Beweise vorhanden) gleich
$0.4$ und $Prob_2$ (war am Tatort und keine Beweise vorhanden) gleich $0.6$ w\"are die St\"arke
des Beweises $0.66$. Offensichtlicherweise, wenn nun $Prob_1 >> Prob_2$ ist der Beweis sehr
stark. Mit der gleichen Logik gilt f\"ur das Nichtvorhandensein von Beweisen das Gegenteil, also
das wenn $Prob_3 >> Prob_4$ der Beweis sehr schwach ist.
\section{Flash-Speichertechnologie}
\subsection{NAND-Flash-Speicherzelle}
\noindent \includegraphics[width=\textwidth]{pics/nand-speicherzelle.png}
\begin{itemize}
\item NAND-Speicher bestehen aus Transistoren
\item Durch Oxid-Schicht elektrisch isoliertes Gate, dessen Ladung durch den Quanten-mechanischen Tunneleffekt Auswirkungen hat auf die Source-Drain-Strecke
\item Ladung des Gates bewirkt eine Änderung (Erhöhung) der Schwellspannung, bei der der Transistor auf der Source-Drain-Strecke leitend wird.
\item Schreiben (Programmieren) der Speicherzelle: das Einbringen von Elektronen auf das Floating Gate (Zustand: logische \enquote{0})
\item Löschen der Speicherzelle: das Entfernen von Elektronen von dem Floating Gate (Zustand: logische \enquote{1})
\item Lesen einer logische \enquote{0}: die Source-Drain-Strecke ist nicht leitend beim Anlegen einer Spannung oberhalb der \enquote{normalen} Schwellspannung
\item Lesen einer logische \enquote{1}: die Source-Drain-Strecke ist leitend beim Anlegen einer Spannung oberhalb der \enquote{normalen} Schwellspannung
\item Bei einem Löschzyklus durchtunneln die Elektronen die Oxidschicht. Dafür sind hohe Spannungen erforderlich.
\item Dadurch wird bei jedem Löschvorgang die Oxidschicht, die das Floating-Gate umgibt, ein klein wenig beschädigt (Degeneration, \enquote{wear out}).
\item nach einer endlichen Anzahl von Schreib- und Löschvorgängen nimmt die Zahl der Elektronen, die die Isolierungsschicht durchqueren können, ab
\item Resultat: Schwellspannung beim Lesevorgang zeigt keinen ausreichenden Unterschied, um zwischen 0 und 1 zu unterscheiden.
\item Unterscheidung Page vs. Block
\begin{itemize}
\item Page: kleinste Einheit, die geschrieben werden kann (\"ublich 2-16 KiB)
\item Block: kleinste Einheit, die gel\"oscht werden kann (üblich 4-8 MiB)
\item Grund: Der Löschvorgang erfordert das Anlegen einer hohen Spannung in mehreren Schritten, die Abschirmung benachbarter Bereiche von Zellen vor ungewollter Beeinflussung sowie das Überprüfen (Lesen) aller Zellen, ob der Löschvorgang erfolgreich war.
\end{itemize}
\item Billige Chips verwenden meist Multi Level Cell (MLC) oder Three Level Cell (TLC): Anstatt einem Spannungsthreshold unterscheidet man 2 bzw. 3 und kann so mehrere Bit mit einer Speicherzelle darstellen bzw. speichern. Das spart Platz und Material, die Spannungsunterschiede sind aber nicht mehr so zuverl\"assig zu unterscheiden und dementsprechend auch schneller anf\"alliger f\"ur wear-out.
\end{itemize}
\subsection{Flash-Speicherformate}
\begin{itemize}
\item Solid State Drives (SSDs)
\item USB-Sticks
\item Speicherkarten
\item Wichtige Standards
\begin{itemize}
\item Multimedia Card (MMC)
\item Secure Digital (SD)
\item Universal Flash Storage (UFS)
\end{itemize}
\end{itemize}
\subsubsection{embedded MMC (eMMC)}
\begin{itemize}
\item Speichermedium als interner Datenspeicher in mobilen Ger\"aten
\item Speicherkarte als Chip, werden in Smartphones verbaut, oft auch als Chip in USB-Speichersticks
\item Standardisiert von JEDEC (2015: v.5.1 (JESD84-B51))
\item 64 Befehle mit 32 Bit Parameter
\item Beispiel TRIM/Secure TRIM seit v.4.4
\begin{itemize}
\item While it is similar to ATA TRIM, the manufacturer can define what is returned after a read (kein DRAT oder DZAT)
\item Secure TRIM muss zus\"atzlich sofort ausgef\"uhrt werden und kann nich delayed werden
\item More similar to ATA TRIM is \enquote{discard} (since v.4.5) (Habe nichts gefunden was diese Behauptung st\"utzt)
\end{itemize}
\item eMMC Chips werden of recycelt, z.B. Handy-Speicher wiederverwendet in USB-Sticks
\item Je nach Standard ist sicheres L\"oschen der Daten vorher m\"oglich
\item Nicht alle Hersteller f\"uhren sicheres L\"oschen auch durch
\item $->$ Daten k\"onnen wiederhergestellt werden
\end{itemize}
\section{Live-Analyse}
\subsubsection*{Fl\"uchtige Spuren}
\begin{itemize}
\item Im engeren Sinne: Informationen/Spuren die selbst bei dauerhafter Stromzufuhr nicht erhalten bleiben.
\begin{itemize}
\item Inhalte Cache, CPU-Register
\item Netzwerkverkehr, Puffer in Netwerkhardware
\end{itemize}
\item Im weiteren Sinne: Bleiben nur mit einer entsprechenden Stromzufuhr dauerhaft gespeichert
\begin{itemize}
\item Hauptspeicher, offene Netzwerk Verbindungen (wenn nicht von anderer Seite beendet)
\item laufende Prozesse, angemeldete Benutzer, offene Dateien
\end{itemize}
\item Alle anderen werden als \textit{persistent} bezeichnet.
