La informática forense o contraforense son técnicas utilizadas para obstruir el análisis forense .
La ciencia forense sólo recientemente ha sido reconocida como un campo legítimo de estudio.
Una de las definiciones más conocidas y aceptadas es la de Marc Rogers. Una de las primeras presentaciones detalladas de la anticiencia forense, publicada en la revista Phrack en 2002, define la anticiencia forense como "la eliminación u ocultación de pruebas en un intento de mitigar la eficacia de una investigación forense". [1]
Scott Berinato ofrece una definición más abreviada en su artículo titulado The Rise of Anti-Forensics (El auge de la investigación antiforense): “La investigación antiforense es más que una tecnología. Es un enfoque de la piratería informática criminal que se puede resumir así: hacer que les resulte difícil encontrarte e imposible demostrar que te encontraron”. [2] Ninguno de los dos autores tiene en cuenta el uso de métodos antiforenses para garantizar la privacidad de los datos personales.
Los métodos antiforenses suelen dividirse en varias subcategorías para simplificar la clasificación de las distintas herramientas y técnicas. Una de las subcategorías más aceptadas fue desarrollada por el Dr. Marcus Rogers, quien propuso las siguientes subcategorías: ocultación de datos, borrado de artefactos, ofuscación de rastros y ataques contra los procesos y herramientas de CF (informática forense). [3] Los ataques contra las herramientas forenses directamente también se han denominado contrainforenses. [4]
En el campo de la ciencia forense digital, existe un gran debate sobre el propósito y los objetivos de los métodos antiforenses. La opinión generalizada es que las herramientas antiforenses son puramente maliciosas en su intención y diseño. Otros creen que estas herramientas deberían usarse para ilustrar las deficiencias en los procedimientos y herramientas forenses digitales y en la educación de los examinadores forenses. Este sentimiento fue repetido en la Conferencia Blackhat de 2005 por los autores de herramientas antiforenses, James Foster y Vinnie Liu. [5] Afirmaron que al exponer estos problemas, los investigadores forenses tendrán que trabajar más arduamente para demostrar que la evidencia recopilada es precisa y confiable. Creen que esto dará como resultado mejores herramientas y educación para el examinador forense. Además, la contraciencia forense tiene importancia para la defensa contra el espionaje , ya que la recuperación de información mediante herramientas forenses sirve a los objetivos de los espías por igual y a los de los investigadores.
La ocultación de datos es el proceso de hacer que los datos sean difíciles de encontrar y, al mismo tiempo, mantenerlos accesibles para su uso futuro. “ La ofuscación y el cifrado de datos le dan al adversario la capacidad de limitar la identificación y la recolección de evidencia por parte de los investigadores, al tiempo que les permite el acceso y el uso por parte de ellos mismos”. [6]
Algunas de las formas más comunes de ocultamiento de datos incluyen el cifrado, la esteganografía y otras formas diversas de ocultamiento de datos basado en hardware y software. Cada uno de los diferentes métodos de ocultamiento de datos dificulta los exámenes forenses digitales. Cuando se combinan, pueden hacer que una investigación forense exitosa sea casi imposible.
Una de las técnicas más utilizadas para derrotar a la informática forense es el cifrado de datos . En una presentación sobre cifrado y metodologías antiforenses, el vicepresidente de Secure Computing, Paul Henry, se refirió al cifrado como una "pesadilla para los expertos forenses". [7]
La mayoría de los programas de cifrado disponibles públicamente permiten al usuario crear discos cifrados virtuales que solo se pueden abrir con una clave designada. Mediante el uso de algoritmos de cifrado modernos y diversas técnicas de cifrado, estos programas hacen que sea prácticamente imposible leer los datos sin la clave designada.
El cifrado a nivel de archivo cifra únicamente el contenido del archivo. Esto deja sin cifrar información importante, como el nombre del archivo, el tamaño y las marcas de tiempo. Es posible reconstruir partes del contenido del archivo desde otras ubicaciones, como archivos temporales, archivos de intercambio y copias eliminadas y sin cifrar.
La mayoría de los programas de cifrado tienen la capacidad de realizar una serie de funciones adicionales que dificultan cada vez más los esfuerzos forenses digitales. Algunas de estas funciones incluyen el uso de un archivo de claves , cifrado de volumen completo y negación plausible . La amplia disponibilidad de software que contiene estas funciones ha puesto al campo de la investigación forense digital en una gran desventaja.
