Digital Forensics: Hash function

Digital Forensics: (Hash function) ฟังก์ชันแฮช > LAB MD5

  จุดประสงค์ของ Lab MD5

   1. อะไรบ้างที่ทำให้ค่า  Hash เปลี่ยน

 ฟังก์ชันแฮช (อังกฤษ: hash function) คือวิธีการอย่างหนึ่งซึ่งทำให้ข้อมูลส่วนหนึ่งหรือทั้งหมด ให้กลายเป็นจำนวนเล็กๆ อันหนึ่งอย่างมีปฏิสัมพันธ์ ซึ่งจำนวนดังกล่าวเปรียบได้ว่าเป็น "ลายนิ้วมือ" ของข้อมูล ขั้นตอนวิธีของฟังก์ชันแฮชส่วนใหญ่จะเป็นการแบ่งย่อยข้อมูลและการผสมข้อมูลย่อยทั้งหมดเข้าด้วยกันเพื่อให้ได้ผลลัพธ์สุดท้าย ผลลัพธ์ดังกล่าวอาจเรียกว่า   ค่าแฮช (hash value)

         การสร้าง Signature นั้นอาศัยการทำHash Functionซึ่งเป็นฟังก์ชันที่มีบทบาทอย่างมากต่อการรักษาความมั่นคงปลอดภัยในเครือข่าย จากคุณสมบัติที่สำคัญหลายๆประการของฟังก์ชันแฮชนั้นพบว่า ฟังก์ชันแฮชมี คุณสมบัติหลักในการตรวจสอบความคงสภาพของข้อมูล

ทำไมต้องมีฟังก์ชันแฮช?

1. เพื่อใช้ตรวจสอบว่าข้อมูลมีการเปลี่ยนแปลงหรือไม่
2. เพื่อใช้เก็บข้อมูลสำหรับเปรียบเทียบ โดยการเปรียบเทียบข้อมูลจะทำได้รวดเร็วขึ้น
3. หากข้อมูลที่จะใช้เปรียบเทียบมีขนาดใหญ่มาก จะช่วยย่อข้อมูลให้เล็กลงได้มาก แต่ขึ้นอยู่กับวิธีของฟังก์ชันแฮช
4. อื่นๆ 

ชนิดของฟังก์ชันแฮช

1. MD5 (128bits) คิดค้นโดย Ronald Rivests
2. SHA1 (160bits) คิดค้นโดย National Security Agency : NSA
3. SHA2 (SHA-224, SHA-256, SHA-384, SHA-512) คิดค้นโดย National Security Agency : NSA
4. อื่นๆ

SHA-256 ย่อมาจาก Secure Hash Algorithmเป็นฟังก์ชันแฮชที่ถูกพัฒนาขึ้นหลังจาก MD5 แรกเริ่มพัฒนาเป็น SHA-1 ถัดมากลายเป็น SHA-256,และ SHA-512โดยปัจจุบันได้นำมาใช้แทน MD5
เนื่องจากมีความปลอดภัยที่สูงกว่าและแม่นยำกว่าซึ่งแก้ปัญหาการชนกันของค่าแฮช(Collision)ที่ข้อมูลสองข้อมูลมีค่าแฮชตรงกัน

ทำการ download Hash Tool  Hash Tool is a utility to calculate the hash of multiple files.
 1. ทำการติดตั้งโปรแกรม  Hash Tool

 

2. ทดสอบค่า MD5  hash กับไฟล์รูป ชื่อ chain of Custody.jpg
    MD5 = 4723fd6167cf3074e36981959e2b1d8e

3. ทำการ Rename ไฟล์รูป ชื่อ chain of Custody.jpg  เป็น chain.jpg
    run Hash  MD5 = 4723fd6167cf3074e36981959e2b1d8e   ค่าไม่เปลี่ยน

 

4. ทำการเพิ่มข้อมูลใน Properties Details (meta data) ในส่วน Title ,Subject ,Authors

  run Hash  MD5 = 9fd4e6c35217e30d4eaaee86a92b6939   ค่า เปลี่ยน

5. ทำการลบข้อมูลใน Properties Details (meta data) ในส่วน Title ,Subject ,Authors

  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่า เปลี่ยน

6 ทำการลบข้อมูล user  Account Unknown ใน Properties Security ในส่วน (permission)
  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่าไม่เปลี่ยน

