Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
En E01-kopi monteres i to lag: først gøres beholderen tilgængelig som en rå disk, og derefter monteres filsystemet på den rå disk skrivebeskyttet. Verifikationen sker ved at genberegne hashværdien af alle data i beholderen og sammenligne den med den værdi, der blev noteret, da kopien blev taget. Begge dele er enkle, men der er nogle fejl, der går igen, og de kan få en ellers korrekt kopi til at se forkert ud.
Artiklen er til sagkyndige og teknikere, der modtager en E01-kopi fra en anden og skal kunne arbejde med den og dokumentere det. Formatets opbygning er beskrevet i forensiske diskformater: raw, E01 og AFF4.
Før montering: læs metadata
Start med at læse beholderens egne oplysninger, før der monteres noget. Med libewf gøres det med ewfinfo, og kommercielle værktøjer har en tilsvarende visning. Notér:
- sagsnummer, bevisnummer, undersøger og tidspunkt for sikringen
- det sikrede medies størrelse og sektorstørrelse
- de lagrede hashværdier, typisk MD5 og eventuelt SHA-1
- om der er registreret læsefejl under sikringen
Sammenlign oplysningerne med den sikringsrapport eller hashlog, der fulgte med kopien. Stemmer sagsnummer og størrelse ikke, er det måske den forkerte kopi. Det er langt billigere at opdage nu end efter en uges analyse.
Verifikation
Verifikationen genberegner hashværdien af de data, beholderen indeholder, og sammenligner med den værdi, der er gemt i beholderen. Med libewf bruges ewfverify. Værktøjet læser alle segmenter, pakker blokkene ud, kontrollerer blokkenes kontrolsummer og beregner hashværdien af det samlede medie.
Der er to sammenligninger, og begge skal dokumenteres:
- Beholderens indre konsistens: den beregnede værdi mod den værdi, der er gemt i beholderen. Den viser, at filerne ikke er beskadiget siden sikringen.
- Uafhængig kontrol: den beregnede værdi mod den værdi, der står i sikringsrapporten. Den er vigtigst, fordi en beholder i princippet kan genskabes med en ny gemt værdi. Rapporten er det uafhængige anker.
Hvis sikringsrapporten også angiver SHA-256, beregnes den særskilt af de udpakkede data, fordi E01 ikke selv gemmer den. Fremgangsmåden er beskrevet i hash af en fil: kommandoerne.
Montering i to lag
Første lag: beholderen som rå disk. Værktøjet læser segmenterne og præsenterer indholdet som én sammenhængende rå fil eller virtuel disk. På Linux og macOS gør ewfmount det via FUSE, og den rå disk vises som filen ewf1 i monteringsmappen. På Windows findes værktøjer, der præsenterer kopien som en virtuel disk med eget drevbogstav eller som et fysisk drev.
Andet lag: filsystemet. Den rå disk indeholder typisk en partitionstabel og flere partitioner. Filsystemet monteres fra den rette partition med et offset, beregnet som partitionens startsektor gange sektorstørrelsen. Startsektoren findes med et værktøj, der læser partitionstabellen. Monteringen skal ske med en eksplicit skrivebeskyttelse, fx ro på Linux.
Mange Windows-værktøjer har flere tilstande: skrivebeskyttet, eller en tilstand, hvor ændringer skrives til en separat fil ved siden af. Den sidste er nyttig, hvis et program kræver skriveadgang, men den skal fremgå af dokumentationen, og den bør ikke bruges til selve fundene.
Monteringen ændrer ikke kopien, men værtsmaskinen
E01-beholderen ændres ikke ved skrivebeskyttet montering. Det gør analysemaskinen derimod:
- Styresystemet kan oprette miniaturer, indekser og papirkurvsmapper, hvis monteringen ved en fejl er skrivbar.
- Antivirus kan blokere eller forsøge at sætte filer i karantæne. Notér det, hvis det sker, og sørg for, at det ikke kan slette noget.
- Automatisk afspilning og genvejsfiler fra den monterede disk kan i værste fald starte programmer.
