Arvutis toimunu uurimisel on veebibrauser sageli suur vaikne tunnistaja. Firefox oma profiilisüsteemi ja intensiivse SQLite andmebaaside kasutamisega on eriti huvitav arvutikriminalistikas: see võimaldab teil rekonstrueerida seansse, jälgida veebitegevust, taastada näiliselt kadunud ajalugu ja isegi hankida profiile, mille brauser ise on pärast lähtestamist või krahhi "unustanud".
Firefoxi kohtuekspertiis ei piirdu pelgalt ajalooga, vaid nõuab ka mõistmist, kuidas see teavet salvestab, kustutab ja rekonstrueerib , kuidas see kasutajaprofiile korraldab ja milliseid artefakte saab pärast intsidenti eemaldada. Selles artiklis uurime üksikasjalikult seansside ja profiilide taastamise tehnikaid ja parimaid tavasid nii kohtuekspertiisi kui ka edasijõudnud kasutaja vaatenurgast, kes soovib oma andmeid taastada.
Miks on brauser (ja eriti Firefox) kohtuekspertiisis võtmetähtsusega?
Peaaegu igas digitaalse analüüsi puhul toimub suur osa kasutajategevusest brauseri kaudu : otsingud, sotsiaalmeedia, internetipangandus, veebimeil, ostud, allalaadimised, juurdepääs halduspaneelidele jne. Igaüks neist toimingutest jätab jälje artefaktide kujul: ajalugu, vahemälu, küpsised, kohalikud andmebaasid, ajutised failid või allalaadimislogid.
Firefoxis aitavad need artefaktid vastata mitte ainult küsimustele „mida tehti”, vaid ka „millal”, „milliselt profiililt” ja „millise aktiivse konto või seansiga ”. Siin tulevadki mängu ajatemplid ja korrelatsioon erinevate tõendusallikate vahel: profiilifailid, SQLite'i andmebaasid, allalaadimislogid või isegi profiilide varukoopiad.
Üks asi, mis paljusid kasutajaid üllatab, on see, et isegi privaatse sirvimise ajal genereeritakse seansi ajal jätkuvalt vahemällu salvestatud andmeid, ajutisi küpsiseid ja kettafaile . Kuigi privaatakna sulgemine kustutab selle teabe loogiliselt, võib sisu jääda ketta kirjutamata sektoritesse või mälu-/lehefailidesse, mida saab täiustatud kohtuekspertiisi tehnikate abil taastada.
Seetõttu on arvutikohtuekspertiisi professionaalses praktikas Firefoxi profiilikausta korrektne säilitamine esmatähtis : alati tuleks töötada kohtuekspertiisi koopiatega (piltide või duplikaatidega) ja vältida brauseri tavapärast avamist originaaltõenditega, et mitte muuta esemeid.
Firefoxi profiili kohtuekspertiisi struktuur ja peamised esemed
Firefox korraldab kõik kasutajaandmed ühte või mitmesse profiili. Profiil on lihtsalt süsteemikaust, kuhu salvestatakse sätted, ajalugu, paroolid, seansid ja laiendused . Kohtuekspertiisi seisukohast on see kaust hindamatu väärtusega, kuna see võimaldab kasutajategevust väga täpselt rekonstrueerida.
Windowsi süsteemides on tüüpiline profiilitee %APPDATA%\Mozilla\Firefox\Profiles\ , Linuxis aga asub see aadressil Home/<kasutajanimi>/.config/mozilla/firefox . Nende radade sees näete mitut kausta nimedega nagu abcd1234.default või xyz7890.default-release , mis esindavad selle kasutajaga seotud erinevaid profiile.
Igast profiilikaustast leiame muuhulgas rea faile ja andmebaase, mis pakuvad kohtuekspertiisi analüüsis erilist huvi:
- kohad.sqliteSee kogub sirvimisajalugu ja järjehoidjaid. See on üks keskseid komponente, kuna see ühendab URL-id, pealkirjad, ajatemplid ja külastustevahelised seosed.
- küpsised.sqlite: salvestab küpsiseid, aktiivsete seansside jälgimise võtmeid, veebiautentimisi ja kasutaja eelistusi.
- formhistory.sqlite: sisaldab automaatselt täidetavaid kirjeid ja vorme, mis on kasulikud otsinguterminite või veebiväljadele sisestatud andmete toomiseks.
