aburgh/disk-arbitratorأداة مساعدة للفحص الجنائي الرقمي لنظام Mac OS X، تدير تركيب نظام الملفات لدعم إجراءات التحقيق الجنائي الرقمي.
Disk Arbitrator هي أداة جنائية (Forensic) لنظام Mac OS X مصممة لمساعدة المستخدم في ضمان اتباع الإجراءات الجنائية الصحيحة أثناء إنشاء صورة لجهاز قرص (Disk Device). Disk Arbitrator هي في الأساس واجهة مستخدم لإطار عمل Disk Arbitration، الذي يمكّن البرنامج من المشاركة في إدارة أجهزة التخزين الكتلية (Block Storage Devices)، بما في ذلك التركيب التلقائي لأنظمة الملفات. عند التفعيل، سيمنع Disk Arbitrator تركيب أنظمة الملفات لتجنب تركيبها كقرص قابل للقراءة والكتابة (Read-Write) وانتهاك سلامة الأدلة.
من المهم ملاحظة أن Disk Arbitrator ليس حاجب كتابة برمجي (Software Write Blocker)؛ فهو لا يغيّر حالة الأجهزة المتصلة حالياً ولا يؤثر على الأجهزة المتصلة حديثاً لفرض جعل الجهاز للقراءة فقط. لا يزال يتعين على المستخدم توخي الحذر لعدم الكتابة عن طريق الخطأ إلى قرص بأمر مثل "dd". ونظراً لهذه الحقيقة، قد يظل حاجب الكتابة العتادي أو البرمجي مرغوباً فيه لضمان الإجراء الأكثر سلامة. يكمل Disk Arbitrator حاجب الكتابة بميزات إضافية مفيدة ويلغي التوصية الجنائية النمطية بـ"تعطيل Disk Arbitration".
يمكنك العثور على روابط للملفات التنفيذية المترجمة في صفحة الإصدارات.
للتثبيت، اسحب تطبيق Disk Arbitrator إلى الموقع المطلوب، على سبيل المثال /Applications.
قد ترغب اختيارياً في جعل Disk Arbitrator يعمل تلقائياً في كل مرة تسجل فيها الدخول. هناك طريقتان للقيام بذلك:
أضف Disk Arbitrator إلى عناصر تسجيل الدخول (Login Items) في لوحة تفضيلات المستخدمون والمجموعات (أو الحسابات في إصدارات OS X الأقدم) في تفضيلات النظام (System Preferences).
استخدم ميزة "تثبيت وكيل تشغيل المستخدم" (Install User Launch Agent) المضمنة (يمكن الوصول إليها من القائمة). عند التثبيت، سيقوم launchd الخاص بالنظام بتشغيل Disk Arbitrator تلقائياً عند تسجيل دخولك، تماماً مثل عنصر تسجيل الدخول. بالإضافة إلى ذلك، يحتوي ملف plist على إعداد يوجه launchd لمراقبة التطبيق وإعادة تشغيله تلقائياً في حالة تعطله أو إذا تم إنهاؤه بأي شكل آخر. وهذا يوفر أكبر قدر من الضمان بأن Disk Arbitrator سيعمل كلما كنت مسجلاً للدخول.
عند تشغيله، يضيف أيقونته إلى شريط الحالة على الجانب الأيمن من شريط القوائم. تشير أيقونة شريط الحالة إلى إحدى الحالات الثلاث:
أخضر: الأداة مفعلة وفي وضع حظر التركيب (Block Mounts).
برتقالي: الأداة مفعلة وفي وضع القراءة فقط (Read-only).
رمادي: الأداة معطلة وسيتم تركيب الأقراص المتصلة تلقائياً بواسطة النظام.
يراقب Disk Arbitrator باستمرار ظهور الأقراص واختفاءها ويتتبع الأقراص في النافذة الرئيسية. عند توصيل قرص جديد، يقوم النظام بإخطار Disk Arbitrator ويمنحه فرصة رفض تركيب وحدة تخزين (Volume) على القرص. يستجيب Disk Arbitrator على النحو التالي:
عند التعطيل، يكتفي بمراقبة تغييرات القرص.
عند التفعيل وفي وضع حظر التركيب، يرفض ببساطة كل محاولة جديدة من النظام لتركيب وحدة تخزين.
عند التفعيل وفي وضع القراءة فقط، يرفض إجراء التركيب الأصلي ويرسل تلقائياً طلبه الخاص لتركيب وحدة التخزين، لكنه يضمن أن يتضمن التركيب خيار جعل نظام الملفات للقراءة فقط. كما يتحقق من نوع نظام الملفات، وفي حالة كان HFS، يضيف العلامة (Flag) لتجاهل اليومية (Journal).
