夏令时制与时间信息

夏令时制与时间信息

0数字证据的形成时间信息是计算机验证的重要方面。它是与虚拟数字世界和真实世界联系的最基本、最重要的数字证据。它通常作为联系电子证据和传统证据的桥梁,是证据链形成的关键。由于计算机系统中的时间信息具有复杂性和易变性,因此,深入解析计算机系统中的时间信息,并不断发掘更深层的时间关联,才能推动计算机取证水平的不断提高。1相关概念1.1国际经度会议的决定从19世纪开始,世界各国来往频繁,而欧洲大陆、美洲大陆和亚洲大陆都有各自的时区,为避免混乱,1884年在华盛顿召开的国际经度会议决定以经过英国伦敦格林威治天文台的零度经线作为本初子午线,即世界计算时间和地理经度的起点。格林威治标准时间因而诞生。1.2以秒为基础的时间标度UTC是由国际无线电咨询委员会规定和推荐,并由国际时间局(BIH)负责保持的,由原子钟提供计时,以秒为基础的时间标度。UTC相当于本初子午线(即经度0度)上的平均太阳时,UTC的本质强调的是比GMT更为精确的世界时间标准。不过对于大部分应用来说,GMT与UTC的功能与精确度是没有差别的。1.3全球划分的确定1884年在华盛顿召开的国际径度会议上,规定将全球划分为24个时区。它们是中时区(零时区)、东1-12区,西1-12区。每个时区横跨经度15度,时间差正好是1小时。1.4该地区的时间当地时间就是基于GMT/UTC,计算了当地所在时区偏差所得出的时间。1.5夏令时间的限制又称“日光节约时制”和“夏令时间”,是一种为节约能源而人为规定地方时间的制度,在这一制度实行期间所采用的统一时间称为“夏令时间”。一般在天亮早的夏季人为将时间提前一小时,可以使人早起早睡,充分利用光照资源,从而节约照明用电。各个采纳夏时制的国家具体规定不同。目前全世界仍有近110个国家每年要实行夏令时。1986年至1991年,我国在全国范围实行了六年夏时制,由于省电效果不抵需要适应时间的弊端,1992年4月5日后不再实行。本文研究未考虑夏时制。2时间信息的生成和存储2.1文件时间属性计算机系统时间以CMOS(互补金属氧化物半导体)时间作为基准,CMOS是主板上的一块半导体芯片,它包含一个简单的时钟用来计算当前时间,并依靠一个小的钮扣电池维持其在交流电失去时的工作。绝大多数操作系统使用中断调用0xlA来读取CMOS时钟作为系统时间的来源,文件在创建、修改、被访问时,再读取系统时间以形成文件的时间属性。文件时间属性的形成见图1所示。这里需要注意的是,虽然时间的最初形成都来源于CMOS时间,但是不同的操作系统缺省看待CMOS时间的方式却不一样。Windows操作系统将当前主板CMOS时间认定默认为当地时间,即操作系统中显示的时间跟BIOS中显示的CMOS时间是一样的,不用进行时区转换。Linux和苹果操作系统默认将当前主板CMOS时间认定为格林威治标准时间,操作系统中显示的时间是CMOS时间经过时区校正后得来的,比如说北京时间是GMT+8,则系统中显示的时间就应该是CMOS时间+8。2.2时间信息的保存和分析2.2.1rss1.创建时间的解析文件系统的时间属性和文件内容存储于不同区域。FAT32文件系统的文件时间属性存储在文件目录项FDT(FileDirectoryTable,文件目录项)中。FDT位于FAT(FileAllocationTable,文件分配表)表后,数据区前。每个文件都在FDT中都对应一个目录项,一个目录项占32字节,全部32字节的定义如表1:本文使用十六进制编辑器WinHex,以存储在FAT32文件系统中的test1.doc文件为例,讲解解析test1.doc的时间属性信息的方法。在WinHex中点选“test1.doc”,然后点击右键,在弹出列表中选择“位置”,选择“转到目录项”,就可以打开test1.doc的文件目录项信息,如图2所示。test1.doc的32字节的目录项内容如图3所示。对照表1,可以看到从00040730D开始到00040730F的三个字节存储了test1.doc的文件创建时间。这三个字节为“490746”。由于Intel的x86系列CPU采用LittleEndian(小端字节序)方式存储数据,即低位字节数据存储在低地址处,高位字节数据存储在高地址处,因此实际的文件创建时间值为“460749”。将十六进制“460749”转换为二进制为“010001100000011101001001”。对照表1,将得到的这24位二进制进行解析,其中的高5位“01000”为小时,次6位“110000”为分钟,再次5位“00111”的倍数为秒。可得到文件的创建时间为08时48分14秒。同理,可推出test1.doc的其它时间信息。计算机系统中的任意信息在磁盘上都以二进制形式进行存储,掌握了文件的时间信息在磁盘上的存储位置和解析方法,不仅有利于取证人员深入理解文件的时间信息,同时也可看到时间信息的修改非常容易。使用十六进制编辑器WinHex就可以直接对磁盘的任何内容进行修改。2.2.2时间属性的存储NTFS文件系统的文件时间属性存储在主文件表MFT(MasterFileTable,主文件表)中。每个文件都在MFT中对应着一个索引,该索引称为文件记录,每个文件记录占用两个扇区,即每个文件记录大小固定为1KB。与FAT32文件系统不同,NTFS文件系统在文件记录中以UTC(CoordinatedUniversalTime)格式来保存时间属性。UTC时间使用一个64位数计算时间,单位是100个纳秒(等于10-7秒),表示从1601年1月1日零点以来过去了多少个这样的时间单位。NTFS文件系统以这种格式来存储时间值。MFT中存储了文件创建时间、修改时间、MFT修改时间和最后访问时间。