\end{itemize}
\textit{Spuren m\"ussen:}
\begin{itemize}
\item identifiziert
\item gesichert
\item falls eine Sicherung nicht m\"oglich ist, dokumentiert werden
\end{itemize}
\subsubsection*{Gr\"unde f\"ur Live-Analyse}
\begin{itemize}
\item Beschleunigung der Tot-Analyse
\item Sicherung von sonst verlorenen Spuren
\item Umgehung von Festplattenverschl\"usselung
\end{itemize}
\subsubsection*{M\"oglichkeiten}
\begin{itemize}
\item Nutzung der Hardware des zu untersuchenden Systems (Live-CD)
\item Nutzung von Hardware \textbf{UND} Software
\end{itemize}
\subsubsection*{Probleme}
\begin{itemize}
\item System wird ver\"andert
\item Aktivit\"aten m\"ussen dokumentiert werden (z.B. Videoaufzeichnungen)
\item System kann sich wehren (bei Nutzung des Betriebssystemes sowieso, aber im
schlimmesten Fall auch die Hardware)
\item Einige, z.B. Rootkits, k\"onnen im laufenden Betrieb nicht zuverl\"assig erkannt werden
\item Nur ein Versuch, keine Wiederholung, deshalb evtl. Videoaufzeichung oder Vier Augen-Prinzip
\end{itemize}
\subsubsection*{Sniffing}
Mitlesen des Netzwerkverkehrs, nur schwer bis gar nicht durch Maleware manipulierbar, allerdings Verschl\"usselung m\"oglich, was wiederum bedeutet, dass nur Metadaten gesammelt werden k\"onnen.
\begin{itemize}
\item LAN-Sniffing
\begin{itemize}
\item Mirror/Monitorport am Switch/Router
\item LAN/Ethernet Tabs
\item Switch-Jamming oder ARP-Spoofing
\end{itemize}
\item WLAN-Sniffing
\begin{itemize}
\item Aufsp\"uren von Netzen: Aktiv (Probe-Request), Passiv (Monitor-Mode)
\item Sniffing von Traffic in verbundenem (evtl. verschl\"usseltem) Netz: Promiscuous Mode
\end{itemize}
\end{itemize}
\subsection{Hauptspeichersicherung}
\begin{itemize}
\item eingesetzte Werkzeuge sollen System nicht ver\"andern (Integrit\"at)
\item gesicherte Information sollen den RAM korrekt repr\"asentierten (Korrektheit)
\item Sicherung soll nicht durch durch laufende Aktivit\"aten beeinflusst (Atomarit\"at)
\end{itemize}
Man muss bedenken, dass sich der Hauptspeicher im laufenden System st\"andig \"andert und
eigentlich nie Atomar gedumpt werden kann. Deshalb dumpt man in der Regel Teile, die zusammen
mit einem Zeitstempel gespeichert werden.\\\\
\textit{Ein Hauptspeicherabbild ist korrekt, wenn alle Werte, die das Abbild enth\"alt, die
Werte sind, die zum Speicherzeitpunkt an der entsprechenden Stelle im Hauptspeicher standen.}\\\\
Damit ist ein Abbild konsistent, wenn das Hauptspeicherabbild, das oft als \textit{Schnitt}
bezeicht korrekt ist.
\subsubsection*{Technische M\"oglichkeiten}
\noindent \includegraphics{pics/RAM-Sicherung.png}
\begin{itemize}
\item Hardware (DMA)
\begin{itemize}
\item Vorteil: Keine Interaktion mit dem OS, Int\"agrit\"at des RAMs wird gewahrt
\item Nachteil: Braucht Hardware-Zugriff
\item Meist Zugriff auf DMA-f\"ahigen Bus
\item z.B. Tribble (PCI card) oder FireWire bus
\end{itemize}
\item Software
\begin{itemize}
\item Linux-sysfs (/dev/mem) + Data Dumper (dd)
\item Linux /dev/mem ist etwas broken kriegt man aber mit kernel-modules gebacken
\item Crashdumps unter Windows
\item Modul Hijacking unter Linux
\item Snapshot bei VM (Nur bei VMs)
\end{itemize}
\end{itemize}
Aus dem Hauptspeicher-Abbild kann der Systemzustand nachvollziehbar rekonstruiert werden oder
einfach nach \textit{strings} oder \textit{magic-bytes} gesucht werden.
\subsubsection*{Hauptspeicherdumps auf MAC}
Relevantes Paper: \textit{Visualization in Testing a Volatile Memory Forensic Tool}
\begin{itemize}
\item kein /dev/mem mehr auf neueren Mac's, funktioniert nicht (richtig) ohne bestimmte \
Boot-Flags und funktioniert nicht auf einigen Intel-iMacs
\item auf \"alteren MACs produziert ein \textit{dd} auf /dev/mem ein korrektes und
konsistentes Haupspeicherabbild, allerdings auf Kosten von verloren (nicht mehr genutzten,
aber vielleicht trotzdem noch interessanten) Speicherseiten
\end{itemize}
\subsubsection*{Dotplot}
Die meisten Fehler in forensischen Tools sind systematischer Natur.