7 ทำการเพิ่มข้อมูล user Everyoneใน Properties Security ในส่วน (permission)
  run Hash  MD5 = bf176eec3c4b2e29db1e29dfa3d7a9d5   ค่าไม่เปลี่ยน

สรุป  การทดสอบ ปัจจัยที่ทำให้ค่า  Hash เปลี่ยน

       1. แก้ไข content

  

 

อ้างอิง
https://www.thaicert.or.th/papers/technical/2012/pa2012te013.html
https://blog.inslash.com/%E0%B8%9F%E0%B8%B1%E0%B8%87%E0%B8%81%E0%B9%8C%E0%B8%8A%E0%B8%B1%E0%B8%99%E0%B9%81%E0%B8%AE%E0%B8%8A-hash-function-a985ed40351d

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #hash value  #MD5

Digital Forensics:National Software Reference Library (NSRL)

Digital Forensics:National Software Reference Library (NSRL)

           ท่านทราบมั้ยครับ ว่าหน่วยงาน NIST (US National Institute of Standards and Technology) ทำหน้า ที่รวบรวม Hash set ของ software สำคัญๆ ทั่วโลกเก็บไว้ เช่น ระบบปฎิบัติการต่างๆ หน่วยงานนี้มีชื่อว่า National Software Reference Library (NSRL) ซึ่งเป็นแหล่งข้อมูลที่สนับสนุนการสืบสวนทางนิติวิทยาศาสตร์แบบดิจิตอล จุดประสงค์เพื่อเก็บชุดข้อมูลซอฟท์แวร์ ในเวอร์ชันต่างๆมากมาย ในรูปแบบ hash set ไว้เพื่อเป็นประโยนชน์ ในการลดการตรวจสอบไฟล์ในระบบคอมพิวเตอร์  เพื่อแยกแยะและลดขั้นตอนการในการสืบสวนคดีอาชญากรรมไซเบอร์ และงานอื่นๆ

 

สำหรับใครที่ต้องใช้เครื่องมือในการตรวจสอบเทคโนโลยีทั้งหลาย ในนี้จะมีตัวอย่างในการหาเครื่องมือให้ตรงกับการใช้งาน

NIST Catalog

Computer Forensics Tools & Techniques Catalog

ทีมา: NIST
https://bit.ly/2r7nc3u

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud
หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics:Hash function Lab

1.Find the md5 hash of the word "Iloveyou" MD5 Hash Generator

Ans: .................................................................................

2. Find the md5 hash of this image.  File Hash Online Calculator or  virustotal

Ans: ...................................................................................

3.Find the md5 hash of this exe file.

Ans: ...................................................................................

อ่านเพิ่มเติม: ค่าแฮช (hash value)

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #hashvalue #MD5

Digital Forensics: ค่าแฮช (hash value)

Digital Forensics: ค่าแฮช (hash value)

ค่า hash คือ

ค่าแฮช (hash value) คือ  เกิดจาก วิธีการที่ทำให้ข้อมูลย่อลงแต่มีลักษณะจำเพาะของข้อมูลนั้น โดยอาจกระทำโดยการแบ่งข้อมูลออกเป็นส่วนๆ ผ่านวิธีการใดๆแล้วนำกลับมารวมกัน โดยการใช้ฟังก์ชันแฮช (Hash function)

hash value

ค่าแฮช คือ

ค่าแฮช (Hash Value) หมายถึง ค่าเฉพาะที่ได้จากการคำนวณเนื้อหาของข้อมูลด้วยฟังก์ชันทางคณิตศาสตร์ เป็นเสมือนลายนิ้วมือของข้อมูล ใช้ยืนยันความถูกต้องครบถ้วนของข้อมูล โดยค่านี้มักเป็นเลขฐาน 16 ความยาวแน่นอน ขึ้นอยู่กับฟังก์ชันที่ใช้ ที่นิยมได้แก่ MD5 ซึ่งมีขนาด 16 ไบต์ (128 บิต) ดังนั้นค่า MD5 ทั้งหมดที่ จะมีได้คือ 2^128 ค่า และ SHA1 ซึ่งมีขนาด 20 ไบต์เป็นต้น

