• Hallo liebe Userinnen und User,

    nach bereits längeren Planungen und Vorbereitungen sind wir nun von vBulletin auf Xenforo umgestiegen. Die Umstellung musste leider aufgrund der Serverprobleme der letzten Tage notgedrungen vorverlegt werden. Das neue Forum ist soweit voll funktionsfähig, allerdings sind noch nicht alle der gewohnten Funktionen vorhanden. Nach Möglichkeit werden wir sie in den nächsten Wochen nachrüsten. Dafür sollte es nun einige der Probleme lösen, die wir in den letzten Tagen, Wochen und Monaten hatten. Auch der Server ist nun potenter als bei unserem alten Hoster, wodurch wir nun langfristig den Tank mit Bytes vollgetankt haben.

    Anfangs mag die neue Boardsoftware etwas ungewohnt sein, aber man findet sich recht schnell ein. Wir wissen, dass ihr alle Gewohnheitstiere seid, aber gebt dem neuen Board eine Chance.
    Sollte etwas der neuen oder auch gewohnten Funktionen unklar sein, könnt ihr den "Wo issn da der Button zu"-Thread im Feedback nutzen. Bugs meldet ihr bitte im Bugtracker, es wird sicher welche geben die uns noch nicht aufgefallen sind. Ich werde das dann versuchen, halbwegs im Startbeitrag übersichtlich zu halten, was an Arbeit noch aussteht.

    Neu ist, dass die Boardsoftware deutlich besser für Mobiltelefone und diverse Endgeräte geeignet ist und nun auch im mobilen Style alle Funktionen verfügbar sind. Am Desktop findet ihr oben rechts sowohl den Umschalter zwischen hellem und dunklem Style. Am Handy ist der Hell-/Dunkelschalter am Ende der Seite. Damit sollte zukünftig jeder sein Board so konfigurieren können, wie es ihm am liebsten ist.


    Die restlichen Funktionen sollten eigentlich soweit wie gewohnt funktionieren. Einfach mal ein wenig damit spielen oder bei Unklarheiten im Thread nachfragen. Viel Spaß im ngb 2.0.

Frage zu Hashsumme einer HDD und einem Write-Blocker

R.Carlos

Neu angemeldet

Registriert
26 Dez. 2015
Beiträge
189
Hallo, ich habe eine Frage bezüglich eines Write-Blockers, also "Schreibblocker". Eigentlich sind diese ja echt sehr teuer. Ich habe nun im Netz einen gefunden (mit USB.3.0), der "Write-Protetion" beherrscht und durchweg sehr gute Bewertungen hat. Gekauft habe ich ihn in Irland - er war so gut wie überall ausverkauft. Er hat über 100 € gekostet. Hier kann man direkt beim Hersteller kaufen. Ich denke mal, auch nach den Bewertungen bei amazon und vielen anderen, funktioniert der Schreibschutz.

Ich würde das gerne nun einmal testen., Wie gehe ich da am Besten vor? Also wenn ich eine HDD habe, die ich forensich spiegeln will, dann nehme ich ddrescue oder so, also eben Linux oder Kalilinux. Wie lasse ich direkt bei dem Erstellen der Kopie eine Hashsumme generieren? Wie überprüfe ich dann, ob das Original und die Kopie exakt gleich sind? Könnte ihr mi8r da mal einen Tipp geben?
 

theSplit

1998
Veteran Barkeeper

Registriert
3 Aug. 2014
Beiträge
28.573
Ich glaube das geht nur am einfachsten auf Dateiebene, also die Checksummen mittels MD5 ermitteln lassen, speichern - und nach WriteBlock die gleichen Dateien mittels MD5 nochmal prüfen lassen und vergleichen.

Du könntest vielleicht auch ein Image der Festplatte machen, also vor und mit bzw. nach dem Writeblock ein Image ziehen mit "dd" und das mittels MD5 auswerten lassen.... wäre wohl das einfachste. Die Prüfsummen sollten wohl identisch sein, wenn alles gut geht.

Wozu brauchst du so nen Kram? :)

Oder ist das ein Werbelink für den Hersteller? :p
 

dexter

Cloogshicer®
Teammitglied

Registriert
14 Juli 2013
Beiträge
5.384
Also wenn ich eine HDD habe, die ich forensich spiegeln will, dann nehme ich ddrescue oder so, also eben Linux oder Kalilinux. Wie lasse ich direkt bei dem Erstellen der Kopie eine Hashsumme generieren?