这里仍然使用十六进制编辑器WinHex,以存储在NTFS文件系统中的test2.doc文件为例,讲解解析test2.doc的时间属性信息的方法。在WinHex中点选“test2.doc”,然后点击右键,在弹出列表中选择“位置”,选择“转到文件记录”,就可以打开test2.doc的文件记录信息,如图4所示。test2.doc的时间信息如图5所示。MFT分别用8个字节存储文件的创建时间、修改时间、MFT修改时间和最后访问时间,利用WinHex对其进行解析非常简单。在WinHex菜单下点击“选项”,选择“数据解释器”,在弹出的窗口中选择“Win32文件时间(64位)”。WinHex的数据解释器就会自动对这些时间信息进行解析。在数据解释器中还可以直接对时间信息进行修改。在这里作者就利用WinHex把test2.doc的创建年份修改成了2019年。2.2.3文件头的信息某些文件在数据区的文件头中也会存有时间属性。如MSOffice文档的文件头中包含创建日期、最后一次保存的日期、最后一次打印的时间等,拍摄的JPG图片中包含相片拍照日期。这些时间信息可以通过点选文件,然后右键选择“属性”,选择“摘要”标签进行查看,如图6所示。在掌握各类文件的文件头的数据结构的基础上,这些信息同样可以使用WinHex进行查看解析。了解文件头中的时间信息有三个作用:(1)为取证工作提供更多的时间信息;(2)如果文件已被删除,文件在FDT或者MFT中的时间属性信息已被覆盖,而文件在磁盘数据区存储的文件头保存尚好,也可能得出文件的某些时间信息;(3)将文件头中的时间信息与FDT或者MFT中的时间信息进行比对,有助于对文件状态的判断。例如,通常情况下,当本地开始编辑一个文件时,其文件头记录的创建时间一般不会与文件系统记录的创建时间相差太远,比如Office文档,新建文件的时间即为文件系统记录的创建时间,编辑后按保存按钮记录的为文件头记录的创建时间,由于Office默认10分钟保存一次,所以对于Office文档,如果文件头中存储的创建时间与文件系统记录的创建时间差小于10分钟的话,则该文档很有可能为最初原件。3把本地统一的时钟储存作为时间属性,有利于解决过程问题随着网络化时代的到来,经常会出现位于不同时区的计算机系统之间进行文件传输的情况,这时就面临着时区不同如何保证时间正确转换的问题。以UTC时间存储文件的时间属性,可以较好地解决这个问题。对于以UTC时间存储的时间信息,本地的计算机系统会根据当前系统的时区设置对其进行校正,校正后得到当地时间。在WindowsNT/2000/XP系统中,系统时区设置被存储于注册表的HKEY＿LOCAL＿MAC-HINE\SYSTEM\CurrentControlSet\Control\TimeZoneInformation\中。4伪造时间信息的识别4.1创建系统时间日期伪造的方法有很多种,如:方法一:改变系统时间,然后再创建文档或对文档进行修改等操作。方法二:直接利用特殊软件改变文件的时间信息。如使用十六进制编辑器WinHex。4.2伪造时间信息的识别方法4.2.1将文件记录的文件的创建时间以对比解决难点各种时间信息互相验证进行识别的方法有很多,比如:如果发现文件系统记录的文件创建时间晚于文件访问时间,这显然就是不合逻辑的,时间信息很可能被人为伪造。对于本地建立并编辑的原始文件,其文件系统记录的创建时间同文件头记录的文件创建时间通常较为接近,一般不会超过一天,而对于拷贝或是从网络下载的文件,其文件系统记录的文件创建时间应晚于文件头记录的文件创建时间,否则就可能是进行了修改系统时间等时间信息伪造。作为一项挑战,近年来一些研究人员已经在数字调查中对时间戳解析的难题进行了研究。BradleySchatz(InformationSecurityInstituteattheQueenslandUniversityofTechnology澳大利亚)等人建议,通过从Web服务器上得到存储在计算机Web缓存区中记录的时间戳,建立时间戳相互联系可降低解决难度。MichaelC.Weil(DefenseComputerForensicsLaboratory美国)和CharsBoyd(NationalTechnicalAssistanceCentre英国)等人也提出了类似的相关性方法,通过使用存储在被调查计算机中来自其他时钟的时间戳,例如来自动态生成的Web网页来建立相关性。4.2.2项目序列的形成Svein(NationalComputerCrimeCenter挪威)提出了根据日志文件序列号的因果关系和根据文件在磁盘上实际存储顺序的因果关系对时间伪造进行识别的方法。许多文件系统包含了具有序列号项的文件系统日志。例如在NTFS文件系统的主文件表MFT中,每一个文件记录中都存有一个用64位数进行标记的序列号LSN(LogFileSequenceNumber,日志文件序列号)。这个序列号是严格递增的,按LSN对产生最后更新事件的文件进行排序,可以得到一个具有时间先后的因果顺序。NTFS文件系统的主文件表MFT使用具有子代标记(generation-markers)的首次匹配(first-fit)的存储方式,即每次产生新的文件记录时都从头查找,找到第一个可用的位置进行存储的方式。每一个文件记录中都存有一个子代标记,称为项目序列号(entrysequencenumber)。通过项目序列号可以识别该文件记录是该存储位置上产生的第几代数据。例如,当某个存储位置上的数据是第一次写入,则该位置标记为第0代数据;当该位置的数据被删除,再次写入时,则该位置标记为第一代数据,以此类推。如果项目序列号显示某文件记录是该存储位置上的第0代数据,则该存