Die Autoren des Papers haben effektiv jede Speicherseite gehasht und die resultierenden Hashes an X/Y-Achse aufgetragen und alle identischen \textit{('\"ahnlichen')} Felder schwarz markiert.\\\\
Der Fall dass zwei Seiten im Speicher die gleiche SHA-Sum haben kann eigentlich (0er und 1er-Seiten weggefiltert) nicht sein bzw. ist sehr unwahrscheinlich.
Das bedeutet, wenn zwei Seiten den gleichen Hash haben aka schwarz sind, muss das Tool in irgendeiner Weise daf\"ur verantwortlich sein.
Das Tool \textit{dd} zum Beispiel cached die aus dem Hauptspeicher gelesenen Daten und schreibt diese somit ein zweites mal in den Hauptspeicher.
\textbf{Long story short: Nutzlose, aber ganz lustige Spielerrei um Probleme mit forensischen
Tools die das System beeinflussen zu zeigen. Pr\"adikat 'nicht lesenswert'.}
\subsubsection*{Evalution von Live-Analyse Techniken}
\begin{itemize}
\item zwei identische VMs aufsetzen und Speicher in festen Abschnitten dumpen
\item m\"ogliche Unterschiede beider VMs ohne Interaktion \"uberpr\"ufen (vorhanden aber
gering)
\item auf der einen Live-Analyse starten auf der anderen nicht $->$ Unterschied = Impact der
Untersuchung
\item suprise, Unterschiedliche Tools, unterschiedlich viel Impact
\end{itemize}
\begin{itemize}
\item das gleiche geht auch mit Xen aka dem Ersetzen aller relevanten Aufrufe durch
Hypervisor-Calls die man dann einzeln analysieren kann, am Ende auch nichts anderes als
eine VM, nur dass man jeden einzelnen Speicher-/Systemaufruf sieht (bzw. generell jeden
Aufruf den man sehen will).
\end{itemize}
\noindent \includegraphics{pics/Integritybymemsize.png}\\
Ziehmlich dumme Grafik, denn was man hier wirklich sieht, ist dass der Memory-Footprint des
Tools gleich bliebt, was nat\"urlich bedeutet, dass er relativ zum Gesamtspeicher einen
kleineren Impact hat, mit gr\"osserem der Speicher also der Anteil des Unver\"anderten
Speichers steigt. \textit{(Bild aus Folien S.99)}
\subsubsection*{Messung von Atomarit\"at}
\begin{itemize}
\item ein Programm schreibt f\"ur gewisse Zeitscheiben bestimmte Werte in den Speicher,
umso weniger verschiedene dieser Werte wir sehen umso Atomarer ist der Vorgang.
\end{itemize}
\section{Anwendungsanalyse}
Zwei generelle Methoden:
\begin{itemize}
\item Ereignismethode
\begin{itemize}
\item Anwendungen ausf\"uhren und Aktivit\"aten nachvollziehen
\item Pr\"azise, aber oft unvollst\"andig
\item H\"aufig erste Schritt um schnell interessante Dateien zu ermitteln
\item Tools: sysinternal-Tools wie filemon oder regmon
\end{itemize}
\item Zustandsmethode
\begin{itemize}
\item Schnappsch\"usse des Dateisystems vergleichen
\item Vollst\"andig, aber mit Rauschen
\item H\"aufig zweiter Schritt um identifizierte Dateien zu best\"atigen oder Dateiformate zu verstehen
\item Tools: fiwalk, idifference, SandboxTools (u.a. Cukoo)
\end{itemize}
\end{itemize}
\subsection{Browser-Analyse und -Spuren}
Spuren die beim Aufrufen einer Webseite im Browser entstehen:
\begin{itemize}
\item Eintrag der eingegebenen URL in der Browser-History Datei
\item Eintrag weiterer \enquote{nachgeladener} URLs in der Browser-History Datei
\item Gecachte Objekte wie html, javascript oder Bilder im Browser-Cache
\item Cookies
\item Potentiell auch gecachte DNS-Eintr\"age auf dem System oder im Netzwerk
\end{itemize}
Im \textit{private browsing}-Mode vieler Browser verhindern dass Cookies-, History- oder Cache-Eintr\"age w\"arend des Browsens enstehen.
Potentiell enstehen trotzdem folgende Spuren:
\begin{itemize}
\item Objekte aus Webseiten die noch im Hauptspeicher zu finden sind, mittels Live-Analyse
\item Passive DNS-Replikationen in der DNS-Route oder DNS-Cache auf dem System
\item Browser-Extensions die Informationen zur private-Mode Sessions leaken
\item Teilweise werden Informationen w\"arend der private-Mode Session gespeichert und erst beim Beenden der Session gel\"oscht, dies k\"onnte jedoch reversibel sein, oder bei Crashes erst gar nicht stattfinden
\end{itemize}
Um Webanwendungen zu Analysieren l\"asst sich wie bei der Anwendungsanalyse die Ereignis- oder Zustandsmethode f\"ur die Browser-Applikation verwenden.
