Facultés Universitaires Notre Dame de la Paix Namur Sécurité et fiabilité des SI : Chiffrement de disques durs Décembre 2011 BENATS Pol JEANJOT Arno MAES Jerome Cours : INFO-M115 Professeur : J-N Colin Assistant : S. Dynerowicz
Table des matières Table des matières 1 1 Introduction 2 2 Récupération de données 3 2.1 Sur target.fat16.................................. 3 2.2 Sur target.ext3.................................. 5 3 Chiffrement d une partition 7 4 Conclusion 8 1
1 Introduction Dans le cadre du cours de sécurité et fiabilité des SI, il nous était demandé dans un premier temps de récupérer des fichiers supprimés (volontairement ou non) sur une partition formatée en ext3 et sur une autre en fat16. ext3 et fat16 sont des systèmes de fichiers permettant d organiser les fichiers sur un support tel que des disques durs, clé usb,...le premier est supporté par Linux, tandis que le second l est par Windows. Dans un second temps, nous devions construire un volume LUKS 1 utilisable par un seul utilisateur. LUKS est une spécification de chiffrement de disques, destiné à Linux. 1. = Linux Unified Key Setup 2
2 Récupération de données Afin de nous aider à récupérer les fichiers supprimés de partitions, nous avons utilisé des outils spécialement conçus pour cet usage. Le premier est The Sleuth Kit (TSK) qui est une libraire d outils qui permettent d examiner les volumes et les systèmes de fichiers. Le second est Autopsy Forensic Browser ; il propose une interface graphique complétant The Sleuth Kit. 2.1 Sur target.fat16 Comme le montre la figure 1, Autopsy est parvenu à reconstruire la hiérarchie du système de fichiers de la partition, et à localiser les fichiers supprimés ou non. Figure 1 Liste des fichiers supprimés sur target.f at16 3
Le tableau 1 montre les 3 fichiers qui avaient été effacés et que nous avons pu récupérer grâce à ce programme. Fichier Secteurs Adresse en octets big bang theory 4901.jpg 2048-2119 1048576-1084928 Mail ; [Info] Nouveau compte eml 1792-1795 917504-919040 dsc00562.jpg 2432-7934 1245184-4062208 Table 1 Les fichiers récupérés sur target.f at16 La récupération des fichiers s est faite grâce à la commande sudo dd if=/dev/loop0 of=fichier bs=1024 count=x skip=y où x est le nombre de segment, et y le premier segment. Le contenu de ces 3 fichiers a pu être récupéré, comme le montre la figure 2, qui illustre la découpe en blocs de l image big bang theory 4901.jpg. Figure 2 Contenu de l image 4
2.2 Sur target.ext3 Autopsy est également capable de reconstituer l organsation des fichiers sur un volume en ext3. Comme le présente la figure 3, les fichiers actuellement sur le disque et ceux qui ont été supprimés sont bien dans la liste. Figure 3 Liste des fichiers sur target.ext3, dans le répertoire /pictures/ Cependant le contenu des fichiers effacés était, dans ce cas-ci, plus subtile à retrouver. Ainsi, pour retrouver l image de Big Bang Theory, nous avons regardé son numéro Inode 1810. Les images avec les numéros d inode 1809 et 1811 n étant pas supprimées, nous avons pu retrouvé le dernier secteur du 1809 et le premier secteur du 1811, pour connaitre les secteurs du 1810. Pour être certain d avoir le bon fichier : nous avons fait une recherche sur les magic numbers ffd8 (début d un fichier jpg) et ffd9 (fin d un fichier jpg), et les secteurs retrouvés correspondaient bien à cela. Malheureusement, l image est un peu déformée. Figure 4 Image récupérée, mais endommagée La même technique a été appliquée pour récupérer le fichier mail, intitulé [Info] Nouveau compte. 5
Pour le dernier fichier, une recherche par mot clé a été nécessaire : le mot clé était Belnet (voir figure 5). On trouve le fragment 11778 qui contient le mot Belnet. Il suffit de regarder les fragments précédents et suivants pour récupérer l entièreté du mail. Figure 5 Recherche par mot clé Finalement, nous avons récupéré les 3 fichiers et leur contenu, tel que décrit dans le tableau 2. Fichier Secteurs Adresse en octet big bang theory 4901.jpg 6573-6609 6730752-6768430 Mail ; [Info] Nouveau compte eml 11786-11787 12068864-12069888 Politque acceptable Belenet 11777-11780 12059648-12062720 Table 2 Les fichiers récupérés sur target.ext3 La récupération des fichiers s est faite grâce à la commande sudo dd if=/dev/loop0 of=fichier bs=1024 count=x skip=y où x est le nombre de segment, et y le premier segment. 6
3 Chiffrement d une partition Dans la seconde partie de ce TP, il nous était demandé de construire un volume chiffré, en utilisant LUKS 2. LUKS est un standard pour le chiffrement de volumes pour Linux, permettant de protéger ces différents volumes par une ou plusieurs clés. LUKS stocke toutes les informations de configuration dans l entité de la partition, autorisant ainsi l utilisateur à transporter ou à transférer ses données de façon transparente. Dans le cadre de ce TP, nous avons donc construit une partition, formatée en ext3, de 5,2Mo. Nous avons chiffré ce volume avec la commande sudo cryptsetup --verbose --verify-passphrase luksformat -c aes -h sha256 /dev/loop0 La passphrase choisie est maphraseintrouvable Nous y avons ensuite ajouté des fichiers : un fichier image (lemonde.png), un email (monmail.emlx) et un simple fichier texte (monfichiertext.txt). La partition chiffrée target.luks se trouve en annexe de ce rapport. Figure 6 Resultat de Autopsy sur la partition chiffrée Autopsy est incapable de reconstruire l arborescence du fichier. On ne peut que parcourir les segments 1 par 1 ou effectuer une recherche par mot clé(inutile à cause du cryptage). Comme le montre la partie haute de la figure 6, l entête contient bien les informations sur le chiffrement (ici, sha256). La partie basse de cette figure présente le résultat illisible des fichiers. 2. = Linux Unified Key Setup 7
4 Conclusion Grâce à ce travail, nous avons réalisé qu il était possible de récupérer des fichiers qui avaient été préalablement supprimés d un volume. Pour cela, il a suffi d utiliser un certain nombre de lignes de commandes qui ont permis d afficher, grâce à une interface, un certain nombre de fichiers qui ont été retrouvés sur le volume. Ces fichiers, écrit sur des secteurs de mémoire sur le volume, étaient accessibles malgré tout du fait que le volume n avait pas subi des écritures sur les secteurs qui avaient été utilisés pour stocker ces fichiers. Bien que malgré tout, un certain nombre de fichiers, ou parties de fichiers restent accessibles même après suppression et écriture ultérieure sur les secteurs qui avaient été utilisés. Ces moyens pour retrouver des fichiers supprimés posent toutefois problème d un coté sécurité. En effet, il est dès lors plus difficile de garder certains fichiers secrets, même après suppression, ce qui pose un grand problème pour la vie privée. Dans un second temps, nous nous sommes penchés sur l aspect chiffrement des fichiers sur un volume. Ainsi, nous en sommes arrivés à utiliser la technologie LUKS qui nous a permis, grâce à une phrase de chiffrement, de sécuriser ces fichiers ; ceux-ci étant devenus illisibles sans connaître cette phrase. De tels moyens de protection permettent d améliorer la sécurité de nos fichiers afin de protéger au mieux notre vie privée. 8