Multimedia-Forensik als Teildisziplin der digitalen...

Multimedia-Forensik als Teildisziplinder digitalen Forensik

Rainer Bohme?†, Felix Freiling‡, Thomas Gloe†, Matthias Kirchner†

†Technische Universitat Dresden ‡Universitat Mannheim∗

ICSI Berkeley

39. GI Jahrestagung Informatik — Digitale Multimedia-Forensik

Lubeck · 28. September 2009

Gliederung

1 Einfuhrung in die Computer- und Multimedia-Forensik

2 Einordnung der Teildisziplinen

3 Techniken zur Vereitelung forensischer Erfolge

4 Konsequenzen fur die Praxis

Lubeck, 28.09.2009 Multimedia-Forensik als Teildisziplin der digitalen Forensik Folie 2 von 24

Multimedia-ForensikWissenschaft zur Feststellung der Authentizitat von digitalen Mediendaten

Ziele: Entdeckung von Manipulationen und Ruckschlusse auf das Eingabegerat

Analyseansatze:

I ManipulationsartefakteResampling · Copy & Paste · Inkonsistenzen der Beleuchtung ·Mehrfachkompression

I Charakteristiken des Eingabegeratsz. B. Digitalkamera:

SensorFarb-

interpolation

verarbeitung

digitales BildAbbildungs-

fehlerCFA-Layout

fehlerhafte

Sensorelemente,

Sensorrauschen

Interpolations-

verfahren

Quantisierungs-

tabelle

Beispiele fur Multimedia-Forensik

I Identifikation einer Digitalkameraanhand von Sensorrauschen

I Copy & Paste-Detektor

?Lubeck, 28.09.2009 Multimedia-Forensik als Teildisziplin der digitalen Forensik Folie 4 von 24

mutmaßliches Original

Was ist eigentlich Computer-Forensik ?

Computer-Forensik

101 1 0

52 51 51 51 49

49 40 36 34 33

55 48 40 33 23

62 58 45 33 22

66 62 53 34 22

Computer-Forensik

010 1 1

52 51 51 51 49

49 40 36 34 33

55 48 40 33 23

62 58 45 33 22

66 62 53 34 22

Computer-Forensik

011 1 0

52 51 51 51 49

49 40 36 34 33

55 48 40 33 23

62 58 45 33 22

66 62 53 34 22

Computer-Forensik

110 0 1

52 51 51 51 49

49 40 36 34 33

55 48 40 33 23

62 58 45 33 22

66 62 53 34 22

Gliederung

Strukturierungsvorschlag fur digitale Forensik

Forensik

digitale Forensik

Computer-forensik

Multimedia-forensik

analoge Forensik

digitale Beweismittel(engl. digital evidence)

materielle Beweismittel(engl. physical evidence)

1 0 1 1 1 1 1 1 1 0 1

0 0 0 0 0 1 0 1 0 0 0

1 0 0 1 1 0 1 1 1 1 0

0 0 0 0 0 0 0 0 0 1 0

1 1 0 0 1 1 0 0 1 0 0

0 0 1 1 0 0 0 0 0 1 1

0 1 1 1 1 0 1 1 0 1 0

0 1 1 0 0 0 1 1 0 0 1

1 1 0 0 1 1 1 1 1 1 1

0 1 1 1 0 0 0 1 0 0 1

endliche Folge diskreter undvollstandig beobachtbarer Symbole

Falschbarkeit

Techniken zur Vereitelung forensischer Erfolge

(engl. counter-forensics)

“physical evidence cannot be wrong,it cannot perjure itself,it cannot be wholly absent”

Kirk (1953)

”perfektes Ver-

brechen“moglichSuche nach dembesten Modell ”

perfektes Verbrechen“ausgeschlossen

Forensik

digitale Forensik

Computer-forensik

Multimedia-forensik

analoge Forensik

1 0 1 0 1 0 0 1 1 0 1

1 0 1 0 1 0 0 0 0 1 0

0 1 1 1 1 0 0 0 1 0 0

0 1 0 1 1 1 1 1 1 1 1

0 0 0 0 1 1 0 0 0 0 1

1 0 1 0 0 1 0 0 1 1 0

0 1 0 0 0 1 0 0 0 1 0

1 0 1 0 0 0 1 1 0 0 0

1 0 1 1 1 1 1 1 1 1 1

0 1 0 1 1 1 1 0 0 0 1

Falschbarkeit

Kirk (1953)

