☰

¿Cómo saber cuándo se ha escrito/grabado un disco (DVD)?

tag-icon • tag-icon security dvd compact-disc burning forensics
¿Cómo saber cuándo se ha escrito/grabado un disco (DVD)?

¿Existe alguna forma/herramienta para determinar la fecha y hora en que se escribió/grabó un disco con alta certeza? Se trata de análisis forense de datos y debería ser una prueba sólida. Ya probé IsoBuster, pero no me mostró la fecha/hora en la que se escribió la pista.

Respuesta1

La mayoría de los discos de datos ópticos utilizan elISO 9660estándar del sistema de archivosVolumen y estructura de archivos de CD-ROM para intercambio de información., elEspecificación de formato de disco universalo ambos (llamadopuente UDF).

Para saber cuál, puede ejecutar

mount

en Linux después de montar el disco para identificar el archivo del dispositivo de la unidad de disco óptico.

Salida de ejemplo:

/dev/sr0 /media/dennis/CDROM iso9660 ro,nosuid,nodev,uid=1000,gid=1000,iocharset=utf8,mode=0400,dmode=0500,uhelper=udisks2 0 0

Aquí, el archivo del dispositivo es /dev/sr0. El comando

disktype /dev/sr0

mostrará los sistemas de archivos disponibles. Si ambos están presentes, analizar el ISO 9660 debería ser más fácil.

ISO 9660

La norma especifica el campo.Fecha y hora de creación del volumencomo una representación numérica del momento de la creación del volumen, escrito en el byte 814 al 830 delDescriptor de volumen primarioen el siguiente formato:

YYYYMMDDHHMMSSCCO

dóndeCCson centisegundos yohes el desplazamiento de GMT en intervalos de 15 minutos, almacenado como un entero de 8 bits (representación en complemento a dos).

Los primeros 32 KiB (32,768 bytes) del disco no son utilizados por ISO 9660 y el descriptor anterior sigue inmediatamente al bloque no utilizado, por lo que nos interesa el 33,582 byte y los 16 siguientes.

Esta información puede analizarse con cualquier herramienta que pueda volcar/leer los datos sin procesar en el disco óptico. En Linux, puedes usarddpara volcar la parte relevante de la imagen y realizar un volcado hexadecimal para ver el último byte correctamente:

dd if=/dev/sr0 bs=1 skip=33581 count=17 | hexdump -C

Para mi LiveCD Ubuntu 12.04 x64, esto proporciona:

00000000  32 30 31 32 30 38 32 33  31 37 31 33 34 37 30 30  |2012082317134700|
00000010  00                                                |.|

entonces la imagen fue creada en23 de agosto de 2012, a las 17:13:47.00 GMT.

UDF

La norma especifica el archivado.Grabación de fecha y horacomo una representación binaria del momento de la creación del volumen principal, escrito en el byte 376 al 387 delDescriptor de volumen primarioen el siguiente formato:

TT tT YY YY MM DD HH MM SS CC BB AA

Aquí, cada par es un octeto (byte), es decir, XXestá compuesto por dos números hexadecimales.

  • TT tTes unlittle-endianEntero de 16 bits que representa el tipo y la zona horaria de la marca de tiempo.

    Los 12 bits menos significativos ( TTT) contienen la zona horaria, codificada como el desplazamiento de UTC en minutos como un entero con signo (representación en complemento a dos).

    Los cuatro bits más significativos ( t) contienen el tipo (siempre 1, es decir, hora local).

  • YY YYes el año codificado como firmadolittle-endianEntero de 16 bits (representación en complemento a dos).

  • MM, DD, HH MM, SS, CCy son enteros BBde AA8 bits sin signo que representan el mes, día, hora, minuto, segundo, centisegundo, cientos de microsegundos y microsegundos de creación.

Nuevamente, UDF no utiliza los primeros 32 KiB del disco. Además, los siguientes 32 KiB bytes están reservados para un sistema de archivos ISO 9660 heredado (que puede ocupar más espacio si está presente).

En un disco UDF "puro", el comando

dd if=/dev/sr0 bs=1 skip=65912 count=12 | hexdump -C

mostrará la marca de tiempo codificada.

Para fines de prueba, creé una imagen UDF con K3b. El resultado del ddcomando fue el siguiente

00000000  4c 1f dd 07 03 01 0f 0b  11 00 00 00              |L...........|
0000000c

Análisis:

  • 0xF4C (hexadecimal) es mayor que 0x800 y, por lo tanto, negativo. Descansar 0x1000 de 0xF4C da -180 en decimal. Esto significa que la zona horaria es UTC - 3.

  • 0x07DD es 2013 en decimal (el año de creación).

  • Los octetos restantes se pueden interpretar literalmente en su representación hexadecimal (0x0F, 0x0B y 0x11 son 15, 11 y 17 en decimal).

    Esto significa que la imagen fue creada en1 de marzo de 2013, a las 15:11:17.000000 UTC - 3.

Advertencias

  • Es sencillo alterar esta fecha. Todo lo que se requiere es cambiar la fecha de la computadora antes de crear la imagen.

  • Si la imagen se crea antes de grabarse en el disco, se grabará el tiempo anterior. Por lo tanto, el campo es sólo evidencia potencial de discos que fueron creados por el propio propietario.

Respuesta2

Sí, lo hay: datey timeatributos es lo que estás buscando. Simplemente cambie la vista de la carpeta y verifique las Propiedades del archivo.

Comprobé hace un minuto un disco tanto en W7 como en Mac OS X. Vea las capturas de pantalla a continuación.

ingrese la descripción de la imagen aquí ingrese la descripción de la imagen aquí

información relacionada