Hashing and Integrity of Digital Evidence

Tujuan dari forensika adalah untuk menemukan barang bukti digital  yang layak dan dapat diterima, asli, akurat,  dan lengkap  sehingga dapat dipergunakan didalam persidangan. Namun penanganan dan analisa bukti fisik tidak sama dengan bukti fisik pada umumnya. Bukti digital dalam penyelidikannya harus mengalami proses akuisisi, yaitu proses duplikasi , karena barang bukti digital yang asli tidak boleh di utak-atik untuk menghindari rusaknya barang bukti. Dikarenakan itu , perlunya sebuah metode untuk melakukan validasi , apakah benar bukti digital yang dianalisa merupakan duplikasi dari bukti yang asli, metode itu dikenal dengan sebutan hashing, sebuah proses pemeriksaan integritas dan keakuratan bukti digital dengan menggunakan fungsi hash.

Fungsi hash adalah sebuah fungsi matematika yang menggabungkan operasi logika untuk biner, teori bilangan, dan komposisi fungsi.

Sedangkan Fungsi hash kriptografis adalah fungsi hash yang memiliki beberapa sifat keamanan tambahan sehingga dapat dipakai untuk tujuan keamanan data. Umumnya digunakan untuk keperluan autentikasi dan integritas data.

Umumnya nilai hash digunakan untuk memeriksa integritas dari file data tetapi, di forensika digital fungsi hash digunakan  digunakan untuk memeriksa integritas data dari bukti disk. Dilakukan proses pencitraan(imaging) terhadap disk , dan nantinya hasil dari imaging tersebut yang akan dianalisa, sehingga gambar  harus benar-benar menyerupai (replica) dari bukti disk.[1]

Nilai hash yang dihasilkan selama pencitraan harus sesuai ketika bahwa gambar bukti disk diekstraksi untuk analisis rinci. Dalam digital forensic, nilai hash forensik yang dihasilkan adalah data untuk keseluruhan disk disk, bukan hanya satu atau beberapa file saja.

Fungsi hash merupakan fungsi yang bersifat satu arah dimana jika kita masukkan data, maka dia akan menghasilkan sebuah “checksum” atau “fingerprint” dari data tersebut dan tidak dapat diubah kembali menjadi pesan semula. oleh karena itu checksum yang dihasilkan dapat tidak dapat dimanipulasi, dan menghasilkan data yang valid.

Hashing merupakan satu-satunya cara cepat dan akurat dalam proses analisa dengan target yang memiliki data yang sangat besar dan dapat terkorelasi secara cepat kepada berbagai jenis drive[2]

Dibawah ini merupakan kelebihan dari fungsi hash sehingga dapat diimplementasikan dalam integritas data[3]:

1. Hasil dari fungsi hash panjangnya tetap, panjang masukan tidak akan mempengaruhi panjang nilai hash.

2. Karena tidak merubah data asli, tidak diperlukan proses dekripsi

3. Perubahan sekecil apapun pada data asli akan membuat nilai hash yang sangat jauh berbeda, sehingga cukup mudah untuk memeriksa keaslian data.

Referensi

[1]      K. Kumar, S. Sofat, S. Jain, and N. Aggarwal, “Significance of Hash Value Generation in Digital Forensic: A Case Study,” Int. J. Eng. Res. Dev., vol. 2, no. 5, pp. 64–70, 2012.

[2]      A. J. Menezes, P. C. Van Oorschot, and S. a. Vanstone, “Hash Functions and Data Integrity,” Handb. Appl. Cryptogr., no. Mdc, 1997.

[3]      A. E. Putra, “Fungsi hash pada kriptografi,” 2009.

Baca Selengkapnya »

Role Of Evidence

Introduction

      Sebelum membahas tentang Role Of Evidence , kita harus memahami konsep dari sifat dari perangkat digital itu sendiri. Dilihat dari bagaimana perangkat digital tersebut digunakan, maka dapat dikategorikan menjadi 2, yaitu :

1. Closed System ( sistem tertutup)

Adalah sebuah sistem dimana perangkat digital tersebut tidak dihubungkan dengan jaringan internet. Perangkat tersebut berada pada ruang lingkup yang sempit

2. Open System ( sistem terbuka)

Adalah sebuah sistem dimana perangkat digital tersebut, pernah atau masih terkoneksi dengan internet.  

      Hal diatas sangat penting dalam penetuan roles of evidence, bagaimana cara sebuah perangkat digital terkoneksi akan mempengaruhi sebesar apa informasi yang harus dianalisa didalamnya. Perangkat digital yang bersifat Open sistem akan memiliki informasi yang lebih banyak daripada Closed System. Bukti digital dari perangkat yang terhubung melalui internet(Open system) membutuhkan perhatian khusus dalam penyeledikannya

Role Of Evidence

     Meskipun perangkat digital memiliki sifat yang pasif (yaitu hanya melakukan tindakan dalam menanggapi instruksi yang diterima), perangkat digital hanya berpartisipas dalam kegiatan manusia, sehingga perangakat digital dapat memenuhi beberapa peran yang biasanya ditemukan dalam kejahatan tidak peduli apakah mereka adalah sistem terbuka atau tertutup

.