Zus\"atzlich lassen sich mittels Tools wie der Burp-Suite gezielt das Verhalten der Webanwendungen mittels der Ereignismethode analysieren.
Hierf\"ur wird meist ein Proxy verwendet durch den die Analyseumgebung alle Requests und Responses und somit auch alle Objekte der Webanwendung mitschneidet.
\subsubsection{Browser Fingerprinting}
Browser Fingerprinting nach Panopticlick:
\begin{quote}
\enquote{Browser fingerprinting} is a method of tracking web browsers by the configuration and settings information they make visible to websites, rather than traditional tracking methods such as IP addresses and unique cookies.
The site you are visiting may choose to analyze your browser using JavaScript, Flash and other methods (just like Panopticlick does). It may look for what types of fonts you have installed, the language youve set, the add-ons youve installed, and other factors. The site may then create a type of profile of you, tied to this pattern of characteristics associated with your browser, rather than tied to a specific tracking cookie.
If your browser is unique, then its possible that an online tracker can identify you even without setting tracking cookies. While the tracker wont know your name, they could collect a deeply personal dossier of websites you visit.
\end{quote}
\section{Versteckte Daten in Dokumenten}
\begin{itemize}
\item \"Anderungshistorie von (Word-)Dukumenten
\item Versteckte Felder (Druckerinformationen, Benutzernamen, Versionsnummer etc..)
\item "geschw\"arzter" Text in PDF-Dokumenten (bekommt man potentiell noch aus dem
Postscript raus)
\item Thumbnails/unbekannte EXIF-Daten (nach Zuschneiden eines Bildes kann eine Version
des urspr\"unglichen Bildes noch in den EXIF-Daten vorhanden sein, weil das
Bildbearbeitungsprogramm diese, z.B. nicht parsen konnte)
\item Informationen \"uber Kamera und verwendete Software
\item thumbd.db/Windows.edb (Tumbnails/Desktop-Search-Savefile)
\end{itemize}
\section{Spuren in Multimediadaten}
\subsection{Authentizitätsprüfung und Ursprungsger\"aterkennung bei Bildern}
\subsubsection*{Ansatzpunkte}
\begin{itemize}
\item Geometrie der Szene
\item Licht/Schatten
\item Brechfehler in der Linse
\item spezifisches Rauschen eines Sensors
\item Interpolationsart unvollst\"andiger Sensordaten in einer Kamera (die Daten von
Kamerasensoren werden oft interpoliert um hohere Aufl\"osungen zu faken)
\item Doppelkompression, Resampling/Splicing (Zusammenf\"ugen zweier Bilder)
\end{itemize}
\subsubsection*{Copy-Move}
Es ist oft unwahrscheinlich, dass gleiche Bereiche von Pixeln (also Teilbilder)
mehrmals im Bild vorkommen, findet man so etwas doch, ist das ein Hinweis auf eine
F\"alschung. (bei der Automatisierung kann man das durch Beschr\"ankung auf Intensit\"aten
oder Farben vereinfachen)\\
Sonstige Erkennenung durch:\\
\begin{itemize}
\item DCT-Transformation
\item Zernike-Momente
\end{itemize}
\subsubsection*{Fertigungsunterschiede bei Sensoren}
\textbf{In der Theorie}
\[ Pic = SensorVariance( Motive + Diskretisierungsrauschen ) + Dunkelstrom + SonstigesRauschen \]
\textit{Als Dunkelstrom bezeichnet man den Strom in einer Photodiode der auch ohne das
Auftreffen von Photonen entsteht.}\\
Das eigentlich interessante ist die Sensor Variance, die in den Folien Photo Response
Non-Uniformity genannt wird. Sie ist charakteristisch f\"ur einen Sensor und stellt
einen Fingerprint der Kamera da. Stichwort zum Herrausrechnen der Faktoren die uns
nicht interessieren ist \textit{Flat field correction} (Aufnahme in ausgeleuchteten
Raum und dunklem Raum).
\textbf{But How...}
\begin{itemize}
\item alle Bilder Tiefpass filtern, denn die Frequenz des Rauschens ist h\"oher als
die Freq\"unz des Bildinhaltes
\item alle getiefpassten Bilder Mitteln
\item ????
\item Profit.
\end{itemize}
Bildrotation- oder Skalierung f\"uhrt zu anderem Fingerabdruck.
('Desynchronisationsangriff')
\subsubsection*{Resampling Artefakte}
Wir gehen davon aus, dass ein Bild welches in ein anderes eingef\"ugt wird vorher oft
gedreht oder skaliert werden muss.
\begin{itemize}
\item Skalierung oder Rotation ist effektiv eine Interpolation
\item Interpolation f\"uhrt zu einer linearen Abh\"angigkeit in Pixelintensit\"aten
\item Berechnung einer Wahrscheinlichkeit f\"ur jeden Pixel, dass er aus den
Nachbarpixeln interpoliert wurde \textit{(p-map)} und Fourier-Transformation auf
die relevante Region
\item JPEG-Kompression kann \textit{p-map} dominieren
\item Spurenverschleierung duch Pixel-Distortion m\"oglich (z.B. Pixel in
Einzelfarben aufteilen und nochmal dr\"uber Interpolieren)
\end{itemize}
\subsubsection*{Lichteinfall}
Kann man v\"ollig vergessen es aus den Folien zu verstehen, das Paper lohnt hier:
\textit{'Exposing Digital Forgeries in Complex Lighting Environments'}. In a Nutshell:
Sie approximieren Lichtquellen und schauen dann ob der Lichteinfall auf allen
Oberfl\"achen konsistent ist.