ค่าแฮช Hash Value

hash value คือ
ค่าแฮช (hash value) คือ  ผลลัพธ์ ของวิธีการซึ่งทำให้ข้อมูลส่วนหนึ่งหรือทั้งหมด ให้กลายเป็นจำนวนเล็กๆ อันหนึ่งอย่างมีปฏิสัมพันธ์ ซึ่งจำนวนดังกล่าวเปรียบได้ว่าเป็น "ลายนิ้วมือ" ของข้อมูล ขั้นตอนวิธีของฟังก์ชันแฮชส่วนใหญ่จะเป็นการแบ่งย่อยข้อมูลและการผสมข้อมูลย่อยทั้งหมดเข้าด้วยกันเพื่อให้ได้ผลลัพธ์สุดท้าย

https://en.wikipedia.org/wiki/Cryptographic_hash_function

 ค่าแฮช คือ Hash value  เป็นผลลัพธ์จากการนำข้อมูล (จะเป็นฮาร์ดดิสก์ทั้งลูกหรือไฟล์ชนิดหรือขนาดใดก็ได้) มาผ่านกระบวนการย่อย (Digest) หรือการคำนวณด้วย Hash Function เรียกกระบวนการนี้ว่า Hashing โดยผลลัพธ์นี้จะเป็นค่าเฉพาะ ซึ่งโดยทั่วไปนิยมแสดงโดยใช้เลขฐาน 16 (Hexadecimal) ซึ่งมีความยาวแตกต่างกันขึ้นอยู่กับวิธีการ หรือฟังก์ชันที่ใช้ เช่น MD5 (Message Digest 5) ซึ่งให้ผลลัพธ์ 128 bit หรือ 32 digit (เลขฐาน 16) และ SHA1 (Secure Hash Algorithm 1) ให้ผลลัพธ์ 160 bit หรือ 40 digit (เลขฐาน 16) 

หมายเหตุ: Hashing จะคำนวณจากข้อมูลที่อยู่ในไฟล์เท่านั้น ไม่รวม metadata ซึ่งได้แก่ ชื่อไฟล์ วันเวลาที่ไฟล์ถูกสร้าง เปลี่ยนแปลง/เข้าถึงครั้งสุดท้าย เป็นต้น

 กระบวนการ Hash คือกระบวนการที่เรียกว่า “ฟังก์ชั่นทางเดียว” (One way function) ที่ไม่สามารถกระทำการย้อนกลับ (Reverse) ได้ ลองคิดถึงการนำข้อมูลขนาด 1 เทระไบต์ มา Hash ด้วย MD5 ซึ่งจะได้ 16 ไบต์เสมอ ถ้าสามารถหาวิธีแปลงข้อมูล 16 ไบต์กลับเป็น 1 เทระไบต์ ได้ก็เท่ากับว่า MD5 เป็นวิธีการบีบอัดข้อมูลที่ดีที่สุดในโลก

(Hash function) ฟังก์ชันแฮช

เข้ารหัส Password ด้วย Hash function

patanasongsivilai.com/blog

ประโยชน์ของค่า Hash 

1.ความแท้จริงของข้อมูลว่าไม่ถูกแก้ไขเปลี่ยนแปลงหรือได้รับความเสียหาย 
นำไปตรวจสอบความถูกต้องของไฟล์ ( integrity) สมมติว่ามีไฟล์สองไฟล์ ถ้าเนื้อหาในไฟล์เหมือนกันทุกประการ     ก็จะได้ค่า hash เหมือนกัน แต่หากว่า ค่า hash ไม่ตรงกัน นั้นแสดงว่าต้องมีไฟล์ใดๆไฟล์หนึ่งที่เปลี่ยนแปลง

2. นำไปใช้ในการเก็บข้อมูลที่ไม่ต้องการเปิดเผย เช่น เก็บ Hash รหัสผ่านไว้ในฐานข้อมูล

Hash password 

ที่มา:
https://bit.ly/2Omm5uJ
https://bit.ly/2CZDAea
https://bit.ly/2HDJCkK
 https://bit.ly/2wzbnFu
https://www.patanasongsivilai.com/blog/password-hash-function-salt-values/

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #hashvalue #MD5