1. Witness /Saksi

Umumnya, saksi adalah pengamat pasif kegiatan. Tidak memiliki kontak langsung dengan pelaku, tetapi mungkin dapat menggambarkan aktivitas, kondisi lingkungan dan pelaku secara detail.

Dalam forensika digital, saksi digitaladalah suatu sistem yang  memiliki kesempatan untuk mengamati sesuatu yang berhubungan dengan insiden yang sedang diselidiki. Sebagai contoh adalah Closed Circuit Television (CCTV), yang mencatat ke hard disk melalui perangkat manajemen jaringan yang mungkin memiliki catatan lalu lintas yang melewati mereka. Tentu saja, tidak semua saksi adalah murni saksi. Beberapa mungkin memiliki keterlibatan dalam kegiatan juga.

2. Tools/ Alat

Sebuah alat dalam konteks ini, didefinisikan sebagai sesuatu yang membuat aktivitas menjadi lebih mudah, tapi tidak penting. Ini mungkin sebuah kesatuan perangkat lunak, perangkat individu atau jaringan lengkap mesin.

3. Accomplice / Kaki tangan

Adalah sesuatu yang terlibat dan memiliki peranan sangat penting untuk keberhasilan kegiatan. Tanpa mereka, maka hampir tidak mungkin untuk melaksanakan sebuah tindakan. Secara harfiah, accomplice biasanya dianggap sebagai pelaku aktif dalam kejahatan,.

Sistem Digital, tidak memiliki konsepsi yang melekat dalam pemahan hukum partisipasi mereka sebagai accomplice, tidak bisa disalahkan, karena keterlibatan digital sebagai accomplise merupakan hasil dari kontak langsung dengan pelaku. Hal ini mungkin disebabkan oleh kelemahan sistem keamanan dari sebuah perangkat digital sehingga mereka dapat diberdayakan untuk kejahatan. Sebagai contoh , kelemahan dalam sistem konfigurasi jaringan, sehingga pelaku bisa menanamkan malware ( virus, Trojan, dll), yang menyebabkan sistem digital “terpaksa” menjadi accomplice. 

4. Victim / Korban

Korban adalah target dari penyerangan. Dalam konteks sistem digital, sangat jarang untuk menemukan situasi di mana sistem itu sendiri adalah target yang sebenarnya diincar. Biasanya, serangan pada sistem dilakukan sebagai alat untuk menyerang korporasi dan / atau manusia yang terkait dengan sistem tersebut. Setiap evaluasi yang mengusulkan bahwa perangkat hanya berada dalam kategori CV ( CloseVictims) atau OV ( OpenVictims ) maka hasil evaluasi tersebut  harus dicurigai. Dalam prakteknya,  segala sesuatu yang dikategorikan sebagai “victim” harus diperiksa secara lebih detail , untuk melihat adanya kemungkinan bahwa subjek tersebut juga merupkan “accomplice”.

5. Guardian / Penjaga

Guardian adalah sesuatu/ sistem yang menjaga agar perangkat digital tidak melakukan hal-hal diluar dari yang telah dikonfigurasi/di-setting oleh pembuatnya. Konsep Guardian muncul  karena adanya sebuah teori yang disebut Criminology Routine Activity Theory yang mengatakan bahwa kejahatan hanya bisa terjadi karena adanya motif dan target yang lepas dari pengawasan. Konsep ini  juga perlu diterapkan pada dunia digital.

Penentuan Roles of Evidence

     Untuk menentukan Role of Evidence, sangat penting untuk membagi kronologis kejahatan menjadi beberapa point, sehingga dapat dengan mudah di selidiki keterlibatan perangkat digital itu terhadap tindak kejahatan. Setelah perangkat di identifikasi keterlibatanya, maka akan dibuat sebuah tabel penentuan Role of Evidence. Dibawah ini merupakan contoh penentuan Role of Evidence, lengkap dengan tabelnya.

