Zabezpieczanie dowodów: bezpieczne obchodzenie się ze starymi portfelami i dyskami

Większość możliwych do uniknięcia porażek odzyskiwania zdarza się przed rozpoczęciem poszukiwań: oryginał został nadpisany, zmieniony, ponownie zapisany lub przesłany gdzieś. Proszę traktować oryginał jak dowód, a reszta wynika z tego naturalnie.

Pierwsze zasady

• Proszę zrobić dokładną kopię przed jakąkolwiek analizą i nigdy nie pracować na oryginale
• Proszę zapisać hash SHA-256 oryginału; hash dowodzi, że kopie nie zostały zmienione
• Proszę zanotować, gdzie i kiedy plik został znaleziony: urządzenie, folder, kopia zapasowa, przybliżona data
• Proszę nie zmieniać nazw plików ani rozszerzeń, nie otwierać ich i nie zapisywać ponownie w edytorze
• Proszę nie importować nieznanego pliku do przypadkowych portfeli „żeby zobaczyć, co się stanie”
• Proszę nie przesyłać plików portfela, fraz ani kluczy do żadnego internetowego sprawdzania ani „narzędzia odzyskiwania”

Stare komputery i dyski

• Proszę natychmiast przestać używać urządzenia po usunięciu: nowe zapisy mogą nadpisać dane
• W przypadku stabilnego, czytelnego dysku należy utworzyć obraz przed pracą na plikach. Jeśli dysk ma objawy uszkodzenia fizycznego, należy zaprzestać jego używania i zlecić ocenę przed próbą kopiowania; wielokrotne odczyty, również za pomocą dd lub Clonezilla, mogą pogorszyć uszkodzenie.
• Fizyczne odzyskiwanie dysków to osobna specjalność z własnymi laboratoriami; narzędzia plikowe to nie to samo

Malware i fałszywe narzędzia

• Proszę pobierać narzędzia odzyskiwania tylko z oficjalnych źródeł (oficjalne GitHub, oficjalne strony); linki z wyników wyszukiwania i fora to standardowa droga malware
• Fałszywe pobrania „odzyskiwania portfela”, „sprawdzania portfela” i „odzyskiwania hasła” istnieją właśnie dla tej grupy odbiorców
• Żadne legalne narzędzie nie prosi o wpisanie frazy odzyskiwania na stronie ani przesłanie pliku portfela
• Po odzyskaniu proszę przenieść środki do świeżego portfela i nigdy nie używać ponownie ujawnionego materiału klucza

Granica bezpieczeństwa

To odniesienie pozostaje po bezpiecznej stronie linii: zachowanie i identyfikacja materiału są publikowane otwarcie; konstrukcja ataków operacyjnych, niestandardowe systemy kandydatów i wszystko, co w istotny sposób ułatwia nieautoryzowany dostęp, pozostaje prywatne. Jeśli nie mają Państwo pewności, czy coś przekracza tę linię, proszę potraktować to jak dowód i zapytać przed działaniem.