- permissions.sqlite: salvestab saitidele antud õigused (näiteks kaamera juurdepääs või teavitused), mis aitab teatud teenuste kasutamist kontekstualiseerida.
- veebirakenduste pood.sqlite: salvestab kohaliku veebirakenduse salvestusandmeid (localStorage), mis võivad sisaldada seansi identifikaatoreid või võrguteenuse seadeid.
Lisaks SQLite'i andmebaasidele sisaldab profiilikaust faile nagu prefs.js (kasutaja eelistused ja sisemised parameetrid) , installitud laiendusi, teemasid, seansifaile ja mitmesuguseid alamkatalooge ( storage , cache , bookmarkbackups jne), mis saavad tegevuste ajajoont täiendada.
Kohtuekspertiisi seisukohast on oluline omandada tööriistad SQLite'i andmebaaside lugemiseks ja päringute tegemiseks ilma neid rikkumata (näiteks SQLiteStudio või muud vaaturid): need võimaldavad teil käivitada täiustatud päringuid ajaloo, küpsiste ja vormide kohta, et rekonstrueerida navigeerimist väga detailselt.
Brauseriseansside ja vahelehtede kohtuekspertiisi taastamise tehnikad
Paljud brauserid rakendavad "vahelehtede taastamise" mehhanisme juhuks, kui vahekaardid suletakse järsult, olgu see siis krahhi, voolukatkestuse või süsteemi taaskäivitamise tõttu. Need süsteemid salvestavad tavaliselt ajutiselt teavet avatud vahelehtede, akende ja aktiivsete seansside kohta , mis on kohtuekspertiisi analüütikutele suurepärane kontekstiallikas.
Kuigi klassikaline ajalooline näide on Internet Explorer oma index.dat- failide ja vahelehtede taastamiseks mõeldud kataloogidega, säilitab Firefox oma profiilikaustas ka seansistruktuure. Need failid võivad näidata, millised vahekaardid olid vahetult enne krahhi avatud , millised saidid olid kasutusel ja millised kontod võidi autentida.
Nende seansistruktuuride analüüsimine koos sirvimisajaloo ja vahemäluga on võimalik näidata fakte, näiteks et lehte seadmes tegelikult vaadati, et teatud teenuses oli aktiivne seanss või et kasutaja üritas vahetult enne intsidenti kontot taastada või konkreetset toimingut teha.
Metoodika seisukohast ei tohiks taastatavaid seansse vaadelda isoleeritult: oluline on neid seostada allalaadimiste ajatemplite, süsteemilogide, meilide ja muude artefaktidega . Ainult sel viisil saab luua kindla ja kaitstava narratiivi prooviperioodi või auditi jaoks.
Firefoxi profiilide haldamine, varundamine ja taastamine
Lisaks puhtale kohtuekspertiisile on väga tavaline, et pärast brauseri krahhi, uuesti installimist või lähtestamist on vaja Firefoxi profiile varundada ja taastada, et vältida andmete kadumist . See protseduur, mida iga edasijõudnud kasutaja saab teha, toimib ka tõendite säilitamise tehnikana kohtuekspertiisi kontekstis.
Lihtne viis oma profiilikausta leidmiseks liidese kaudu on avada Firefox, minna peamenüüsse, klõpsata nupul „Abi“ ja seejärel valikul „Rohkem tõrkeotsingu teavet“ (mis on samaväärne sisemise about:support lehega ). Sellelt lehelt leiad rea nimega „Profiilikaust“ koos nupuga „Ava kaust“, mis viib sind otse sinu profiilikausta.
Kui olete õiges kaustas, on käsitsi varukoopia loomine sama lihtne kui kogu sisu valimine ja selle kopeerimine teise kohta : välisele kõvakettale, USB-mälupulgale või sisemisse varukoopiate kausta. Lukustatud failide või ebajärjekindluse vältimiseks on siiski soovitatav Firefox enne kopeerimist täielikult sulgeda.
Selle varukoopia taastamiseks samas arvutis sulgege lihtsalt Firefox, navigeerige tagasi algsesse profiilikausta ja kleepige varundatud üksused, kirjutades olemasolevad üle . Süsteem kuvab faili asendamise hoiatuse, millega peate nõustuma. Firefoxi uuesti avamisel laadib brauser taastatud profiili koos ajaloo, seansside (võimaluse korral), paroolide, laienduste ja eelistustega täpselt sellises seisukorras, nagu need olid.