Wozu brauchst Du da einen Hash und wozu musst Du das überprüfen? dd macht (theoretisch) eine 1:1-Kopie und ddrescue macht eine 1:1-Kopie der lesbaren Sektoren. Auf deutsch: Wenn Du kaputte Sektoren hast, kannst Du bei dd Deinen Hash UND Dein "Backup" wegschmeissen. Bei ddrescue nur den Hash.

Wenn dd(rescue) wirklich Mist baut (hab ich noch nie gesehen), hast Du im Zweifelsfall immer noch den Original-datenträger für nen 2. Versuch.

Im Übrigen verstehe ich auch nicht, was ein ominöses Write-protect mit einer Datensicherung/wiederherstellung zu tun haben soll.

Edit: https://www.mankier.com/1/dd_rescue#Plugins-hash
 

thom53281

SYS64738
Teammitglied

Registriert
14 Juli 2013
Beiträge
6.918
Im Übrigen verstehe ich auch nicht, was ein ominöses Write-protect mit einer Datensicherung/wiederherstellung zu tun haben soll.
Ich denke, er will eine 1:1-Kopie machen, auf dem Ursprungsdatenträger wie wild herumschreiben und dann die beiden bitweise vergleichen.
 

R.Carlos

Neu angemeldet

Registriert
26 Dez. 2015
Beiträge
189
  • Thread Starter Thread Starter
  • #5
@theSplit

Vielen Dank für deine Antwort.

Du könntest vielleicht auch ein Image der Festplatte machen

Ich denke, das muss sogar sein, denn ich will ja keine einzelnen Dateien testen bzw. davon eine Hashsumme generieren, sondern von dem kompletten Datenträger.

Wozu brauchst du so nen Kram?

Also a) interessiert mich so etwas einfach und b) schadet es nicht, wenn man im Falle einer Datenrettung kein einziges Bit übeschreibt. Ich habe vor Kurzem mittels ddresuce eine Image einer Platte gemacht und anschließend mit Foremost analysiert - mit super Ergebnissen. Da biun ich dann drauf gekommen.


Wozu brauchst Du da einen Hash und wozu musst Du das überprüfen?

Einfach weil es mich interessiert - ist ja nicht schlimm, oder?:)


Wenn Du kaputte Sektoren hast, kannst Du bei dd Deinen Hash UND Dein "Backup" wegschmeissen.

Ja, wenn die Platte defekt ist, sollte ja das Augenmerk auc herts auf den Sektoren liegen, die man auslesen kann, bevor man an die kritischen rangeht.

Wie meinst du das? warum soll man mit DD dann den Hash und das Basckup wegschmeisen können?

Ich denke, er will eine 1:1-Kopie machen, auf dem Ursprungsdatenträger wie wild herumschreiben und dann die beiden bitweise vergleichen.

Ja, nicht ganz. Mich interessiert das einfach. Ich möchte einfach um eine antwort bitten.

Frage: wenn ich von einem Datenträger eine Image erstelle, dann kann ich während des vorgangs eine Hashsumme (am Besten mind. SHA-256) generieren lassen. Später kann ich dann das Image testen. Aber tehoretisch könnte man ja den Datenträger verändenr, BEVOR man vom Originalträger ein Iamge ertsellt und eine Hashsumme, oder?
 

theSplit

1998
Veteran Barkeeper

Registriert
3 Aug. 2014
Beiträge
28.573
@dexter: Guter Link, aber würde das nicht heißen das ddrescue theoretisch "unbrauchbar" wäre, anstelle von gddrescue welches empfohlen wird?
 

theSplit

1998
Veteran Barkeeper

Registriert
3 Aug. 2014
Beiträge
28.573
@Nik: Laut dem Artikel und dem Entwickler von "ddrescue" ist "gddrescue" etwas ähnliches, aber anderes. ;)

For automating data recovery, the script dd _rhelp is useful (and included in the binary builds).
Meanwhile, the tool GNU ddrescue has been developed and provides an easier way for many data recovery scenarios than the combination of dd_rhelp and dd_rescue.
dd_rescue on the other hand is still worthwhile because it has a number of special features, such as direct IO, sparse copies, splice copies, preallocation ...
Noteworthy are the data protection functions that have been introduced since 1.29 to allow safe deletion of files and storage devices by overwriting with data from a fast userspace pseudo random number generator.
In addition, since 1.42, there is a plugin interface that allows you to analyze or transform data. A (secure) hash calculation plugin exists as well as an LZO (de)compression plugin and an encryption. The plugins have a varying level of support for some of the special dd_rescue features, but where possible, they support things like reverse direction copy or sparse files (files with holes) etc. and you can store additional properties (such as a hash value or a salt) in extended attributes of the file.