”perfektes Ver-

Die folgenden Argumentezeichnen bewusst ein

Schwarz-Weiß-Bild

ACHTUNG

Die folgenden Argumentezeichnen bewusst ein

Schwarz-Weiß-Bild

ACHTUNG

Computer-Forensik 6= Multimedia-Forensik

Computer-Forensik Multimedia-Forensikmaterielle Welt (

”Realitat“)

WWWWWW

10111 0 0 1

digitale Beweismittel

materielle Welt (”Realitat“)

10111 0 0 1

I Digitale Beweismittel sind isoliert

von der materiellen Welt.I Digitale Beweismittel stehen im

Bezug zur materiellen Welt.

”Realitat“)

10111 0 0 1

”Realitat“)

WWW10111 0 0 1

10111 0 0 1

von der materiellen Welt.

I Digitale Beweismittel stehen im

”Realitat“)

WWW10111 0 0 1

10111 0 0 1

von der materiellen Welt.

I Digitale Beweismittel stehen im

”Realitat“)

WWW10111 0 0 1

10111 0 0 1

Besonderheiten der Computer-Forensik

Realitat

digitaleDaten

Verarbeitung

verdachtigeSpuren?

I Digitale Beweismittel ergebensich aus dem Zustand einesAutomaten.

I Die Anzahl moglicher Zustandein einem geschlossenen Systemist endlich.

I Realistische Chance, denComputer gezielt in einenZustand zu versetzen, der alleSpuren perfekt verwischt.

Realitat

digitaleDaten

VerarbeitungverdachtigeSpuren?

Realitat

digitaleDaten

Realitat

digitaleDaten

Realitat

digitaleDaten

Besonderheiten der Multimedia-Forensik

digitalesMedien-objekt

Verarbeitung

Sensor

Original?

Herkunft?

I Sensoren bilden Teile der Realitat indigitalen Reprasentationen ab.

I Die Realitat ist nicht endgultig erkennbar:Es ist nicht mit Sicherheit entscheidbar, obeine digitale Reprasentation der Realitatentspricht (d. h.

”wahr“ist) oder nicht.

I Multimedia-Forensik ist also eineempirische Wissenschaft.

Verarbeitung

Sensor

Original?

Herkunft?

Verarbeitung

Sensor

Original?

Herkunft?

Verarbeitung

Sensor

Original?

Herkunft?

Verarbeitung

Sensor

Original?

Herkunft?

Sensor als Quelle von Unsicherheit

I Dimensionsreduktion durch Projektion der Realitat auf diskrete Symbole

I Unsicherheitsquelle schrankt Aussagekraft der Multimedia-Forensik ein(im Gegensatz zur Computer-Forensik).

I zusatzliche Unsicherheit durchstandardmaßige oder

”zulassige“Nachbearbeitung

Freiheitsgrade

I Dimensionsreduktion durch Projektion der Realitat auf diskrete SymboleI Unsicherheitsquelle schrankt Aussagekraft der Multimedia-Forensik ein

(im Gegensatz zur Computer-Forensik).

Freiheitsgrade

I Dimensionsreduktion durch Projektion der Realitat auf diskrete SymboleI Unsicherheitsquelle schrankt Aussagekraft der Multimedia-Forensik ein

(im Gegensatz zur Computer-Forensik).

Freiheitsgrade

Weitere Dimensionsreduktion durch Modelle

I Modelle helfen, digitalisierte Abbilder derRealitat formal zu fassen.

I Typische Modellannahmen:. Sensorrauschen folgt einer Normalverteilung;. zusammenhangende Regionen identischer Pixel

treten in Originalbildern nicht auf.

Projektion aufeinen Skalar

I Modellannahmen implizieren weitere Dimensionalitatsreduktion.I Modellgute bestimmt die Aussagekraft jeder forensischen Analysemethode!

