aburgh/disk-arbitratorUn utilitaire forensique pour Mac OS X qui gère le montage des systèmes de fichiers dans le cadre de procédures d'investigation numérique.
Disk Arbitrator est un utilitaire forensique Mac OS X conçu pour aider l'utilisateur à s'assurer que les procédures forensiques correctes sont suivies lors de l'imagerie d'un périphérique disque. Disk Arbitrator est essentiellement une interface utilisateur vers le framework Disk Arbitration, qui permet à un programme de participer à la gestion des périphériques de stockage par blocs, y compris le montage automatique des systèmes de fichiers. Lorsqu'il est activé, Disk Arbitrator bloquera le montage des systèmes de fichiers pour éviter un montage en lecture-écriture et violer l'intégrité des preuves.
Il est important de noter que Disk Arbitrator n'est pas un bloqueur d'écriture logiciel---il ne modifie pas l'état des périphériques actuellement connectés et n'affecte pas les périphériques nouvellement connectés pour forcer un périphérique en lecture seule. L'utilisateur doit toujours être prudent pour ne pas écrire accidentellement sur un disque avec une commande telle que "dd". En raison de cela, un bloqueur d'écriture matériel ou logiciel peut encore être souhaitable pour la procédure la plus fiable. Disk Arbitrator complète un bloqueur d'écriture avec des fonctionnalités utiles supplémentaires et élimine la recommandation forensique typique de "désactiver l'arbitrage disque".
Vous pouvez trouver des liens vers des exécutables compilés sur la page releases.
Pour installer, faites glisser l'application Disk Arbitrator vers l'emplacement souhaité, par exemple /Applications.
Vous pouvez éventuellement souhaiter que Disk Arbitrator s'exécute automatiquement à chaque connexion. Il y a deux façons de procéder :
Ajoutez Disk Arbitrator aux éléments de connexion dans le panneau de préférences Utilisateurs et groupes (ou Comptes sur les anciennes versions d'OS X) dans Préférences Système.
Utilisez la fonction incluse « Install User Launch Agent » (accessible depuis le menu). Une fois installée, launchd du système lancera automatiquement Disk Arbitrator lorsque vous vous connectez, tout comme un élément de connexion. De plus, le plist contient un paramètre qui indique à launchd de surveiller l'application et de la relancer automatiquement en cas de plantage ou si elle est autrement quittée. Cela offre la meilleure garantie que Disk Arbitrator sera en cours d'exécution à chaque fois que vous êtes connecté.
Lorsqu'il est lancé, il ajoute son icône à la barre d'état sur le côté droit de la barre de menus. L'icône de la barre d'état indique l'un des trois états :
Disk Arbitrator surveille en continu l'apparition et la disparition des disques et suit les disques dans la fenêtre principale. Lorsqu'un nouveau disque est attaché, le système notifie Disk Arbitrator et lui donne la possibilité de rejeter le montage d'un volume de disque. Disk Arbitrator répond ainsi :
Rappel : Disk Arbitrator fait son travail en participant activement au processus de montage. Si l'utilitaire est désactivé ou est quitté et n'est pas en cours d'exécution, il n'y a aucune protection contre le montage automatique des disques attachés. Cependant, une fois qu'un disque apparaît et que le processus de montage ou de rejet du montage est terminé, Disk Arbitrator peut être quitté sans affecter l'état du disque.
À partir de la version 0.3.0, Disk Arbitrator prend en charge les images disque.
En utilisant la fonction « Attach Disk Image » de Disk Arbitrator, l'attachement de l'image disque est efficacement coordonné. Lorsque « Attach Disk Image... » est sélectionné dans le menu, un panneau d'ouverture apparaît qui inclut des options supplémentaires pour attacher et monter l'image disque. Par défaut, seule l'attachement de l'image disque est effectué. Lorsque le bouton « Open » est cliqué, Disk Arbitrator attache le disque en utilisant hdiutil. Une fois attaché, le comportement normal de Disk Arbitrator s'applique, donc s'il est activé et que le mode est réglé sur Lecture seule, les volumes de l'image disque seront montés en lecture seule. Si le mode est réglé sur Bloquer les montages, les volumes seront ignorés.
Le panneau d'ouverture d'image disque inclut une option pour tenter de monter l'image disque lorsque Disk Arbitrator n'est pas activé et est utilisé comme un moyen pratique pour attacher une image disque. Lorsque l'option de montage est utilisée, Disk Arbitrator passe « -mount optional » à hdiutil, qui tente d'attacher et de monter l'image disque, mais avec l'avantage que si le montage échoue, l'image disque n'est pas détachée.
Disk Arbitrator prend également en charge le glisser-déposer pour attacher une image disque. Faites simplement glisser une ou plusieurs images disque depuis une fenêtre Finder vers la liste des disques de Disk Arbitrator pour initier l'attachement des images disque. Lors de l'utilisation du glisser-déposer, les options par défaut incluent « -mount optional », donc le montage est également tenté. Si le montage échoue, l'image disque reste attachée et peut être montée manuellement.
Notes :
Tenter d'attacher et de monter une image disque en dehors de Disk Arbitrator, que ce soit en double-cliquant dessus dans le Finder ou en utilisant hdiutil attach, se comportera comme avant : l'image disque sera attachée, puis le système tentera de la monter, Disk Arbitrator rejettera le montage, et l'image disque sera détachée car le montage a échoué.
Si une image disque avec un contrat de licence de logiciel est attachée, Disk Arbitrator répond automatiquement « Oui » à l'accord. Caveat Emptor.
Lorsqu'il est réglé en mode Lecture seule, la demande de montage que Disk Arbitrator envoie inclut l'option d'ignorer le journal, ce qui est utile lorsque le système de fichiers HFS a été détaché la dernière fois sans démontage (par exemple, le système a planté, ou un disque externe a été débranché sans l'éjecter). Si vous travaillez avec un disque qui n'a pas été éjecté proprement, alors les tentatives de l'attacher en lecture seule échoueront normalement car HFS sait que le journal doit être rejoué et il n'est pas autorisé à faire les modifications, donc il échoue à monter.
Le montage d'une image disque avec un système de fichiers sale peut être réalisé en utilisant un fichier d'ombre, mais cela est loin d'être idéal. Le fichier d'ombre protège l'image disque originale des modifications, mais le système de fichiers est monté en lecture-écriture. Une meilleure option est d'exécuter les deux étapes manuellement, en utilisant Terminal :
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathDisk Arbitrator fournit un moyen pratique d'exécuter la deuxième étape, et une version future effectuera les deux étapes en une seule opération.