Decafme, the guys behind DECAF, the anti-COFEE tool, have released a new version of it.

I must admit that I missed the importance of the initiative when I said it was «an exercise of posing» here, at least in the effects that this tool may have in shaping the way computer evidence is acquired.

Not that I use any tool to collect evidences while the target computer is on, but if I did I would be worried the next time I used one because the new version of DECAF can apply the same actions it did when detected COFEE to any tool it may have a signature for.

The guys at DragonJar make a brief summary here, and you may get some more information here.

Quiero entrar a considerar el papel de la independencia e imparcialidad en dos actividades que dependen especialmente de estos conceptos: el peritaje y el arbitraje. Me referiré a ambos, árbitros o peritos, como terceros.

Independencia e Imparcialidad

La independencia es un concepto en el que se aprecian circunstancias de facto. Se refiere en este caso a la existencia de vínculos del tercero con alguna parte o incluso con el asunto objeto del conflicto.

La imparcialidad es en cambio un concepto subjetivo. Alude a un estado mental del tercero para poder emitir una opinión con libertad y sin perjuicios.
Como se verá en apartados posteriores, la misma apariencia de parcialidad o falta de independencia puede tener efectos si existe un temor, fundado o no, de que el tercero no actúe de forma independiente y libre.

En el caso de los árbitros, los diferentes reglamentos les invitan a que pongan de manifiesto todas aquellas circunstancias que puedan influir en su idoneidad. No así en el caso de los peritos, que quedan a merced de lo que consideran las leyes procesales respecto a la tacha o la recusación. En todo caso, siendo los dictámenes periciales pruebas de libre valoración, el juzgador podrá tener en consideración los elementos que crea oportunos a la hora de decidir.

Continue reading «Independencia e Imparcialidad»

Abstract

This article describes the most common schema and basic procedure in which search warrants related to computer evidence are served in Spain from the expert witness’s perspective, and presents a guide, concrete tools, commands and recommendations oriented to maximize the effectiveness and validity of the action.

Continue reading.

PDF.

I wish you all the best for 2010!

I’ve been working in an article related to serving search warrants and I thought the following examples may be useful. They cover imaging, mounting imaged drives and calculating hashes for every file in a drive.

CASE_ID identifies the case, LOCATION_ID identifies the location where the media was seized, MEDIA_ID identifies the media device and PARTITION_ID identifies each partition into the media.

Image

This is an example for dcfldd imaging. The command calculates the MD5 hash on the fly.
See here for options’ reference.

ubuntu@ubuntu:~$ date; sudo dcfldd if=/dev/sdc of=/media/disk/CASE_ID/LOCATION_ID/MEDIA_ID.dd conv=sync,noerror hashwindow=0 hashlog=MEDIA_ID_md5.txt; date

Thu Nov 16 13:18:22 UTC 2009

4883968 blocks (152624Mb) written.
4884090+1 records in
4884091+0 records out

Thu Nov 16 15:26:34 UTC 2009

Continue reading «image, mount, calculate hashes: examples»

I already discussed some of this here some time ago, but to be more explicit…

• conv=sync,noerror

Don’t stop at errors, if there are errors, add zeros to the result so there are no «holes» left in the resulting image.

• hashwindow=0 hashlog=file.txt

Calculate hash on the fly for the whole operation to file.txt.

For all this and for optimal BS calculation, see here.

And to learn how to mount the result as a loopback device, see here.

This morning I had an in-court computer forensics action: I had to clone in-court some disks we seized in a search warrant we served some days ago. Easy task: you just need some basic equipment and tools, proceed very carefully and be patient. I started the action with the drive that was the biggest and the one we knew contained most evidences.

I plugged it in… and it wasn’t detected. I double-checked the cabling and stuff: same thing, again and again…

I was turning white-faced and a cold sweat was running down my spine. Then I realized the stupid thing I was missing was…

Continue reading «Let it spin…»

Previo

En una actividad como el arbitraje o el peritaje ¿es preferible un profesional que se dedique en exclusiva a la actividad o por el contrario otro que despliega su actividad principal dentro de su marco de competencia y lleva a cabo la actividad de forma eventual?

En mi opinión la respuesta viene de la mano de un concepto: el compromiso con la actividad. En cualquier actividad es preferible alguien que esté comprometido con la misma, entendiendo el compromiso como aquello que el profesional invierte en la actividad. La razón es simple: cuanto más haya invertido el profesional en la actividad, más estará dispuesto a llevarla a cabo fielmente y sin atajos.

Y en este sentido, la actividad principal de uno es la que va a acumular su compromiso en detrimento de las secundarias.

El compromiso puede tener formas diferentes: el estudio y publicación dentro del ámbito de actuación, la formación reglada, la formación continua, la colaboración en iniciativas dentro del ámbito, etc. En definitiva todo aquello le capacita para realizar la actividad y que suponga un esfuerzo material o intelectual al profesional.

Continue reading «¿profesionales o eventuales?»

ipoque’s Deep Packet Inspection Engine was launched Open Source last September 7th at Broadband World Forum held in Paris.

OpenDPI is derived from ipoque’s commercial product PACE («Protocol and Application Classification Engine», not «Program Acquisition Cost Estimate»)

More info at ipoque and opendpi.

I wish I had time to take a look at the code…

P.S: For those not aware of what DPI is, you can take a look at the Wikipedia entry here.