[论文解读] Leveraging Decentralization to Extend the Digital Evidence Acquisition Window: Case Study on BitTorrent Sync

Mark Scanlon, Jason Farina+2 more|Sep 30, 2014

Digital and Cyber Forensics参考文献 1被引用 4

一句话总结

本文提出了一种法医学上可靠的远程恢复与验证去中心化文件同步服务（如BitTorrent Sync）中数字证据的方法，利用原生基于哈希的完整性检查确保真实性。该方法可从对等设备中恢复已删除或无法访问的文件，概念验证表明，通过SHA1验证可成功重建原始文件。

ABSTRACT

File synchronization services such as Dropbox, Google Drive, Microsoft OneDrive, Apple iCloud, etc., are becoming increasingly popular in today's always-connected world. A popular alternative to the aforementioned services is BitTorrent Sync. This is a decentralized/cloudless file synchronization service and is gaining significant popularity among Internet users with privacy concerns over where their data is stored and who has the ability to access it. The focus of this paper is the remote recovery of digital evidence pertaining to files identified as being accessed or stored on a suspect's computer or mobile device. A methodology for the identification, investigation, recovery and verification of such remote digital evidence is outlined. Finally, a proof-of-concept remote evidence recovery from BitTorrent Sync shared folder highlighting a number of potential scenarios for the recovery and verification of such evidence.

研究动机与目标

• 解决在本地数据丢失或删除后，从去中心化文件同步服务中恢复数字证据的挑战。
• 开发一种法医学上可靠的远程获取方法，确保证据的完整性和真实性。
• 证明通过对等网络交互从BitTorrent Sync中恢复证据的可行性。
• 利用原生协议级别的哈希机制验证恢复的证据，确认其与原始文件的一致性。
• 提供一个可应用于其他去中心化同步网络（如Syncthing和ownCloud）的框架。

提出的方法

• 该方法使用已知对等设备IP地址，从已同步设备远程下载文件，绕过身份验证要求。
• 仅启用“已知对等设备”模式，禁用所有其他对等发现方法，以控制并隔离证据获取过程。
• 通过文件分片的SHA1哈希验证文件完整性，将每个分片的哈希值与存储在ShareID.db数据库中的原始值进行比对。
• 协议原生使用SHA1进行分片级别验证，可检测到损坏或被篡改的下载内容。
• 该方法依赖日志分析（如sync.log）和数据库检查（如ShareID.db）以识别已删除或修改的文件。
• 使用法医学上可靠的证据恢复机器，确保证据链完整并防止污染。

实验结果

研究问题

• RQ1 在本地删除或设备被攻破后，能否可靠地从去中心化文件同步服务中恢复数字证据？
• RQ2 在不依赖客户端身份验证的情况下，如何验证远程获取证据的完整性？
• RQ3 原生协议级别的哈希机制在确保恢复数据真实性方面发挥什么作用？
• RQ4 法医调查人员如何识别并访问已从嫌疑人本地设备中移除的文件的远程副本？
• RQ5 该方法在多大程度上可推广至其他去中心化同步网络？

主要发现

• 概念验证成功从远程对等设备（ComputerA）恢复了已删除文件badfilethree.txt，其SHA1哈希值为3598492B4D1CE5FAFD9EF76E8FA54C8F55E0716A。
• 恢复过程通过BitTorrent Sync协议原生的分片级别哈希验证，确保了数据一致性。
• 该方法通过日志和数据库分析识别出已删除文件，包括ShareID.db中的失效标记。
• 该方法支持从移动设备上本地删除的数据（如通过BTSync同步的照片和视频）进行恢复。
• 去中心化网络中频繁使用的哈希机制为证据验证提供了稳健的机制，并可与已知恶意哈希值进行比对。
• 局限性包括：远程主机在检测到可疑IP后可能断开连接，以及若证据在所有对等设备上被删除，则可能在获取前已丢失。