Kui soovite profiili teise masinasse või värskesse Firefoxi installi teisaldada, muutuvad asjad veidi: kui profiilikausta nimi enam ei ühti , on kõige parem kasutada profiilihaldurit. Avatud Firefoxi aknast pääsete sellele ligi, tippides aadressiribale about:profiles ; kui Firefox on suletud, saate selle Windowsis käivitada ka käsuga firefox.exe -p .
Selles profiilihalduris luuakse uus profiil ja pärast genereerimist kopeeritakse varukoopia selle uue profiili kausta . Kui Firefox selle profiiliga käivitatakse, taastab kasutaja kogu oma teabe nii, nagu poleks ta kunagi arvutit vahetanud. Veelgi täpsema kontrolli tagamiseks saab profiili muuta nii, et see osutaks otse kindla nimega kaustale, kohandades seda tõendusstruktuuri või sisemise organisatsioonipoliitikaga.
"Kadunud" profiilide kohtuekspertiisi taastamine pärast Firefoxi lähtestamist
Mõnikord, pärast krahhi, probleemset värskendust või brauserikaaperdaja tõttu või versioonide vahel vahetamist (nt stabiilne ja beetaversioon), võib Firefox uue profiiliga käivitudes jätta mulje, et kõik on kadunud : järjehoidjad kaovad, ajalugu on tühi, laiendused puuduvad... Tegelikkuses on vanad profiilid enamasti küll kettal alles, kuid brauser on neile viitamise lõpetanud.
Nende taastamise põhistrateegia ühendab kaks toimingut: Firefoxi praegu kasutatavate profiilide tuvastamine ja vanade profiilikaustade leidmine failisüsteemist . Esimene samm tehakse tavaliselt kaustast about:profiles , kus on loetletud aktiivsed profiilid ja nende teed. Kasulik on märkida praeguste profiilide nimed, näiteks 4jwpkg44.default-release või bjk4rx6v.default.
Seejärel navigeeri oma operatsioonisüsteemis üldiste profiilide teele (näiteks Windowsis \AppData\Roaming\Mozilla\Firefox\Profiles ) ja vaata üle kõik olemasolevad kaustad. Need sisaldavad nii uusi kui ka vanu profiile . Vanade profiilide ja enne lähtestamist kasutatud profiilide eristamiseks saad vaadata iga kausta suurust (suurimad on tavaliselt kõige sagedamini kasutatavad) või uurida alamkaustu, näiteks storage\default, et tuvastada tuttavaid asukohti oma ajaloos.
Samuti on oluline pöörata tähelepanu kausta nime "teisele osale": lõpud on tavaliselt ".default" või ".default-release" . Segaduse vältimiseks peaksite sobitama vana ".default" profiili praeguse ".default" profiiliga ja sama tegema ka ".default-release" puhul. Kui olete leidnud, milline kaust vastab soovitud vanale profiilile, kopeerige kõik selle failid ja kleepige need üles märgitud praeguse profiili kausta, asendades olemasoleva sisu.
Kui isikul oli mitu vana profiili, saab protsessi igaühe puhul korrata. Selle meetodi üks kõrvalmõju on see, et liidese profiilivalija (aadressiriba kõrval asuv nupp) võib muutuda "valesti joondatud ", kuvada tühja nime või muutuda reageerimatuks, kuna Firefox osutab sisemiselt jätkuvalt eelmistele teedele.
Isegi selles mitte just ideaalses stsenaariumis taastatakse teie andmed: Firefox laadib teie ajaloo, seansid, järjehoidjad ja sätted uuesti selliseks, nagu need olid enne lähtestamist. Profiilide käsitsi vahetamiseks saate alati uuesti kasutada lehte about:profiles , mis võimaldab teil käivitada mis tahes loetletud profiili isegi siis, kui visuaalne valija ei tööta korralikult.
Täiustatud profiilide häälestamine SQLite'i ja konfiguratsioonifailide abil
Kui profiilisüsteemi on vaja täpsemalt "täiendada" või kui sisemine selektor peab olema täielikult töökorras, võib olla vajalik redigeerida SQLite'i andmebaasi, mis salvestab profiilide ja teede vahelise seose . See teave salvestatakse .sqlite-failidesse kaustas Profile Groups.