Gliederung

Forensik

digitale Forensik

Computer-forensik

Multimedia-forensik

analoge Forensik

0 1 0 1 0 1 0 0 0 1 0

1 1 1 1 1 0 0 1 0 0 0

0 1 0 0 1 0 0 0 1 1 0

1 1 1 1 1 1 0 1 0 1 1

0 1 0 0 1 1 0 0 0 1 0

0 1 1 1 1 1 0 1 1 0 1

1 1 0 1 1 1 0 0 0 1 1

0 0 1 1 1 1 1 0 0 0 1

0 0 0 1 0 1 1 1 1 1 1

1 1 0 0 0 0 1 1 1 1 1

Falschbarkeit

Kirk (1953)

”perfektes Ver-

Forensik

digitale Forensik

Computer-forensik

Multimedia-forensik

analoge Forensik

0 0 1 1 0 1 1 0 1 0 0

0 1 1 1 1 1 1 1 0 1 1

1 1 0 1 1 0 1 0 1 1 1

0 1 0 1 1 1 0 0 0 1 1

1 0 1 0 0 0 0 1 1 1 1

1 0 0 0 1 1 1 1 1 1 0

0 0 0 1 1 1 1 0 0 0 1

1 0 0 0 0 0 0 0 1 0 0

1 1 0 1 1 1 1 0 1 1 0

0 0 1 0 1 1 0 0 0 1 1

Falschbarkeit

Kirk (1953)

”perfektes Ver-

Vereitelungstechniken bei Computer-Forensik

Spurenhinterlassen

Spurentilgen

Spuren vor-ausschauendvermeiden

gultiger Zustand ungultiger Zustand

gultiger Zustand

Gultige Zustande sind bekanntoder konnen vorab gesichert werden.

und konnen nicht gesichert werden.

Virtualisierung

Ob ein Zustand als gultiggilt oder nicht, hangt vomverwendeten Modell ab.

Spurenhinterlassen

Spurentilgen

gultiger Zustand ungultiger Zustand gultiger Zustand

Virtualisierung

Spurenhinterlassen

Spurentilgen

Virtualisierung

Spurenhinterlassen

Spurentilgen

Virtualisierung

Spurenhinterlassen

Spurentilgen

Virtualisierung

Vereitelungstechniken bei Multimedia-Forensik

Spurenhinterlassen

Spurentilgen

Virtualisierung

Vereitelungstechniken bei Multimedia-Forensik

Spurenhinterlassen

Spurentilgen

Gultige Zustande sind unbekanntoder konnen vorab gesichert werden.und konnen nicht gesichert werden.

Virtualisierung nicht moglich

Forensik

digitale Forensik

Computer-forensik

Multimedia-forensik

analoge Forensik

1 1 1 1 1 0 0 0 1 0 0

0 1 0 0 0 0 0 0 1 1 0

0 1 0 1 1 1 0 0 1 0 1

1 1 0 1 0 0 0 0 0 1 0

1 1 1 0 0 0 0 0 0 0 1

1 0 0 0 0 1 1 0 0 0 0

0 0 0 1 0 0 0 1 1 0 0

1 0 0 0 0 0 0 1 0 0 0

0 0 0 0 1 1 1 0 0 0 0

0 1 0 0 1 0 1 0 0 1 1

Falschbarkeit

Kirk (1953)

”perfektes Ver-

Gliederung

Computer-Forensik im weiteren Sinne

I Rechner interagieren mit ihrer Umgebung.

materielle Beweismittel

WWW10111 0 0 1

I Rechner sind oft Teile eines Netzes.I Viele Rechner sind selbst Sensoren.I Rechner hinterlassen Spuren in der

materiellen Welt (z. B. elektromagn. Abstrahlung).

WWW10111 0 0 1

digitale BeweismittelWWW

I Rechner sind oft Teile eines Netzes.

I Viele Rechner sind selbst Sensoren.I Rechner hinterlassen Spuren in der

WWW10111 0 0 1

I Rechner sind oft Teile eines Netzes.I Viele Rechner sind selbst Sensoren.

I Rechner hinterlassen Spuren in dermateriellen Welt (z. B. elektromagn. Abstrahlung).

WWW10111 0 0 1

I Rechner sind oft Teile eines Netzes.I Viele Rechner sind selbst Sensoren.I Rechner hinterlassen Spuren in der

Zu guter Letzt: Ein Blick in die Praxis

LUBECK ’09

Schlussbemerkungen

I Ermittler kombinieren in der Regel verschiedene forensische Wissenschaften.I Dies

”vernebelt“den Blick auf wichtige Unterscheidungen bzgl. der jeweiligen

zugrunde liegenden Annahmen.

I Denn: digitale Beweismittel 6= digitale Beweismittel ( 6= materielle Beweismittel):. Digitale Beweismittel in der Computer-Forensik weisen einen schwacheren

Bezug zur Realitat auf, als in der Multimedia-Forensik.. Dies hat Konsequenzen auf die Aussagekraft forensischer Analysen.