Contoh penentuan Role Of Evidence

"Kasus DVD Bajakan"

      Pada kasus pembajakan DVD , pelaku seringnya melakukan tindakan itu hanya dengan bermodalkan PC’s dan software DVD-writers, karena tidak ada indikasi bahwa PC tersebut terhubung setiap saat melalui jaringan internet maka bisa dikategorikan bahwa kejahatan ini adalah kejahatan Closed System. PC itu sendiri bisa memegang peranan sebagai accomplice untuk memproduksi keping DVD bajakan, karena tidak mungkin memproduksi keping DVD tanpa adanya PC dan juga sebagai saksi yang menyimpan informasi setiap proses tindakan kejahatan tersebut, PC tidak dapat dikategorikan sebagai “tools” karena keberadaan PC sangat penting, bukan hanya sebagai peralatan yang membantu memudahkan proses produksi. Dan PC juga bisa dikategorikan sebagai Guardian, karena sebagian besar sistem operasi akan menolak software asing yang digunakan untuk membaca dan menyalin DVD, walaupun pelaku telah melakukan tindakan terhadap PC agar melapaskan pertahanan/firewall nya sehingga berubah fungsi menjadi Accomplice, walaupun demikian PC masih tetap dikatakan memiliki aspek Guardian 

     Sehingga dalam kasus Pembajakan DVD , kita bisa mengkategorikan PC dalam 3 roles yaitu ( Closed Witness, Closed Accomplice, dan Close Guardian)

Dibawah ini merupakan tabel penentuan Role of Evidence dari kasus pembajakan DVD 

	Witness	Tool	Accomplice	Victim	Guardian
Close	X		X		X
Open

Referensi

Marshall, A.M., 2008. Digital Forensics : Digital Evidence in Criminal Investigation. Jonh wiley & Sons, Ltd. West Sussex, UK,

Baca Selengkapnya »

Evidence Location

     

       Dalam forensika digital, mencari dan menemukan bukti digital jauh lebih susah daripada mencari bukti seperti forensic konvensional. Agar dapat dianalisa dan digunakan secara valid , bukti digital harus ditangani sesuai dengan sifat dan karakteristiknya karena bukti digital bersifat rentan, mudah dimanipulasi, mudah dihapus, dan dimodifikasi. Keunikan dari bukti digital adalah dapat di- interpretasikan dalam bentuk biner dan bit, yang bisa saja berada “dimana saja”.  Maka diperlukan kemampuan dari seorang investigator forensic digital , untuk menemukan bukti digital sebanyak dan se-valid mungkin, dan pengetahuan tentang “lokasi “bukti digital sangat diperlukan.

      Dalam buku nya yang berjudul Digital Forensik : Digital Evidence in Criminal Investigation , Angus M. Marshal(2008), membagi lokasi terdapatnya bukti digital dalam 4 jenis utama , yaitu  :

1. Live Data

2. Delete Data

3. Swap Space

4. Slack Space.

1. Live Data

Live data  adalah  data yang muncul  pada sistem dalam format tertentu sehinga data tersebut dapat diakses oleh pengguna atau perangkat lunak secara langsung. Biasanya, data-data tersebut merupakan hasil operasi normal dari perangkat atau perangkat lunak sebagai akibat dari tindakan yang disengaja.

Secara umum, live data memiliki nilai pembuktian yang lebih besar karena mereka dapat secara langsung menampilkan kegiatan atau aktifitas yang dilakukan oleh user ataupun sistem. Selain itu, dikarenakan  file dari live data dibuat dan dikelola langsung sistem operasi didalam sebuah software, maka  live data memiliki cap waktu/ timestamps, sejauh jam pada perangkat tersebut akurat.

Timestamps/Cap waktu

Sebagian besar sistem operasi memiliki tiga timestamps untuk setiap file pada sistemnya, yang dikenal sebagai  MAC (Modified, Accessed, Created) time:

a.      Modified:

Mencatat waktu kapan terakhir kali file tersebut dimodifikasi, yaitu ketika terakhir disimpan.

b.      Access

Mencatat waktu kapan terakhir kalinya file tersebut dibaca. Pada sebagian besar sistem operasi ini hanya mencatat tanggal, bukan waktu secara lengkap ( jam , menit, detik).

c.       Created

Mecatat  ketika file tersebut muncul untuk  pertama kalinya pada sistem sebagai file baru.

 Timestamps merupakan salah satu bagian dari file meta-data yang dapat digunakan untuk menentukan urutan kejadian dan sifat aktivitas di sistem.

2. Delete Data

Salah satu area yang berguna dalam mencari bukti digital adalah data yang dihapus didalam sistem.  Delete data merupakan data yang pernah ada pada suatu lokasi penyimpanan dahulunya, namun  telah dihapus oleh pengguna atau sistem operasi untuk beberapa alasan.

Sebagian besar sistem operasi tidak benar-benar menghapus data yang dihapus, dan hal itu sangat menguntungkan para investigator forensic.

Sistem operasi, biasanya menandai sebuah area perangkat penyimpan untuk ditempati oleh data yang telah dihapus, sehingga dapat digunakan kembali. Hal ini dilakukan karena, secara historis, menghapus data adalah tugas sulit dan  memakan waktu yang lama maka jauh lebih mudah untuk hanya menandai ruang sebagai ruang tersedia untuk digunakan kembali atau menimpa data tersebut bila diperlukan.