Windowsi puhul on tüüpiline tee \AppData\Roaming\Mozilla\Firefox\Profile Groups , Linuxis aga asub see aadressil Home/<kasutajanimi>/.config/mozilla/firefox/Profile Groups . See kataloog sisaldab tavaliselt ühte või mitut .sqlite-faili, mille nimed on sageli näiteks ca96babb.sqlite või sarnased. Need failid sisaldavad tabelit nimega "profiilid", mille "tee" veerg näitab iga profiiliga seotud kausta.
Asjakohase profiiligrupi faili tuvastamiseks saate selle üles laadida SQLite'i veebivaaturisse või avada selle redaktoriga, näiteks SQLiteStudio, ja vaadata üle tabeli "profiilid" sisu. Otsides teid, mis vastavad vanadele või praegustele profiilikaustadele, saate kindlaks teha, millist andmebaasi tuleb muuta.
Pärast .sqlite faili varundamist (mis on enne muudatuste tegemist hädavajalik) muutke vajalike kirjete "tee" veergu, muutes viited nagu Profiles\ viiteks Profiles\ . Salvestage fail ja asendage seejärel originaal selle muudetud versiooniga kaustas Profile Groups . Nii seostab Firefox profiilid õigesti nende uute teedega ja profiilivalija taastab oma tavapärase funktsionaalsuse.
Edasijõudnud kasutajad on pakkunud välja alternatiivseid meetodeid andmebaasi otsese muutmise vältimiseks. Üks neist hõlmab Firefoxi sünkroonimisvaliku kasutamist pärast profiilifailide vahetamist , nii et sünkroonimismehhanism ise "lähtestab" teabe ja selektor töötab uuesti ilma SQLite'i käsitsi muutmata.
Teine võimalus on muuta iga profiilikausta prefs.js -faili . Avades selle tekstiredaktoriga ja otsides kirjet "toolkit.profiles.storeID" , saate väärtust kohandada nii, et see vastaks profiiligrupi .sqlite-faili nimele (näiteks muutes selle millekski sarnaseks ("toolkit.profiles.storeID", "7d97d1ff") ). See joondab profiili vastava poodiga ja aitab Firefoxil struktuuri õigesti tuvastada.
Lõpuks on kogukonnas kirjeldatud ka alternatiivseid meetodeid juhtudeks, kus ülaltoodud meetodid ei tööta, ühendades tee redigeerimise, uute profiilide loomise about:profiles abil ja kaustade käsitsi ümbermääramise. Kohtuekspertiisi seisukohast on oluline alati varukoopiatega tegeleda , dokumenteerida iga muudatus ja hoida algsed tõendid puutumata.
Firefoxi profiilide automaatne varundamine väliste tööriistade abil
Profiilikausta käsitsi varundamine on hädaolukorras piisav, kuid paljudes keskkondades on soovitatav regulaarne automatiseeritud varundamine . Siin tulevadki mängu kolmandate osapoolte tööriistad, mis on spetsiaalselt loodud brauseriprofiilide haldamiseks või ajastatud sünkroonimiste tegemiseks.
Üks klassikalisi utiliite on MozBackup , eraldiseisev rakendus, mis oli algselt loodud Mozilla toodete, sealhulgas Firefoxi profiilide varundamiseks ja taastamiseks. Selle peamine eelis on lihtne viisard: valite profiili, valite, milliseid komponente varundada (järjehoidjad, ajalugu, paroolid, laiendused jne) ja see genereerib varukoopia, mille saab seejärel taastada samas või teises masinas.
Siiski on oluline märkida, et MozBackup ei ole enam aktiivses arenduses . On teadaolevaid probleeme ja tehniline meeskond teatas toona, et neil puuduvad ressursid nende parandamiseks ja funktsioonide lisamiseks. Seetõttu peaks selle kasutamine toimuma kasutaja või analüütiku enda vastutusel, kontrollides alati, et varukoopia loodi ja taastati õigesti.
Teine populaarne valik oli Firefoxi keskkonna varunduslaiend (FEBE) , brauseri lisandmoodul, mis on loodud keskkonna täielike varukoopiate loomiseks: salvestatud paroolid, eelistused, küpsised, ajalugu, teemad, installitud laiendused ja isegi Firefoxiga mitteseotud failid, kui kasutaja seda soovib.