\section{Jura-Teil}
\subsection{Erm\"achtigungsgrundlagen f\"ur Onlinedurchsuchung}
\begin{itemize}
\item Strafverfolgung $->$ Repression, konkrete Straftat als Anlass (Strafprozessrecht$->$Bundesrecht)
\item Gefahrenabwehr $->$ Pr\"avention, konkrete Gefahr als Anlass (Polizeirecht$->$Landesrecht, Ausnahme: BKA-Gesetz$->$Bundesrecht)
\end{itemize}
\subsection{Paragraphen zur Strafverfolgung}
\subsubsection*{\S \S 100a Strafprozessordnung ((Quellen-)Telekommunikations\"uberwachung)}
\begin{itemize}
\item Auch ohne Wissen der Betroffenen darf die Telekommunikation überwacht und
aufgezeichnet werden, wenn:
\begin{itemize}
\item bestimmte Tatsachen den Verdacht begr\"unden, dass jemand als T\"ater oder
Teilnehmer eine in Absatz 2 bezeichnete schwere Straftat begangen, in F\"allen, in
denen der Versuch strafbar ist, zu begehen versucht, oder eine Straftat
vorbereitet hat,
\item die Tat auch im Einzelfall schwer wiegt und
\item die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes des
Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos w\"are.
\end{itemize}
\item Die Überwachung und Aufzeichnung der Telekommunikation darf auch in der Weise erfolgen, dass mit technischen Mitteln in von dem Betroffenen genutzte informationstechnische Systeme eingegriffen wird, wenn dies notwendig ist, um die Überwachung und Aufzeichnung insbesondere in unverschlüsselter Form zu ermöglichen.
Auf dem informationstechnischen System des Betroffenen gespeicherte Inhalte und Umstände der Kommunikation dürfen überwacht und aufgezeichnet werden, wenn sie auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz in verschlüsselter Form hätten überwacht und aufgezeichnet werden können.
\end{itemize}
\subsubsection*{\S \S 100b Online-Durchsuchung}
\begin{itemize}
\item Auch ohne Wissen des Betroffenen darf mit technischen Mitteln in ein von dem Betroffenen genutztes informationstechnisches System eingegriffen und dürfen Daten daraus erhoben werden (Online-Durchsuchung), wenn
\begin{itemize}
\item bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder Teilnehmer eine in Absatz 2 bezeichnete besonders schwere Straftat begangen oder in Fällen, in denen der Versuch strafbar ist, zu begehen versucht hat,
\item die Tat auch im Einzelfall besonders schwer wiegt und
\item die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes des Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos wäre.
\end{itemize}
\end{itemize}
\subsubsection*{\S \S 100c, 100d StPO - Gro\ss er Lauschangriff (Akustische Wohnraumüberwachung)}
Betrifft die \"uberwachung eines gesamten (privaten) Wohnraums,
im Gegensatz zu \S \S 100f dem ("kleinen Lauschangriff") akustischen \"Uberwachen von \"offentlichen R\"aumen und ist an \"ahnliche Vorraussetzungen wie die Online-Durchsuchung gebunden.
Es gelten strenge Vorschrifte, welche R\"aume abgeh\"ort werden d\"urfen und private Informationen m\"ussen gel\"oscht werden.
\S \S 100d definiert den "Kernbereich privater Lebensgestaltung" und bezieht sich dabei auf \S \S 100a-c.
Dieser Kernbereich unterliegt besonderem Schutz und darf nicht alleiniges Ziel der Erkenntnisse darstellen.
Zudem m\"ussen Ma\ss{}nahmen nach \S \S 100b Daten aus diesem bereich m\"oglichst vermeiden und Ma\ss{}nahmen nach \S \S 100a,c d\"urfen diese Daten nicht verwerten.
\subsubsection*{\S \S 100e Verfahren bei der Telekommunikations\"uberwachung}
Das Vorgehen bei einer \"Uberwachung, in a Nutshell, immer erstmal auf drei Monate
befristet, Staatsanwalt kann bei Gefahr im Verzug anordnen, Gericht muss best\"atigen.
Telekomunikationsunternehmen m\"ussen kooperieren.
\subsubsection*{\S \S 100f Kleiner Lauschangriff (Akustische \"Uberwachung au\ss{}erhalb von Wohnraum)}
Interessant ist hier der Unterschied zu \S \S 100c, gut zu vergleichen mit dem Unterschied zwischen \S \S 100 a und b.
\subsubsection*{\S \S 100g Erhebung von Verkersdaten}
\"Ahnlich zu \S \S 100a, anstatt Inhalt \enquote{nur} Verkehrsdaten
\subsubsection*{\S \S 100j Bestandsdatenauskunft}
Wichtig auch hier ist eine gerichtliche Anordnung zwingend. Bei Gefahr in Verzug auch durch Staatsanwaltschaft m\"oglich.
\subsubsection*{\S \S 101 Verfahrensregelung bei verdeckten Ma\ss{}nahmen}
Grunds\"atzliche Verfahrensregeln.