La esteganografía es una técnica en la que se oculta información o archivos dentro de otro archivo con el fin de ocultarlos dejándolos a la vista. "La esteganografía produce datos oscuros que normalmente quedan ocultos dentro de datos claros (por ejemplo, una marca de agua digital imperceptible oculta dentro de una fotografía digital)". [8] Si bien algunos expertos han argumentado que el uso de técnicas de esteganografía no está muy extendido y, por lo tanto, no se debe pensar demasiado en el tema, la mayoría de los expertos coinciden en que la esteganografía tiene la capacidad de alterar el proceso forense cuando se utiliza correctamente. [2]
Según Jeffrey Carr, en una edición de 2007 de Technical Mujahid (una publicación bimensual sobre terrorismo) se destacaba la importancia de utilizar un programa de esteganografía llamado Secrets of the Mujahideen. Según Carr, se promocionaba el programa como una herramienta que brindaba al usuario la capacidad de evitar ser detectado por los programas de esteganografía actuales . Esto se lograba mediante el uso de la esteganografía junto con la compresión de archivos. [9]
Otras formas de ocultamiento de datos implican el uso de herramientas y técnicas para ocultar datos en varias ubicaciones de un sistema informático. Algunos de estos lugares pueden incluir "memoria, espacio libre , directorios ocultos, bloques defectuosos , flujos de datos alternativos y particiones ocultas ". [3]
Una de las herramientas más conocidas que se utiliza a menudo para ocultar datos se llama Slacker (parte del marco Metasploit ). [10] Slacker divide un archivo y coloca cada parte de ese archivo en el espacio libre de otros archivos, ocultándolo así del software de examen forense. [8] Otra técnica de ocultación de datos implica el uso de sectores defectuosos. Para llevar a cabo esta técnica, el usuario cambia un sector particular de bueno a malo y luego los datos se colocan en ese grupo particular. La creencia es que las herramientas de examen forense verán estos grupos como malos y continuarán sin examinar su contenido. [8]
Los métodos utilizados para borrar artefactos tienen como objetivo eliminar permanentemente archivos específicos o sistemas de archivos completos. Esto se puede lograr mediante el uso de una variedad de métodos que incluyen utilidades de limpieza de discos, utilidades de borrado de archivos y técnicas de desmagnetización/destrucción de discos. [3]
Las utilidades de limpieza de discos utilizan una variedad de métodos para sobrescribir los datos existentes en los discos (consulte la remanencia de datos ). La eficacia de las utilidades de limpieza de discos como herramientas antiforenses suele cuestionarse, ya que algunos creen que no son completamente eficaces. Los expertos que no creen que las utilidades de limpieza de discos sean aceptables para la desinfección de discos basan sus opiniones en la política actual del Departamento de Defensa, que establece que la única forma aceptable de desinfección es la desmagnetización. (Consulte el Programa Nacional de Seguridad Industrial ). Las utilidades de limpieza de discos también son criticadas porque dejan firmas de que se borró el sistema de archivos, lo que en algunos casos es inaceptable. Algunas de las utilidades de limpieza de discos más utilizadas incluyen DBAN , srm , BCWipe Total WipeOut, KillDisk, PC Inspector y CyberScrubs cyberCide. Otra opción aprobada por el NIST y la NSA es CMRR Secure Erase, que utiliza el comando Secure Erase integrado en la especificación ATA .
Las utilidades de borrado de archivos se utilizan para eliminar archivos individuales de un sistema operativo. La ventaja de las utilidades de borrado de archivos es que pueden realizar su tarea en un tiempo relativamente corto, a diferencia de las utilidades de limpieza de discos que tardan mucho más. Otra ventaja de las utilidades de borrado de archivos es que generalmente dejan una firma mucho más pequeña que las utilidades de limpieza de discos. Hay dos desventajas principales de las utilidades de borrado de archivos: primero, requieren la participación del usuario en el proceso y, segundo, algunos expertos creen que los programas de borrado de archivos no siempre borran correcta y completamente la información de los archivos. [11] [12] Algunas de las utilidades de borrado de archivos más utilizadas incluyen BCWipe, R-Wipe & Clean, Eraser, Aevita Wipe & Delete y CyberScrubs PrivacySuite. En Linux, también se pueden utilizar herramientas como shred y srm para borrar archivos individuales. [13] [14] Los SSD son, por diseño, más difíciles de borrar, ya que el firmware puede escribir en otras celdas, lo que permite la recuperación de datos. En estos casos, se debe utilizar ATA Secure Erase en todo el disco, con herramientas como hdparm que lo admitan. [15]
La desmagnetización de discos es un proceso mediante el cual se aplica un campo magnético a un dispositivo de medios digitales. El resultado es un dispositivo que está completamente limpio de cualquier dato almacenado previamente. La desmagnetización rara vez se utiliza como método antiforense a pesar de que es un medio eficaz para garantizar que se hayan borrado los datos. Esto se debe al alto costo de las máquinas de desmagnetización, que son difíciles de permitir para el consumidor medio.