FEBE võimaldab teil ajastada automaatseid varukoopiaid (iga päev, nädal või kuu) ja selle täiustatud versioonides üles laadida varukoopiafaile teenustesse nagu Box.net. Nagu iga laienduse puhul, on ka siin ühildumatuse oht Firefoxi tulevaste versioonidega või lisandmooduli hoolduse katkemise oht, seega on alati soovitatav kontrollida, millist versiooni te kasutate ja kas see on endiselt aktiivne.
Lisaks Mozilla spetsiifilistele tööriistadele saab kasutada ka üldiseid sünkroonimisprogramme, näiteks SyncBackFree . See lahendus võimaldab teil määrata varundus- ja taastamisprofiile konkreetsetele kataloogidele, sealhulgas Firefoxi profiilikaustale, ning automatiseerida protsessi. See ei sisalda reklaame ega pahavara ning selle tasuta versioon on piisav paljudele kodukasutajatele või väikestele organisatsioonidele.
SyncBackFree ei ühildu aga Windows Serveri versioonidega; nendes keskkondades oleks vaja kõrgemaid versioone, näiteks SyncBackSE või SyncBackPro. Kohtuekspertiisi eesmärgil on selle eeliseks see, et see hõlbustab sagedaste varukoopiate loomist ilma, et kasutaja peaks seda käsitsi tegema meeles pidama , minimeerides kriitilise teabe kaotamise ohtu intsidendi ja järgmise varundamise vahel.
Brauserite ja e-posti roll digitaalses uurimistöös
Kuigi siin keskendutakse Firefoxile, on kasulik mõista seda osana laiemast tõendite ökosüsteemist. Ka teised brauserid, näiteks Chrome ja Chromiumi-põhised brauserid, kasutavad ajaloo ja küpsiste jaoks SQLite'i andmebaase ja sarnaseid artefakte, mis võimaldab nende analüüsis rakendada analoogseid metoodikaid.
Näiteks Chrome salvestab sirvimisajaloo ja küpsised SQLite'i vaaturitega ühilduvatesse andmebaasidesse ning selle vahemälu analüüs suudab tõestada, et sisu tõepoolest seadmesse laaditi. Küpsiste ja ajaloo koos tõlgendamine võimaldab siduda toimingud konkreetse kasutaja ja ajaga , nagu ka Firefoxis, laiendades uurimise konteksti ühest brauserist kaugemale.
Samal ajal on e-kirjad sageli tihedalt seotud turvaintsidentidega : andmepüük, identiteedivargus, pettus, sisemised andmelekked jne. Nende metaandmed (täielikud päised, edastusmarsruudid, vaheltserverid, kuupäevad ja ajavööndid) võimaldavad kontrollida kirja ligikaudset päritolu, saatja autentsust ja e-posti kliendi tehnoloogiat.
Nende andmete seostamine brauseritegevusega (näiteks konkreetselt kontolt klõpsatud andmepüügilingi või kahtlase e-kirja saamise järel alustatud internetipanga seanss) võimaldab rekonstrueerida väga täpseid sündmuste ahelaid . Peamine on läheneda analüüsile terviklikult, integreerides sirvimisartefakte, e-kirju, operatsioonisüsteemi logisid ja kõiki muid saadaolevaid allikaid.
Lühidalt öeldes ei ole brauserite, näiteks Firefoxi, kohtuekspertiisi analüüs lihtsalt URL-ide loendi ülevaatamine . See hõlmab põhjalikku arusaamist sellest, kuidas andmeid salvestatakse, muudetakse ja kustutatakse; kuidas profiile, seansse, SQLite'i andmebaase ja varukoopiaid hallatakse; ning kuidas need elemendid on integreeritud rangesse metoodikasse tulemuste säilitamiseks, ekstraheerimiseks, analüüsimiseks, korreleerimiseks ja esitamiseks.
Kõik, mida me veebis teeme, jätab jälje ja Firefox salvestab sellest teabest märkimisväärse osa. Teadmine, kuidas brauseriseansse ja -profiile leida, kaitsta ja vajadusel kohtuekspertiisi abil taastada, on määrava tähtsusega vigase uurimise ja usaldusväärse, korratava ning kaitstava analüüsi vahel – see on oluline nii küberturvalisuse spetsialistidele kui ka edasijõudnutele kasutajatele, kes soovivad oma andmeid alati turvaliselt hoida.