Nach Einstellung der Ma\ss{}nahmen m\"ussen Betroffene grunds\"atzlich \"uber diese Informatiert werden, sodass sie in der Lage sind die Rechtm\"a\"Sigkeit dieser zu \"uberpr\"ufen.
\subsubsection*{\S \S 102-110 Ebenfalls Strafprozessordnung}
\url{https://dejure.org/gesetze/StPO/102.html} \\
\begin{itemize}
\item \S \S 102 Durchsuchung bei Beschuldigten
\item \S \S 103 Durchsuchung bei anderen Personen
\item \S \S 104 Durchsuchung von R\"aumen zur Nachtzeit
\item \S \S 105 Verfahren bei der Durchsuchung
\item \S \S 106 Hinzuziehung des Inhabers eines Durchsuchungsobjekts
\item \S \S 107 Durchsuchungsbescheinigung und Beschlagnahmeverzeichnis
\item \S \S 108 Beschlagnahme anderer Gegenst\"ande
\item \S \S 109 Kenntlichmachung beschlagnahmter Gegenst\"ande
\item \S \S 110 Durchsicht von Papieren und elektronischen Speichermedien
\end{itemize}
Interessant hier: Daten d\"urfen gesichert/durchgesehen werden, wenn sonst ein Verlust
selbiger zu bef\"urchten ist.
\subsubsection*{\S \S 5, 51 BKA Gesetz - \enquote{Quellen-TK\"U})}
Viele Kommunikationsprogramme nutzen eine Verschlüsselung ihrer Kommunikationsdaten und -inhalte, die ohne aktives Handeln des Nutzers im Hintergrund arbeitet.
Telekommunikationsinhalte in verschlüsselter Form können in vielen Fällen durch die klassische Form der Telekommunikationsüberwachung (TK\"U) nicht ausgewertet werden.
Dies lässt aber die notwendigen und gesetzlich auch zulässigen Maßnahmen der TK\"U bei der Verfolgung schwerer Straftaten oder der Abwehr von Gefahren für hochwertige Rechtsgüter ins Leere laufen.
Die Quellen-TK\"U ist eine besondere Form der TK\"U, die Kommunikation erfasst, bevor diese verschlüsselt wird oder nachdem diese entschlüsselt wurde bzw. die Entschlüsselung ermöglicht.
Es werden keine Informationen erlangt, die nicht auch durch eine "konventionelle" TK\"U erlangt würden.
In der Gerichtsakte finden sich die gleichen Gesprächs- bzw. Chatprotokolle wie sie auch bei der klassischen Telefonie erstellt werden.
Für die effektive Durchführung von Ermittlungen, insbesondere im Bereich des Terrorismus und der Organisierten Kriminalität, ist das Instrument der Quellen-TK\"U unverzichtbar.
Gesetzlich ist die Maßnahme der Quellen-TK\"U in § 100a Abs. 1 S. 2, 3 StPO verankert.
Zusätzlich ist die Quellen-TK\"U auch in manchen Landesgesetzen zur Gefahrenabwehr verankert.
Das BKA kann die Quellen-TK\"U zur Abwehr von Gefahren des internationalen Terrorismus nach §§ 5, 51 Abs.1 i.V.m. Abs. 2 BKAG einsetzen.
Die Maßnahme setzt jeweils eine richterliche Anordnung voraus.
\subsubsection*{\S \S 49 BKA Gesetz - \enquote{Online-Durchsuchungen})}
Jenseits der \"Uberwachung laufender kryptierter Telekommunikation stellt die Kryptierung bzw. Verschlüsselung von Daten seitens der Täter (z. B. bei Verschlüsselung eines Bereichs der Festplatte eines Computers oder einer externen Festplatte) die Sicherheitsbehörden zunehmend vor technische Herausforderungen.
Um im Einzelfall verschlüsselte Daten als Spurenansätze bzw. Beweismittel auswerten zu können, ist die Online-Durchsuchung (ODS) ein geeignetes Ermittlungsinstrument zur Aufklärung schwerer Straftaten.
Die ODS ermöglicht es den Ermittlungsbehörden, aus den Systemen einer betroffenen Person im Rahmen der gesetzlichen Möglichkeiten beweiserhebliche Daten auszuleiten.
Das BKA verfügt über Software zur Durchführung von Maßnahmen der ODS, die analog zur Quellen-TK\"U vor dem Einsatz einem umfangreichen Testverfahren unterzogen wird.
Die ODS zur Abwehr von Gefahren des internationalen Terrorismus nach dem BKAG ist in § 49 BKAG normiert, in Fällen der Strafverfolgung dient §100b StPO als Rechtsgrundlage.
Die Maßnahme setzt jeweils eine richterliche Anordnung voraus.
\subsection{Nachrichtendienste}
\begin{itemize}
\item \S 2 BND-Gesetze $->$ Wann darf der BND Informationen sammeln:
\begin{itemize}
\item Sicherheitspolitische Dinge im Ausland
\item \"Uberpr\"ufung von (zuk\"unftigen) Mitarbeitern
\item Schutz und Abschirmung von Mitarbeitern
\end{itemize}
\item \S 3 BND-Gesetze $->$ Welche Informationen darf der BND unter welchen Umstaenden sammeln:
\begin{itemize}
\item Definiert \"uber \S 8a,b BVerfSchG, siehe drunter.