تذكير: يقوم Disk Arbitrator بعمله من خلال المشاركة الفعالة في عملية التركيب. إذا تم تعطيل الأداة أو إنهاؤها وعدم تشغيلها، فلا توجد حماية من التركيب التلقائي للأقراص المتصلة. ومع ذلك، بمجرد ظهور القرص واكتمال عملية إما التركيب أو رفض التركيب، يمكن إنهاء Disk Arbitrator دون التأثير على حالة القرص.
اعتباراً من الإصدار 0.3.0، يوفر Disk Arbitrator دعماً لصور الأقراص.
باستخدام ميزة إرفاق صورة القرص (Attach Disk Image) في Disk Arbitrator، يتم تنسيق إرفاق صورة القرص بشكل فعال. عند تحديد "Attach Disk Image..." من القائمة، تظهر لوحة فتح تتضمن خيارات إضافية لإرفاق صورة القرص وتركيبها. الإعداد الافتراضي هو إرفاق صورة القرص فقط. عند النقر فوق زر "فتح" (Open)، يقوم Disk Arbitrator بإرفاق القرص باستخدام hdiutil. وبمجرد إرفاقه، يُطبَّق السلوك الطبيعي لـ Disk Arbitrator، لذا إذا كان مفعلاً وكان الوضع مضبوطاً على القراءة فقط (Read-Only)، فسيتم تركيب وحدات التخزين الموجودة على صورة القرص للقراءة فقط. إذا كان الوضع مضبوطاً على Block Mounts، فسيتم تجاهل وحدات التخزين.
تتضمن لوحة فتح صورة القرص خياراً لمحاولة تركيب صورة القرص للحالة التي لا يكون فيها Disk Arbitrator مفعلاً ويُستخدم كوسيلة ملائمة لإرفاق صورة القرص. عند استخدام خيار التركيب، يمرر Disk Arbitrator الخيار "-mount optional" إلى hdiutil، الذي يحاول إرفاق صورة القرص وتركيبها، مع فائدة أن صورة القرص لا تُفصل إذا فشل التركيب.
يدعم Disk Arbitrator أيضاً السحب والإفلات (Drag and Drop) لإرفاق صورة القرص. ما عليك سوى سحب صورة قرص واحدة أو أكثر من نافذة Finder إلى قائمة الأقراص في Disk Arbitrator لبدء إرفاق صور الأقراص. عند استخدام السحب والإفلات، تتضمن الخيارات الافتراضية "-mount optional"، لذا تتم محاولة التركيب أيضاً. إذا فشل التركيب، تظل صورة القرص مرفقة ويمكن تركيبها يدوياً.
ملاحظات:
محاولة إرفاق صورة قرص وتركيبها خارج Disk Arbitrator، إما بالنقر المزدوج عليها في Finder أو باستخدام hdiutil attach، ستعمل كما في السابق: سيتم إرفاق صورة القرص، ثم سيحاول النظام تركيبها، وسيرفض Disk Arbitrator التركيب، وستكون صورة القرص غير مرفقة بسبب فشل التركيب.
إذا تم إرفاق صورة قرص تتضمن اتفاقية ترخيص برمجي (Software License Agreement)، يقوم Disk Arbitrator تلقائياً بالرد بـ"نعم" على الاتفاقية. ليحذر المشتري (Caveat Emptor).
عند الضبط على وضع القراءة فقط، يتضمن طلب التركيب الذي يرسله Disk Arbitrator خيار تجاهل اليومية، وهو مفيد عندما تم فصل نظام ملفات HFS آخر مرة دون إلغاء تركيبه (مثل تعطل النظام، أو فصل محرك أقراص خارجي دون إخراجه). إذا كنت تتعامل مع قرص لم يُخرج بشكل نظيف، فستفشل محاولات إرفاقه للقراءة فقط عادةً لأن HFS يعلم أن اليومية تحتاج إلى إعادة تشغيل (Replay) ولا يُسمح له بإجراء التغييرات، لذلك يفشل التركيب.
يمكن تحقيق تركيب صورة قرص بنظام ملفات متسخ (Dirty) باستخدام ملف ظل (Shadow File)، لكن هذا ليس مثالياً. يحمي ملف الظل صورة القرص الأصلية من التغييرات، لكن نظام الملفات يُركب للقراءة والكتابة. الخيار الأفضل هو تنفيذ الخطوتين يدوياً باستخدام الطرفية (Terminal):
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathيوفر Disk Arbitrator طريقة ملائمة لتنفيذ الخطوة الثانية، وسيقوم إصدار مستقبلي بتنفيذ الخطوتين في عملية واحدة.