¿Cómo recuperan las personas los datos de RAM?


11

Tengo curiosidad. He leído sobre la aplicación de la ley y qué no recuperar datos incriminatorios de ram para obtener evidencia, pero ¿cómo se hace? ¿Qué tipo de equipo necesitaría uno para recuperar archivos de un palo de ram?

Respuestas:


10

Congele el chip, introdúzcalo en otra computadora y ejecute el comando dd de Linux para copiar los datos sin procesar en el disco.

Después de tener los datos en bruto, cópielos en una nueva partición usando dd nuevamente y ejecute un programa de recuperación en la partición. Undelete debe extraer todos los archivos que se encuentren en un formato reconocible (por ejemplo, imágenes, etc.). El resto podría procesarse aún más, pero no fácilmente a menos que sepa lo que está buscando.

No puedo decir que lo he hecho yo mismo, pero no es difícil imaginar cómo se hace.

Mira este video que Daniel Beck publicó en los comentarios para ver una demostración de cómo descifrar los cifrados del disco duro con este método.


3
Ese tablero contiene un enlace a una página en el sitio CITP de Ed Felten con la investigación original sobre el tema.
Daniel Beck

Esto no es "Aplicación de la ley", es algo que se puede hacer bajo condiciones controladas. Si tiene ese tipo de acceso a la computadora (unos minutos y algo de nitrógeno líquido), ¿por qué no evitar que se apague?
Nifle

@Nifle Probablemente haya alguien con un interés sustancial en apagar su computadora momentos antes de ser clavado en una superficie cercana. Además, es una investigación bastante reciente, y gran parte de eso no se trata de aplicaciones prácticas inmediatas.
Daniel Beck

2
@Nifle no es cierto. No se necesitan herramientas especiales para lograrlo. Todo lo que necesita es un rociador de aire (para enfriar el chip) y una instalación mínima de Linux que incluya algunas herramientas necesarias (y disponibles gratuitamente) que se ejecutan en una unidad usb o una computadora separada.
Evan Plaice

1
Pero si arranca la computadora con el RAM, ¿eso no borraría todo durante la POST?
steini

1

No puedes (en la práctica). La RAM debe actualizarse constantemente para seguir "recordando", cuando la computadora está apagada, la carga se pierde después de un minuto más o menos.

Formulario wikipedia

La memoria dinámica de acceso aleatorio (DRAM) es un tipo de memoria de acceso aleatorio que almacena cada bit de datos en un condensador separado dentro de un circuito integrado. Dado que los condensadores reales pierden carga, la información finalmente se desvanece a menos que la carga del condensador se actualice periódicamente. Debido a este requisito de actualización, es una memoria dinámica en lugar de SRAM y otra memoria estática.

La memoria principal (la "RAM") en las computadoras personales es la RAM dinámica (DRAM), al igual que la "RAM" de las consolas de juegos domésticos (PlayStation, Xbox 360 y Wii), computadoras portátiles, portátiles y estaciones de trabajo.

La ventaja de DRAM es su simplicidad estructural: solo se requiere un transistor y un condensador por bit, en comparación con seis transistores en SRAM. Esto permite que la DRAM alcance densidades muy altas. A diferencia de la memoria flash, es una memoria volátil (cf. memoria no volátil), ya que pierde sus datos cuando se corta la energía. Los transistores y condensadores utilizados son extremadamente pequeños: millones pueden caber en un solo chip de memoria.


55
La palabra clave es "eventualmente". Este trabajo de investigación citp.princeton.edu/memory muestra que la RAM mantiene su contenido durante unos segundos a unos minutos después de que pierde energía, incluso después de que se retira de la placa base, que es lo suficientemente larga para que un atacante tenga acceso físico a la máquina.
jg-faustus

2
@ jg-faustus Si tiene acceso a la computadora, ¿por qué apagarla?
Nifle

55
@Nifle Si está bloqueado, no verá qué archivos está utilizando actualmente el usuario. Podrías reiniciarlo y (si estás usando Windows) hackear la contraseña pero solo si la unidad no está encriptada. Con las herramientas adecuadas y un chip ram recién arrancado, incluso puede descifrar la clave de cifrado del disco duro leyendo el ram. En los campos de seguridad y medicina forense, estas pequeñas técnicas pueden ser extremadamente útiles.
Evan Plaice


66
@Evan: sigo pensando que es más "situaciones normales" a las que se refiere el OP. "Los policías aparecen y se llevan tu computadora". y no "Segundos después de que cerró su computadora, el DHS irrumpe en su departamento y unos segundos después la desmantelan en su laboratorio portátil de extracción de RAM"
Nifle

0

Las células DRAM almacenan cargas eléctricas. Tienen fugas, por lo que, como se mencionó, deben actualizarse.

Existen tolerancias de fabricación, y la influencia de la temperatura y la antigüedad de los componentes, que definirán el tiempo REAL que le toma a una celda DRAM dejar de ser confiable de manera confiable si no se ha actualizado. La especificación de actualización para un chip DRAM dado será en realidad el peor de los casos, algo que mantendrá sus datos legibles con chips de producción de lunes que han estado funcionando a la temperatura máxima durante 20 años más o menos. En la mayoría de los casos, la celda puede mantener los datos mucho más tiempo.

Además, los circuitos dentro de un chip DRAM deciden si leer la cantidad de carga en una celda dada como "0" o "1" (en algunos diseños, eso podría revertirse; carga baja significa "1"). El contenido de carga que no es lo suficientemente alto como para leerse como "1" todavía está en la celda, y en algunos casos, ejecutando el chip DRAM con un voltaje de operación fuera de las especificaciones (lo que podría estresarlo o hacerlo mucho más lento) , pero aún no lo destruirá), el voltaje de umbral en el que 1 se decide desde 0 puede manipularse temporalmente, por lo que algunas o todas las celdas se vuelven legibles nuevamente.

Además, a menos que haya realmente un registro de salida, puede haber diferencias sutiles de voltaje o forma de onda incluso en la señal de salida cuantificada (conmutada a 1 o 0) que puede darle una pista sobre qué carga está realmente en la celda - comparadores (que leen los amplificadores son) rara vez son cuantificadores perfectos, especialmente si están diseñados para la velocidad, no para la precisión.

Además, si una celda lee de manera poco confiable, un atacante o forense determinado aún puede usar las estadísticas para su ventaja (cuente cuántas veces se lee un 0 o 1 y correlacione) ...

Al usar nuestro sitio, usted reconoce que ha leído y comprende nuestra Política de Cookies y Política de Privacidad.
Licensed under cc by-sa 3.0 with attribution required.