Capítulo 3 — Física para computação
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX007.
flowchart TD
N0["3.1 Armazenamento magnético"]
N1["3.2 Armazenamento flash"]
N2["3.3 TRIM e coleta de lixo"]
N3["3.4 Volatilidade"]
N4["3.5 Eletricidade estática e manuseio"]
N5["3.6 Calor e dados"]
N6["Mídias ópticas e removíveis"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX007"]
Desenho lógico
flowchart LR
N0["3.1 Armazenamento magnético"]
N1["3.2 Armazenamento flash"]
N2["3.3 TRIM e coleta de lixo"]
N3["3.4 Volatilidade"]
N4["3.5 Eletricidade estática e manuseio"]
N5["3.6 Calor e dados"]
N6["Mídias ópticas e removíveis"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX007"]
[3.1 Armazenamento magnético]
|
v
[3.2 Armazenamento flash]
|
v
[3.3 TRIM e coleta de lixo]
|
v
[3.4 Volatilidade]
|
v
[3.5 Eletricidade estática e manuseio]
|
v
[3.6 Calor e dados]
|
v
[Mídias ópticas e removíveis]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX007]
Objetivos de aprendizagem
Você vai (1) explicar como os dados são armazenados fisicamente em mídias magnéticas e flash; (2) relacionar a física à recuperação pericial; (3) explicar por que as unidades de estado sólido mudam a aquisição; (4) manusear evidências com segurança.
3.1 Armazenamento magnético
Discos rígidos armazenam bits como regiões magnetizadas em pratos giratórios, lidos por uma cabeça que voa a nanômetros da superfície. Um choque físico pode fazer a cabeça colidir com o prato, e é por isso que discos apreendidos são embalados contra vibração. Como a cabeça lê cada setor magneticamente, dados sobrescritos num disco moderno em geral desaparecem; a recuperação depende de setores que nunca foram reutilizados. Discos envelhecidos desenvolvem setores fracos que retornam erros na primeira leitura, e é por isso que as ferramentas de aquisição tentam de novo e registram esses setores. Um disco que estala ou não gira vai para um especialista, em vez de ser forçado por tentativas repetidas que poderiam liquidá-lo.
3.2 Armazenamento flash
Unidades de estado sólido (SSDs) armazenam carga em células de porta flutuante ou de captura de carga. As células se desgastam, por isso um controlador espalha as escritas (nivelamento de desgaste) e mapeia blocos lógicos para páginas físicas. O computador hospedeiro vê apenas endereços lógicos. O mapeamento entre posições lógicas e físicas é assunto privado do controlador, de modo que o mesmo bloco lógico pode estar em páginas físicas diferentes de um dia para o outro. Um perito que adquire a imagem pela interface normal obtém a visão lógica, que é a que o sistema de arquivos usa. Técnicas de chip-off ou no nível do controlador podem ver mais, mas são especializadas, destrutivas ou ambas as coisas, e o laboratório as trata como uma decisão separada.
3.3 TRIM e coleta de lixo
Quando o sistema operacional exclui um arquivo, ele pode enviar o comando TRIM, informando à unidade que aqueles blocos estão livres. O controlador pode então apagá-los em segundo plano, mesmo enquanto a unidade está energizada para a aquisição. Por isso, dados excluídos em SSDs podem ser irrecuperáveis, ao contrário do que ocorre em muitos discos rígidos. Isso tem duas consequências práticas. Um SSD deve ter sua imagem adquirida prontamente, porque o controlador pode continuar apagando em segundo plano enquanto a unidade está energizada. E duas imagens tiradas com minutos de diferença podem diferir nas áreas não alocadas, mesmo que ninguém tenha escrito na unidade. As anotações de Priya registram o horário em que a unidade foi ligada e o início da aquisição, para que uma diferença de hash posterior no espaço livre possa ser explicada em vez de confundida com adulteração.
3.4 Volatilidade
A RAM só mantém carga enquanto está energizada. A RFC 3227 ordena as evidências por volatilidade — registradores e cache, depois memória, depois disco —, porque o mais volátil desaparece primeiro. Na prática, a ordem de volatilidade se converte numa decisão do primeiro atendimento. Se um notebook está ligado e mostra um volume criptografado desbloqueado, capturar a memória primeiro pode preservar chaves que se perderiam ao desligar. Se o dispositivo já está desligado, não resta nada volátil a coletar, e ele não é ligado para descobrir. A lista de verificação de Priya pergunta em que estado o dispositivo estava e quem decidiu o quê, a que horas.
3.5 Eletricidade estática e manuseio
A descarga eletrostática pode danificar componentes eletrônicos, por isso sacos antiestáticos e aterramento são rotina. O NIST SP 800-101r1 também discute o isolamento de dispositivos móveis em relação às redes, para impedir alterações remotas. O isolamento de rede de celulares pode significar modo avião, um saco blindado ou ambos, e cada opção tem suas contrapartidas. Um saco blindado pode drenar a bateria enquanto o celular procura sinal, e ativar o modo avião significa tocar no dispositivo. O registro de manuseio anota qual método foi usado, quando e por quem, porque uma pergunta posterior sobre apagamento remoto ou chegada de mensagens vai depender disso.
3.6 Calor e dados
O calor não apaga lentamente discos modernos em temperatura ambiente, mas o calor extremo danifica o hardware; os depósitos de evidências mantêm condições moderadas. As condições de armazenamento importam mais para baterias e para mídias degradadas do que para dados em discos saudáveis. Uma bateria de celular estufada é um risco de incêndio e é isolada num recipiente à prova de fogo. Mídias ópticas antigas e fitas podem se delaminar em armazenamento úmido. O depósito de evidências registra temperatura e umidade, de modo que, se uma leitura posterior falhar, o laboratório pode mostrar se as condições de armazenamento poderiam ter contribuído.
Mídias ópticas e removíveis
Discos ópticos armazenam dados como depressões lidas por um laser e se degradam com arranhões e com o tempo; cartões de memória são flash e compartilham o comportamento dos SSDs. Cada mídia tem suas próprias notas de manuseio e de aquisição, e o perito registra no recebimento o tipo de mídia, seu estado e seu número de série.
Exemplo resolvido
Um perito adquire duas vezes a imagem do SSD de um notebook, com uma hora de intervalo, enquanto a unidade permanece energizada por um bloqueador de escrita. Os hashes diferem. Hugo explica uma causa plausível: a coleta de lixo em segundo plano alterou páginas não alocadas que a unidade informa. O perito registra os dois hashes e a explicação em vez de descartar um deles.
Caso sintético. Os dois hashes são inventados.
Erros e limites
O comportamento dos controladores varia conforme o fabricante e o firmware; afirmações sobre recuperabilidade precisam ser testadas no modelo específico.
Exercícios
- EX007 — Efeito do TRIM. Por que dados excluídos podem ser irrecuperáveis num SSD? Rubrica: 3 = o TRIM permite que o controlador apague blocos liberados; 2 = parcial; 1 = SSDs criptografam; 0 = nada.
- EX008 — Ordem de volatilidade. Ordene RAM, disco e cache da CPU pela volatilidade da RFC 3227. Rubrica: 3 = cache, RAM, disco; 2 = uma troca; 1 = invertida; 0 = nada.
- EX009 — Hashes divergentes. Como devem ser documentados dois hashes divergentes de imagens de SSD? Rubrica: 3 = registrar ambos, explicar a causa provável; 2 = parcial; 1 = descartar um; 0 = nada.
Síntese
A física explica por que as mídias se comportam de forma diferente e por que a ordem de aquisição e o manuseio importam.
Continue estudando — capítulo 03 de 50
← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →