IT-forensiek & veiligstellen van digitaal bewijs

Bij dataherstel telt het resultaat: het bestand is terug, prima. Bij forensisch veiligstellen telt ook de weg ernaartoe. Wie had de gegevensdrager en wanneer? Waarmee is gelezen? Valt aan te tonen dat er tussen aanname en analyse niets is veranderd?

Daarom staat aan het begin een veiligstelling, waarover een controlegetal wordt berekend — een soort vingerafdruk van de dataset. Elke latere analyse loopt op een kopie van die veiligstelling. Kan het controlegetal op elk moment opnieuw worden berekend, dan staat vast dat de geanalyseerde kopie sinds de veiligstelling ongewijzigd is.

Bij harde schijven en SSD’s is dat een volledige image, schrijfbeveiligd gelezen. Bij smartphones is een bit-voor-bit-image vaak niet mogelijk, en elke extractie vereist dat het toestel draait en met het extractiesysteem communiceert. Welke ingrepen daarvoor nodig waren, wordt daarom gedocumenteerd.

Voor u betekent dat vooral één ding: pak het van tevoren niet zelf aan. Een veelvoorkomende reden dat een dataset als bewijs aan waarde verliest is niet manipulatie maar goedbedoeld initiatief — een collega die „even wilde kijken".

Versleutelde containers, vergrendelde archieven, dragers met een vergeten wachtwoord: bij zaken met een rechtmatige aanspraak op toegang werken we met Passware. De versleuteling zelf wordt daarbij niet gebroken. Passware zoekt gestructureerd naar het wachtwoord en kan — indien aanwezig — sleutels ook uit geheugenimages of slaapstandbestanden halen.

De kansen van een wachtwoordzoektocht hangen af van wat er bekend is: globale lengte, gebruikte patronen, oude varianten, bedrijfsgewoonten. Uit zulke gegevens valt een zoekruimte te bouwen die klein genoeg is. Zonder aanknopingspunten en zonder sleutelmateriaal werkt het niet, en dat zeggen we liever vooraf.