Una técnica más utilizada para garantizar la eliminación de datos es la destrucción física del dispositivo. El NIST recomienda que "la destrucción física se puede lograr utilizando una variedad de métodos, incluyendo la desintegración, la incineración, la pulverización, la trituración y la fundición". [16]
El objetivo de la ofuscación de rastros es confundir, desorientar y desviar el proceso de examen forense. La ofuscación de rastros abarca una variedad de técnicas y herramientas que incluyen "limpiadores de registros, suplantación de identidad , desinformación , saltos de red troncal, cuentas zombi y comandos troyanos". [3]
Una de las herramientas de ofuscación de rastros más conocidas es Timestomp (parte del Metasploit Framework ). [10] Timestomp le da al usuario la capacidad de modificar los metadatos de los archivos relacionados con el acceso, la creación y las fechas/horas de modificación. [2] Al usar programas como Timestomp, un usuario puede inutilizar cualquier cantidad de archivos en un entorno legal al poner en duda directamente la credibilidad de los archivos. [ cita requerida ]
Otro programa conocido para ofuscar rastros es Transmogrify (también parte del Metasploit Framework). [10] En la mayoría de los tipos de archivos, el encabezado del archivo contiene información de identificación. Un archivo (.jpg) tendría información de encabezado que lo identificaría como ( .jpg ), un archivo ( .doc ) tendría información que lo identificaría como (.doc), y así sucesivamente. Transmogrify permite al usuario cambiar la información de encabezado de un archivo, por lo que un encabezado (.jpg) podría cambiarse a un encabezado (.doc). Si un programa de análisis forense o un sistema operativo realizara una búsqueda de imágenes en una máquina, simplemente vería un archivo (.doc) y lo pasaría por alto. [2]
En el pasado, las herramientas antiforenses se han centrado en atacar el proceso forense destruyendo datos, ocultándolos o alterando la información sobre el uso de los mismos. Recientemente, la ciencia forense se ha trasladado a un nuevo ámbito en el que las herramientas y técnicas se centran en atacar las herramientas forenses que realizan los exámenes. Estos nuevos métodos antiforenses se han beneficiado de una serie de factores, entre los que se incluyen procedimientos de examen forense bien documentados, vulnerabilidades de herramientas forenses ampliamente conocidas y una gran dependencia de las herramientas por parte de los examinadores forenses digitales. [3]
Durante un examen forense típico, el examinador crearía una imagen de los discos de la computadora. Esto evita que la computadora original (evidencia) sea contaminada por herramientas forenses. Los hashes son creados por el software de examen forense para verificar la integridad de la imagen. Una de las técnicas anti-herramientas recientes apunta a la integridad del hash que se crea para verificar la imagen. Al afectar la integridad del hash, cualquier evidencia que se recopile durante la investigación posterior puede ser cuestionada. [3]
Para evitar el acceso físico a los datos mientras el ordenador está encendido (por ejemplo, en caso de robo o incautación por parte de las fuerzas de seguridad), existen diferentes soluciones que se podrían implementar:
Algunos de estos métodos se basan en apagar la computadora, mientras que los datos pueden permanecer retenidos en la RAM desde un par de segundos hasta un par de minutos, lo que teóricamente permite un ataque de arranque en frío . [21] [22] [23] La congelación criogénica de la RAM puede extender este tiempo aún más y se han detectado algunos ataques en la naturaleza. [24] Existen métodos para contrarrestar este ataque y pueden sobrescribir la memoria antes de apagar. Algunas herramientas antiforenses incluso detectan la temperatura de la RAM para realizar un apagado cuando está por debajo de un cierto umbral. [25] [26]
Se han hecho intentos de crear un ordenador de sobremesa resistente a las manipulaciones (a fecha de 2020, el modelo ORWL es uno de los mejores ejemplos). Sin embargo, la investigadora de seguridad y fundadora de Qubes OS, Joanna Rutkowska , debate la seguridad de este modelo en particular . [27]
Si bien el estudio y las aplicaciones de la anti-forense están generalmente disponibles para proteger a los usuarios de ataques forenses a sus datos confidenciales por parte de sus adversarios (por ejemplo, periodistas de investigación, defensores de derechos humanos, activistas, espionaje corporativo o gubernamental ), Mac Rogers de la Universidad de Purdue señala que las herramientas anti-forenses también pueden ser utilizadas por delincuentes.
Rogers utiliza un enfoque más tradicional de "escena del crimen" para definir la anti-ciencia forense: "Intentos de afectar negativamente la existencia, cantidad y/o calidad de la evidencia de una escena del crimen, o hacer que el análisis y examen de la evidencia sea difícil o imposible de realizar". [3]
Los métodos antiforenses se basan en varias debilidades del proceso forense, entre ellas: el elemento humano, la dependencia de herramientas y las limitaciones físicas y lógicas de las computadoras. [28] Al reducir la susceptibilidad del proceso forense a estas debilidades, un examinador puede reducir la probabilidad de que los métodos antiforenses tengan un impacto exitoso en una investigación. [28] Esto se puede lograr brindando mayor capacitación a los investigadores y corroborando los resultados utilizando múltiples herramientas.