I Forschungsbedarf: formalere Beschreibung auf Grundlage derWahrscheinlichkeitslehre

Die Realitat ist nicht endgultig erkennbar, . . .aber Ihre Anregungen helfen, einen vollstandigeren Blick auf sie zu erlangen.

Schlussbemerkungen

Die Realitat ist nicht endgultig erkennbar, . . .

aber Ihre Anregungen helfen, einen vollstandigeren Blick auf sie zu erlangen.

Schlussbemerkungen

Die Realitat ist nicht endgultig erkennbar, . . .aber Ihre Anregungen helfen, einen vollstandigeren Blick auf sie zu erlangen.

Danke fur Ihre Aufmerksamkeit

Fragen ? Kommentare ?

Rainer Bohme?†, Felix Freiling‡, Thomas Gloe†, Matthias Kirchner†

†Technische Universitat Dresden ‡Universitat Mannheim∗

ICSI Berkeley

Rainer Bohme ist Postdoktorand am ICSI Berkeley, seine Reise nach Lubeck wurde freundlicherweise

vom DAAD unterstutzt. Matthias Kirchner ist Stipendiat der Deutschen Telekom Stiftung, Bonn.

Quellennachweis

I Iranischer Raketentest (4) http://www.spiegel.de

I Festplatte (6) http://commons.wikimedia.org/wiki/File:Open_hard-drive.jpg

I Diskette (11,17) http://commons.wikimedia.org/wiki/GNOME_Desktop_icons

I Kernspeicher (11) http://commons.wikimedia.org/wiki/File:KL_CoreMemory.jpg

I Multimedia (12,18) http://commons.wikimedia.org/wiki/GNOME_Desktop_icons

I Fingerabdrucke (22) http://www.lanl.gov/news/albums/chemistry/fingerprint.jpg

I Handschellen (22) http://commons.wikimedia.org/wiki/File:Handcuffs01_2003-06-02.jpg

Multimedia-Forensik als Teildisziplin der digitalen...

Documents

Multimedia Storytelling

MR Forensik

PENGARUH AUDIT FORENSIK DAN KOMPETENSI AUDITOR …

Modulhandbuch Forensik

Trauma Forensik 01 2008 (BS)

40829 Yamanaka komplett - utzverlag · III 3.6.1.1 Fachbereich Forensik.....141 3.6.1.2 Patienten im Fachbereich Forensik (in Bezug auf § 63 StGB)

FORENSIK DIGITAL DETEKSI PEMALSUAN COPY- MOVE …

3. Multimedia Kap. 3. 3.1 Definition „Multimedia“ Kap. 3

Multimedia adaptor

Laser & Multimedia Rental and Dry Hire Laser & Multimedia

IT Forensik

Kroll Ontrack Computer Forensik

PRAKTIKUM FORENSIK

Taschenbuch Multimedia

Computer Forensik in der Praxiscomputer-forensik.org/download/Computer Forensik Cebit 2006 Alexander... · Computer-Forensik1 (oder auch Digitale Forensik, IT-Forensik, IuK Forensik):

Wirtschaftskriminalität und Cyber-Security• IT-Forensik und Ermittlungsarbeit • Darstellung von Beispielfällen • Forensik mit großen Datenmengen (Big Data) • eDiscovery,

Sains Forensik 2018/2019 - Universiti Kebangsaan Malaysia · 2018. 8. 30. · Sains Forensik 2018/2019 4 Program Sains Forensik dengan Kepujian Pengenalan Program pengajian ini mengambil

10. Multimedia - download.mmag.hrz.tu-darmstadt.dedownload.mmag.hrz.tu-darmstadt.de/media/HRZ/elc/OpenLearnWare... · 10. Multimedia 10.1 Multimedia und Multimedia-Technik 10.2 Modalität

Grenzen des Histogramm-Angri - TU Dresden · Verschiedene Erweiterungen der urspr unglichen Methode (insbesondere " strukturelle Steganalyse\) WS 2012/2013 Steganographie und Multimedia-Forensik

FO-B 2017 Allgemeine und Digitale Forensik · Lehrinhalte: Einführung in die Forensik Begrifflichkeiten Anatomie des Verbrechens - Meilensteine der Forensik Wissenschaftlichkeit