APFS解析バグとEnCaseバージョン間の比較。
この投稿はパーマリンクをカバーしています
BitLockerで暗号化されたディスクイメージをEnCaseなどのフォレンジックツールに読み込む際、小さなポップアップウィンドウが表示され、パスワードの入力を求められます。
上記と同様に、FileVaultパスワードを適用したAPFS（Appleファイルシステム）を取得した後、EnCaseはファイルシステムを解釈するためにパスワードを要求します。これがEnCaseの仕組みです。
最近、EnCase v20.xで有効なパスワードを入力しても、ツールがファイルシステム全体を解析していないことが確認されました。ファイルシステムの処理方法を見ていきましょう。
EnCase バージョンパーマリンク
EnCaseには多数のバージョンがあり、OpenTextは定期的に製品リリースを更新しています。2020年のアップデートでは、バージョンがv8.11からv20.xへと大幅に向上し、UIも青みがかった（または濃い紺色）に変更されたことにかなり驚きました。
そのため、EnCaseに何か大きな変化が起こるのではないかと少し期待していたのですが、個人的に予想していたほど大きな変更はなかったようです。
結論から言うと、OpenTextは2020年からEnCaseの新バージョンを四半期ごとに、つまり年4回リリースしています。バージョン管理は、年と四半期ごとに以下のように行われます。
（年）（四半期）：20.1 ➔ 20.2 ➔ 20.3 ➔ 20.4。
[図1. 製品リリースタイムライン]
（出典：OpenText Forensics DataExpert ウェビナー）
EnCase v20.4 vs. v8.11パーマリンク
比較テストは、EnCase v8.11（v8.xシリーズの最終バージョン）と、現在の最新リリースであるv20.4を使用して実施され、各製品に同じAPFSイメージをロードし、基本的なファイルシステム解析機能を比較します。
v8.11とv20.4の両方で、予想通りAPFSを復号化するためにファイルボールトのパスワードを入力するよう求められます。ただし、両者にはわずかな違いがあります。v20.4で有効なパスワードを入力すると、パスワードが一致しないかのように、ツールはパスワード入力画面を再度表示し、さらに1回、合計3回表示します。
[図2. パスワード入力画面]
同じパスワード入力要求が3回表示されることから、EnCase v20.4はファイルシステムを解釈しているかのように振る舞い、カタログの解析、FSツリーの処理などを行っています。APFSを調査する際には、この点に十分注意する必要があります。
[図3. EnCase v20.4におけるFSツリーの処理]
下の図4に示すように、取得を実行する前に、MacquisitionによってリストされているAPFSコンテナ（ disk1 - APFSコンテナ（合成） ）内のボリュームを確認してください。
ディスク1には5つのボリュームが表示され、そのうちMacintosh HD - 데이터はユーザーデータが保存されている正しいボリュームです。
[図4. Macquisition社がリストアップしたディスクドライブ]
テスト後、5つのカテゴリごとにバージョン間の違いを比較してみましょう。
1. APFSコンテナ内のボリュームリストパーマリンク
v8.11はAPFSスーパーブロックを解析し、ツール内で正確に5つのボリュームを特定しますが、v20.4はファイルシステムを部分的に解析しているようで、曖昧で不明瞭な何かが含まれています。
[図5. ボリュームリスト - EnCase v8.11]
[図6. ボリュームリスト - EnCase v20.4]
2. データ妥当性パーマリンク
EnCase v8.11では、すべてのエントリが有効でアクセス可能です。ビューアペインの左下には個人の写真が表示され、ビデオも通常どおり再生できます。
[図7. EnCase v8.11 - IMG_0459.JPG (有効な画像)]
しかし、v20.4では、ファイル名やフォルダは正常に見えるかもしれませんが、写真の大部分が表示されません。一部の写真は不鮮明に表示され、有効な写真は全体の30%程度しかありません。
[図8. EnCase v20.4 - IMG_0459.JPG (無効な画像)]
これは、NTFSファイルシステムで一部のセクターが突然欠落する問題と似ているように思います。ツールは$MFTにアクセスしてファイル名、フォルダ、メタデータを解析できますが、データ実行（クラスタ実行）のオフセットや長さが実際のデータ領域を正確に指していない、といった状況です。
[図9. EnCase v20.4（一部無効）]
3. ファイルのエクスポートと比較パーマリンク
ファイルの開始オフセットが本当に開始点であることを確認する必要があります。
確認の結果、JPGファイルのヘッダーが青色でハイライト表示されていたため、開始オフセットが正しいことが分かりました。
[図10. EnCase v20.4におけるサンプル画像のヘッダー]
さらにこの問題を掘り下げるため、各バージョンからサンプル写真を抽出し、違いを検証してみましょう。
オフセット0x0FFFまでは同じデータが格納されますが、オフセット0x1000（4096バイト）以降では、EnCase v20.4はv8.11とは全く異なる16進数値を表示します。さらに、最後のオフセットはJPEGのフッター署名ですらありません。
はい、完全に電力網から切り離されています。
[図11. v8.11とv20.4のデータ比較]
EnCase v20.4では、ファイルを抽出できないという警告が表示されることがあるため、これは間違いなく修正が必要な製品のバグである。
4. エントリー数パーマリンク
最後に、エントリ数はバージョンによって異なります。v8.11 の総エントリ数は1,141,823 件であるのに対し、v20.4 では622,533 件です。
[図12. v8.11とv20.4間のエントリ数]
まとめパーマリンク
数か月前、EnCase v20.2でこのAPFS解析バグに遭遇し、次のリリースであるv20.4で修正されるだろうと思っていましたが、まだ同じ問題が残っており、修正されていません。
当面の間、EnCaseでAPFSのフォレンジックを扱う際には、特に注意を払う必要があります。
参照パーマリンク
- https://developer.apple.com/support/downloads/Apple-File-System-Reference.pdf
- https://www.dataexpert.nl/media/rczo0203/opentext-forensics_dataexpert_webinar.pdf
著作権 (CC BY-NC 2.0)パーマリンク
コメントを残す