Windows FEは forensically sound??

forensics tools

前回のエントリの続きです。実はWindows FEは forensically soundじゃないのではないか？という議論があります。

作者(?)である Troy Larsonさん自身が上記のブログにコメントをつけています。

Windows FE will write a disk signature to a non-Windows disk. Windows FE writes a disk signature to any disk that doesn't have a disk signature. This is a well documented behavior of Windows, and, as such, is predictable. As predictable, the behavior can be expected and explained by the forensic investigator. Thus, one could use Windows FE on non-Windows disk, and have forensically sound findings--as long as the four bytes at the disk signature location are not at issue. I have seen nothing that indicates that Windows FE writes to any partitioned space--Windows or non-Windows.

また前回ちょっとだけ紹介したSAFE boot diskを開発している Forensic Softもコメントしています。

Windows FE is not a "forensically sound" Windows boot disk. You can prove this by booting any non-Windows system with Windows FE and take a hash of the drive(s) before and after booting with Windows FE.

ForensicSoft makes the only forensically sound write-blocked Windows boot disk in existence.

どうも Disk Signatureの問題のようです。で、上記ブログのエントリではこれを確かめるべく、Windows環境と non-Windows環境(Linux)とで、WinFEをブートした場合の挙動を検証しています。しかし結果的にはどちらの場合でも WinFEによるディスクへの書き込みは確認されませんでした。このエントリを読んでおもしろそうだったので、自分でも確かめてみました。

以下では VirtualBox上にインストールした Windows XP環境と Ubuntu環境を対象に検証してみました。
まず WinXP環境に対して、(1) DEFT Linuxで起動してHDDのMD5ハッシュ値を計算し、(2) 次に WinFEで起動して同様にハッシュ値を計算し、(3)最後に今度は Raptorで起動してハッシュ値を計算しました。結果、ハッシュ値に変化は見られませんでした。

以下のスクリーンショットは WinFEの FTK Imagerでハッシュ値を計算したところ。


次に Ubuntu環境に対して同様のことを行ってみましたが、やはりこの場合も変化はありませんでした。ここまでは上のブログでの検証結果と同じです。

以下のスクリーンショットでは Disk Signatureが書き込まれる部分(MBRのブートストラップローダーの 0x01B8からの 4byte)のダンプを示しています。

ただし Ubuntu環境で変化がなかったのは GRUBを利用しているためとも考えられます。そこで再度 WinXP環境で、あらかじめ Disk Signatureを 0で上書きしてから試してみました。ddで最初のセクタをダンプして値を上書きし、再度 ddでディスクに書き戻します。

以下はオリジナルのディスクの Disk Signatureを示しています。「1E E3 1E E3」になっていますね。

これを「00 00 00 00」に上書きしてから、WinFEで起動し、FTK Imagerでディスクを見てみると･･･

なんと「F4 FD FF CE」という全然違う値に上書きされています！！どうやら Disk Signatureが設定されていないディスクの場合、WinFEで起動するとディスクへの書き込みが発生するようですね。ただしそれ以外のデータを変更することはないようなので、大きな影響はなさそうです。