Arbejd derfor på en isoleret analysestation og notér, hvilke beskyttelser der var slået til. Se arbejdskopi og masterkopi for, hvordan masterkopien holdes urørt.
Krypterede volumener
Indeholder kopien et BitLocker- eller FileVault-volumen, er filsystemet ikke læsbart, før det er låst op med en lovligt fremskaffet nøgle, typisk en gendannelsesnøgle fra organisationens nøglearkiv. Oplåsningen sker på den monterede kopi og skal dokumenteres med nøglens kilde og tidspunkt. De lovlige veje er beskrevet i krypterede data: de lovlige adgangsveje.
Typiske fejlmeddelelser og deres betydning
- Manglende segment · En segmentfil er ikke kopieret med, eller endelsen er ændret
- Kontrolsumfejl i en blok · Beskadiget fil under overførsel eller opbevaring
- Hashværdien stemmer ikke · Beskadigelse, forkert kopi, eller sammenligning med forkert værdi
- Læsefejl registreret i beholderen · Kildemediet havde defekte sektorer under sikringen
Den sidste situation er ikke en fejl i kopien. Ved læsefejl under sikringen fylder værktøjet de ulæselige sektorer med nuller og registrerer dem. Hashværdien dækker så kopien, som den blev taget, og den kan ikke sammenlignes med en ny sikring af det samme medie. Det skal fremgå af rapporten. Fejlsøgning er gennemgået i hashværdien stemmer ikke.
En hyppig misforståelse er at sammenligne hashværdien af en enkelt partition med værdien for hele disken. De er forskellige, fordi de dækker forskellige data. Værdien i E01 gælder hele det sikrede medie.
Eksport til rå kopi
Nogle analyseværktøjer kan ikke læse E01, eller en modpart beder om en rå kopi. Med libewf bruges ewfexport, og de fleste kommercielle værktøjer har en tilsvarende funktion. Den rå kopi skal have samme hashværdi som den, der er gemt i E01, fordi begge dækker de samme mediedata. Beregn værdien af den eksporterede fil, sammenlign, og notér begge. Behold E01-filen som master, så sagsoplysningerne og de registrerede læsefejl ikke går tabt.
Når kopien kommer fra en anden
Modtages en kopi fra modparten eller en anden sagkyndig, er det god praksis at verificere den, før der laves andet, og at give afsenderen besked med det samme, hvis noget ikke stemmer. Det er lettere at få et manglende segment eller en ny kopi tilsendt i dag end om tre måneder. Modtagelsen dokumenteres som et led i kæden af ansvar: hvem leverede, på hvilket medie, hvornår, og med hvilken hashværdi ifølge afsenderen.
Kan kopien ikke åbnes, er det ofte en versionsforskel. Ex01, den nyere udgave af formatet, læses ikke af alle værktøjer. Det løses bedst ved at bede om en klassisk E01 eller en rå kopi, frem for at konvertere selv.
Dokumentation
Notér for hver verifikation og montering:
- værktøj og version, samt analysemaskinens styresystem
- kommando eller valgte indstillinger, herunder skrivebeskyttelse
- beregnede og forventede hashværdier med algoritme
- tidspunkt og hvem der udførte det
- eventuelle fejlmeddelelser og hvordan de blev håndteret
Verificér gerne med et andet værktøj end det, der tog kopien. Det styrker dokumentationen, fordi en fejl i det ene værktøj ikke slår igennem i begge.
Hvad verifikationen kan og ikke kan vise
En vellykket verifikation viser, at de data, der ligger i beholderen nu, er de samme som dem, der blev læst under sikringen. Den viser ikke, at sikringen var fuldstændig, at det rigtige medie blev sikret, eller at kildemediet ikke var ændret før sikringen. Det skal dokumenteres i sikringsrapporten og kæden af ansvar.
Kilder og versioner
- libewf: Mounting, ewfmount på Linux, macOS og Windows
- libewf: Expert Witness Compression Format (EWF), teknisk beskrivelse
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Sikring: metoderne samlet
Læs også: Sikring før en tenant lukkes · Forensiske diskformater: raw, E01 og AFF4
→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