\end{itemize}
\item \S 8a Bundes-Verfassungs-Schutz-Gesetz (Besondere Auskunftsverlangen)
\begin{itemize}
\item Definiert bei welcher Art von Unternehmen welche Daten (Bestand und Verkehr) unter welchen Umst\"anden eingeholt werden k\"onnen
\item Unter anderem f\"ur Luftfahrtunternehmen,Kredit- und Finanzinstituten, Telekommunikationsdienstleister
\end{itemize}
\item \S 8b Bundes-Verfassungs-Schutz-Gesetz (Verfahrensregelungen zu besonderen Auskunftsverlangen)
\begin{itemize}
\item Regelt das Verfahren um die in \S 8a definierten Daten einzuholen
\end{itemize}
\item \S 3,5,10 G10 \textit{(Regelt allgemein die Beschr\"ankung des
Fernmeldegeheimnisses f\"ur Bedarfstr\"ager wie Verfassungsschutz, BND und MAD)}
\begin{itemize}
\item Das Brief-, Post- und Fernmeldegeheimnis zählt zu den Grundrechten und ist im Artikel 10 Grundgesetz verankert
\item Das Artikel 10-Gesetz - G 10 beschr\"ankt diesen Schutz und erm\"oglicht es BND und Co. Kommunikation zu \"Uberwachen
\item \S 3 listet Vorraussetzungen f\"ur TK\"U in Einzelf\"allen
\begin{itemize}
\item Verdacht gegen konkrete Person
\item Strafenkatalog
\end{itemize}
\item \S 5 regelt die Vorraussetzung zur strategischen TK\"U
\begin{itemize}
\item Darf nur f\"ur internationale Kommunikation angeordnet werden
\item Sammlung nur zu konkreten Zwecken
\item Aber ohne konkreten Anlass
\item Schutz der Daten aus "Kernbereichs privater Lebensgestaltung" durch \S 5a
\end{itemize}
\item Die Regelung des \S 7a lässt es zu, dass der BND - hierfür braucht er die Zustimmung des Bundeskanzleramtes - an ausländische Geheimdienste Daten übermittelt
\item \S 10 regelt das Verfahren zur Anordnung von TK\"U nach \S 3 und 5
\begin{itemize}
\item F\"ur Inhaltsdaten und Suchbegriffe bei \S 5 m\"ussen BND und Co. vorher die sog. G-10 Kommission um Erlaubnis fragen.
\item Anordnung auf 3 Monate beschr\"ankt
\item Beschr\"ankt die Menge der Daten aus \S 5 auf 20\% der \"Ubertragungskapazit\"at
\item Problem: Was ist das? Falls Leitungskapazit\"at, dann sind 20\% oft 100\% der Daten...
\item Problem: Routineverkehr (Ausland-Ausland-Verkehr) also Verkehr ohne beteiligung gesch\"utzter Personen unterliegt keiner Beschr\"ankung
\end{itemize}
\end{itemize}
\end{itemize}
\subsubsection*{Sonstiges}
\begin{itemize}
\item minimale \"Anderungen am angegriffenen System muss gew\"ahrleisten
\item es muss gew\"ahrleistet werden, dass durch den Eingriff keine anderen
(unbefugten) Angriffe erm\"oglicht werden
\item ganz generell muss immer sichergestellt werden, dass so wenig wie m\"oglich in
die Grundrechte des Betroffenen eingegriffen wird
\end{itemize}
\subsection{Technische M\"oglichkeiten - Hihihi wir sind der Staat}
\begin{itemize}
\item Offene Ma\ss{}nahmen
\begin{itemize}
\item Cold-Boot und Hot-Plug (Datentr\"ager)
\item \enquote{offene Online-Durchsuchung} (Datentr\"ager)
\end{itemize}
\item Verdeckte Ma\ss{}nahmen
\begin{itemize}
\item Herstellerkooperation (Backdoor etc.) (Kommunikation)
\item (Hardware) Keylogger (Datentr\"ager)
\item Live-Durchsuchung (z.B. Staatstrojaner) (Datentr\"ager)
\item Seitenkan\"ale/Metadaten (Kommunikation/R\"uckverfolgung)
\item Schw\"achen in (Kryptographie-)Protokollen (Kommunikation/R\"uckverfolgung)
\end{itemize}
\end{itemize}
\section{Ermittlungen im Internetz}
\subsection{Lokalisierungstechniken}
\subsubsection*{Teilprobleme}
\begin{itemize}
\item User Geolocation (Position des Nutzers)
\item IP Geolocation (Position einer IP-Adresse)
\item IP Adress Extraction (welche IP hat der Ursprungsrechner)
\end{itemize}
\subsubsection*{IP Geolocation}
Geht relativ einfach, IP-Ranges werden von der \textit{Internet Assigned Numbers Authority}
an Regionale Verteiler verteilt. Die verteilen es dann auf kleinere Regionen, diese
Daten sind \"offentlich zug\"anglich.
\subsubsection*{Domain Name System}
Eine verteilte Datenbank die Domain-Names auf IP Adressen zuordnet (oder andersrum). Zum
Beispiel kann man so auch zusammengeh\"orige Seiten erkennen wenn mehre Domain-Names auf
die gleiche IP abgebildet werden. \textbf{Tools:} \textit{whois, dig, traceroute}.
