计算机取证中用于硬盘完整性校验的dual cube算法-dual cube algorithm for hard disk integrity check in computer forensics.docx

ClassifiedIndex:TP309.2U.D.C:621.3DissertationfortheMasterDegreeofEngineeringADualCubeHashingSchemeforHarddiskIntegrityProbleminComputerForensicsCandidate:JingTuSupervisorAssociateProfessorHowieLinAcademicDegreeAppliedfor:MasterofEngineeringSpecialty:ComputerTechnologyAffiliation:ShenzhenGraduateSchoolDateofDefense:December,2011Degree-Conferring-Institution:HarbinInstituteofTechnology摘要随着IT技术的不断发展、信息化的不断深入以及法律法规的不断完善，许多现实生活中的法律问题被逐步引入到数字化的计算机世界中，计算机取证领域也因此面临着越来越多的难题，数字化的LPP(LegalProfessionalPrivileged)文件完整性问题就是其中之一。这类问题的特征是数字化证物（通常指硬盘、U盘等存储介质）中含有LPP文件，被告人有权利改动此类文件或直接删除，这将对计算机取证工作中，证据的数据完整性校验造成极大影响，本文将对这一问题进行分析，进而提出一种改进的硬盘完整性校验算法——DualCube哈希算法。本文首先分析了现有的硬盘完整性校验算法中最新的研究成果，包括K-Dimension哈希算法和基于STD(ShiftedTransversalDesign)的CGT(CombinatorialGroupTesting)哈希算法，发现现有算法在处理LPP完整性校验问题时随着删除扇区数目的增多，算法的误判率会成指数增长，由此证明现有算法不能很好解决LPP完整性问题。在进一步分析K-D哈希算法和CGT哈希算法的优缺点后，发现算法高误判率产生的原因与扇区分布算法以及LPP文件的扇区分布有关，因为它们直接影响了K-D哈希算法校验时扇区间相关性。随后本文提出了DualCube哈希算法，该算法基于改变扇区间相关性来降低扇区完整性校验的误判率，结合了K-D哈希算法的高效性和CGT算法的组合概率思想，通过置乱算法和多Cube的途径对K-D（k=3)哈希算法进行了改进。本文最后通过详细的理论分析和充足的模拟实验，证明了DualCube哈希算法在硬盘完整性校验的验证性能上有了较大的提升，同时证明了Cube中扇区间的相关性是影响K-D哈希算法性能的一大关键因素。关键词：计算机取证；数据完整性校验；LPP文件；K-D哈希算法；CGT算法；DualCube哈希算法；扇区分布AbstractWiththesustainabledevelopmentofITtechnologyandinformatization,alsowiththedeepeningoftheconstantimprovementoflaws,manyreal-lifelegalissueshavebeengraduallyintroducedtothedigitalcomputerworld.Therefore,moreandmoredifficultiesappearinthecomputerforensicsfield,oneofwhichnamedLPP(LegalProfessionalPrivileged)fileintegrityproblem.TheLPPintergrityproblemischaracterizedbythatdigitalevidencefiles(usuallystoredinharddisk,Udiskorotherstoragemedia)containLPPfiles,thedefendanthastheauthorizedrighttochangeordeletedthesefilesdirectly,whichwillmakesignificanteffect,sincethesebehaviorsmaydefecttheharddiskintegritycheckingalgorithm.Thispaperanalyzestheproblemandproposesanewimprovedharddiskintegritycheckingalgorithm,theDualCubehashingscheme.Thispaperfirstlyanalyzestheexistingharddiskintegritycheckingalgorithmfromthelate