Kerugian daripada fungsi ini ,  informasi dari delete file ini dapat digunakan oleh oknum-oknum tertentu untuk melakukan kejahatan, karena dengan alat dan software yang tepat, data tersebut dapat dipulihkan , dan digunakan untuk tujuan tertentu, contohnya pemerasan, atau penyebaran content senonoh. Sayangnya, karena files telah ditandai sebagai “file yang dihapus”, meta-data file tersebut tidak bisa lagi dianggap sepenuhnya dapat diandalkan, sehingga informasi seperti waktu MAC  ( Modified, Access, Created) tidak bisa diandalkan seperti pada live data.

3. Swap place

Fitur lain yang umum terdapat pada sistem operasi dan aplikasi modern adalah kemampuan untuk menggunakan perangkat penyimpanan seolah-olah mereka adalah bagian dari mesin utama RAM. Perkembangan dari teknologi membuat peragkat seolah-olah  memiliki memori utama lebih besar, sebagai cara untuk menjaga biaya hardware turun. Biaya RAM original, rata-rata, sekitar 10 kali lebih besar dari disk penyimpanan.

Konsep dari swap place adalah, ketika kita menjalankan sebuah program secara multitasking , maka program yang berjalan dibawah program utama akan menyimpan secara otomatis pada suatu area yang disebut swap place, dan saat program tersebut kembali dibuka, fungsi-fungsi dari program itu akan tetap berjalan.

Proses swapping benar-benar otomatis dan di bawah kendali perangkat lunak. Pengguna biasanya hanya dapat memilih berapa banyak ruang disk yang dapat digunakan sebagai ruang swap, tetapi tidak dapat memilih program atau potongan data yang akan bertukar keluar/masuk.

Karena lebih banyak data dan program menempati memori utama, sistem memonitor penggunaan memori dan mengidentifikasikan  daerah mana yang paling digunakan dalam hal frekuensi penggunaan, berdasar penggunaan atau ukuran lainnya. Ketika memori utama menjadi terlalu "ramai" untuk mengakomodasi perangkat lunak baru atau data, sistem operasi memilih bagian mana dari memori untuk menyimpan ke disk dan kembali mengalokasikan-data atau program baru. Kemudian, ketika program yang awalnya dimiliki memori perlu akses ke sana lagi, sistem operasi memilih daerah baru untuk swap keluar, memindahkannya ke disk dan kemudian beban data asli kembali ke memori utama.

Karena pengguna tidak memiliki kontrol proses, sangat mungkin untuk menemukan data pada swap space. Swap space sering menjadi sumber informasi yang baik tentang password untuk mengenskripsi files dan data sensitif lainnya.

Karena Swap space selalu konstans digunakan, dan tidak memiliki metadata tertentu yang terkait maka sulit untuk menentukan kapan tepatnya  data tersebut disimpan didalamnya.

4. Slack Space

Slack space adalah data yang disimpan bersama live data, tapi tidak sengaja diletakkan di sana oleh pengguna. Slack space cenderung muncul karena beberapa sifat dari perangkat penyimpanan dan file  systems yang mengharuskan bahwa ada jumlah minimum data yang harus ditulis, atau membaca dari, perangkat penyimpanan. Ukuran yang tepat dari Satuan Alokasi Minimum / Minimum Allocation Unit ( MAU) bervariasi dari file sistem ke file sistem lainnya. Semakin besar MAU, semakin besar kesempatan slack space  berisi data yang berguna bagi penyelidikan.

Gambar diatas menunjukkan bagaimana MAU menyebabkan terjadinya slack space ketika data ditulis pada perangkat. MAU akan memastikan bahwa ketika data ditulis dia akan memenuhi alokasi minimum , bila tidak sistem MAU akan mengambil secara acak data dari beberapa program untuk mengisi kekurangan tersebut. Pengguna tidak memiliki kontrol atas bagaimana sistem memilih area mana dari memori untuk digunakan sebagai padding ( area pengalokasian data slack). Pada gambar diatas tiga blok benar-benar terisi, namun blok ke-empat tidak terisi penuh sehingga harus diisi oleh beberapa data yang diambil secara acak dari RAM.

Karena data pada slack space ditulis pada waktu yang sama dengan isi sebenarnya dari file, modified time dapat digunakan untuk menunjukkan bahwa data muncul dalam memori utama tepat pada saat file tersebut dibuat. Data dalam slack space tidak dibuat tersedia untuk program “read”, sehingga waktu pengaksesan  (access time) menjadi tidak signifikan.

Referensi

Marshall, A.M., 2008. Digital Forensics : Digital Evidence in Criminal Investigation. Jonh wiley & Sons, Ltd. West Sussex, UK,

Baca Selengkapnya »