\subsubsection*{Passive DNS-Replikation}
Aufzeichnen aller Zuordnung von Domain zu IP-Adressen. Selber Spass wie nachzuscha\"un ob
mehrere Domain-Names auf die selbe IP-Adresse abbilden, nur mit \"uber die Zeit
aufgezeichneten Daten.
\subsubsection*{IP-Verschleierungstechniken}
\begin{itemize}
\item VPN/Proxy bzw. Ketten selbiger (z.B. Tor)
\item Remote Session (z.B. xpra in den CIP)
\item Long Distance Dialup (Technologie "Gap" die R\"uckverfolgung erschwert)
\end{itemize}
\subsubsection*{Counter the Countermeasures}
\begin{itemize}
\item Ping-Triangulierung, innerhalb von Europa angeblich auf 100km genau (f\"ur
Websiten durch ein \textit{HTTP-REFRESH} m\"oglich)
\item JavaScript Exploit $->$ Client dazu bringen seine IP-Adresse zu \"ubermitteln
\end{itemize}
\subsection{Cloud \& Websitesicherung}
\begin{itemize}
\item Internet Archive
\item Cache beim Client
\item Zugriff als Benutzer, wenn Server au\ss er Reichweite ist
\item Snapshot einer VM auf einem Server
\item Snapshot eines ganzen Servers (evt. doppelte Fragmentierung von VM-Filesystem
und Hypervisor Filesystem, ausserdem vielleicht rechtlich fraglich, bei shared-Server
mit mehreren VMs mit Daten Unbeteiligter)
\item VM-Carving (Wiederherstellung von gel\"oschten VM, vielleicht aus Backups)
\end{itemize}
\section{Standards in der IT-Forensik}
\subsection{IT-Sachverst\"andige in Deutschland}
\begin{itemize}
\item \enquote{freie} Sachverst\"andige: kein gesch\"utzter Titel
\item \enquote{\"offentlich bestellte und vereidigte} Sachverst\"andige: Gesch\"utzter Titel (\S 132a StGB)
\item Im Bereich IT/Computerforensik
\begin{itemize}
\item IHKs als K\"orperschaften \"offentlichen Rechts vom Staat mit Aufgabe der Bestellung beliehen
\item Fixiert in Sachverst\"andigenordnung,Bestellungsvoraussetzungen
\item u.a. auf 5 Jahre befristet, ausreichend Lebens- und Berufserfahrung, erheblich \"uber dem Durchschnitt liegende Fachkenntnisse, lebt in geordneten wirschaftlichen Verh\"altnissen,...
\item \enquote{Besondere Sachkunde} nach DIHK: Abgeschlossenes Studium, Berufserfahrung im Bereich Infermationsverarbeitung, Mindestens 5 Gutachten, zus\"atzlich IHK-Pr\"ufung
\item Es wird gepr\"uft ob Sachverst\"andige geeignet ist (zusammengefasst in keiner Weise befangen)
\item Auftr\"ager k\"onnen nur bei wichtigem Grund verweigert werden
\item Sachverst\"andige k\"onnen ihre Haftung nicht ausschlie\ss{} oder beschr\"anken und brauchen entsprechende Haftpflichtversicherung
\end{itemize}
\end{itemize}
\subsubsection{Was darf der \"obuv Sachverst\"andige}
\begin{itemize}
\item Aufkl\"arung und Akteneinsicht \S 80 StPO: Akten einsehen, Vernehmnung von Zugen und Beschuldigten
\item Im Gerichtsverfahren: \S 73 StPO: Richter entscheiden welche Sachverst\"andige in welcher Anzahl hinzugezogen werden
\item Unterschied ermittler: \"obuv Sachverst\"andiger ist absolut Neutral, \enquote{Werkzeug} des Richters, ist selbst f\"ur alles zust\"andig und haftbar
\end{itemize}
\subsubsection{BSI-Leitfaden IT-Forensik}
\begin{itemize}
\item (Ver-)Alte(te)r Leitfahden f\"ur Forensische Gutachten
\item Es existieren Internationale Standards, aber oft nicht spezifisch genug f\"ur deutsches Rechtssystem:
\begin{itemize}
\item ISO 27000
\item Council of Europe: Electronic Evidence Guide (2013)
\item Department of Justice: Electronic Crime Scene Investigation (2008)
\item Scientific Working Group on Digital Evidence (SWGDE): Best Practices for Computer Forensics (2014)
\item ...
\end{itemize}
\end{itemize}
\section{Date-Loss though Abstraction}
Ehrlich gesagt wei\ss{} ich nicht was ich hier genau mitnehmen soll. Mehr Abstraktion
bedeutet logischerweise mehr abstrakte Informationen, w\"ahrend Low-Level
Informationen verloren gehen (k\"onnen).
\section{Carrier Dissertation Theorie}
\begin{itemize}
\item Observation (Was hat der Ermittler gesehen)
\item Capabilities (Welche Zust\"ande sind m\"oglich)
\item Sample (Welche Zust\"ande existieren auf \"ahnlichen Systemen/haben fr\"uher auf
diesem System existiert)
\item Reconstruction (R\"uck\"ubersetzung einer Zustands\"ubergangsfunktion)
\item Construction (Ausfuehrung einer Zustands\"ubergangsfunktion)
\end{itemize}
\vspace{1cm}
\subsection*{Source}
Dieses Dokument wird auf{ } \url{https://gitlab.cs.fau.de/ik15ydit/latexandmore} maintaint.
\end{document}