http://www.garloff.de/kurt/linux/ddrescue/
 

nik

肉まん

Registriert
19 Feb. 2017
Beiträge
962
Ort
deine Mülltonne
@theSplit: weiß ich, deswegen hab ich den Wikipedia-Artikel ja auch verlinkt.

Das erklärt aber immer noch nicht, wie du darauf kommst, dass dd_rescue unbrauchbar sei.
 

theSplit

1998
Veteran Barkeeper

Registriert
3 Aug. 2014
Beiträge
28.573
"Unbrauchbar" ist vielleicht das falsche Wort, eher, "ungeeignet" weil gddrescue scheinbar nen etwas besseren Job macht in einigen Szenarien. Natürlich aber nicht "nutzlos"... aber deswegen habe ich den Abschnitt aus der Webseite hervorgehoben, eben weil selbst dort zu "gddrescue" angeraten wird, auch wenn ddrescue noch einige andere Features besitzt.
 

dexter

Cloogshicer®
Teammitglied

Registriert
14 Juli 2013
Beiträge
5.384
@dexter: Guter Link, aber würde das nicht heißen das ddrescue theoretisch "unbrauchbar" wäre, anstelle von gddrescue welches empfohlen wird?

Mein Fehler, ich hab den erstbesten Link genommen zum "Thema".
Wenn von ddrescue die Rede ist, ist in aller Regel gddrescue gemeint.
 

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
Ich denke, das muss sogar sein, denn ich will ja keine einzelnen Dateien testen bzw. davon eine Hashsumme generieren, sondern von dem kompletten Datenträger.
Ist sinnfrei. Erstens dauert es ewig, diesen Hash überhaupt zu generieren, zweitens ist bei Defekten mindestens ein Sektor anders - und damit ändert sich der komplette Hash, ohne dass du weißt, welche Daten kaputt sind und welche nicht. Deshalb macht man sowas auf Dateiebene. Da Datenträger aber auch nur als Files eingebunden werden, kannst du das natürlich machen. Wie gesagt, macht nur keinen Sinn.

schadet es nicht, wenn man im Falle einer Datenrettung kein einziges Bit übeschreibt.
Du arbeitest auf einem Linux. Wenn du nicht WILLST, dass dir der Ursprungsdatenträger überschrieben wird, wird er auch nicht angefasst. dd bzw. (g)ddrescue (und auch dd_rescue) fassen die Quelle ausschließlich zum Lesen an. Treten beim Lesen natürlich Sektorenfehler auf, und die Festplatte entscheidet aufgrund der eigenen SMART-Werte für eine Relocation der Sektoren, verhinderst du das auch mit noch so fancy Hardware nicht.

Wie meinst du das? warum soll man mit DD dann den Hash und das Basckup wegschmeisen können?
dd bricht beim ersten defekten Sektor ab. Und nein, man arbeitet mit dd/ddrescue von Anfang bis Ende, und pickt nicht zwischendurch die Rosinen raus. Das würde schließlich Seeks bedeuten und wenn deine ausfallende Platte ein Problem am Lesearm hat, ist ein Seek das Letzte, was du machen möchtest. ddrescue unterscheidet sich von dd hauptsächlich in der Hinsicht, dass es tolerant gegenüber defekten Sektoren ist über die drüberliest und versucht, noch Daten draus zu retten. Wenns nicht erfolgreich wird, tja, Pech gehabt. Wenn noch was lesbar ist, und das ist auf Dateisystemebene Müll, dann hat das später das Dateisystem auf dem Backup zu reparieren, nicht ddrescue.

Ich möchte einfach um eine antwort bitten.
Du verstehst glaub nicht ganz, wie das in Foren üblicherweise läuft. Man möchte dir bei deinem Problem helfen, weil erfahrungsgemäß solche Fragen erst auftauchen, wenn Probleme da sind. Du klingst wie jemand, der grade eine ausfallende Festplatte hat mit wichtigen Daten, und da keinen Fehler machen möchte. Verständlich. Wir versuchen, dir einen fehlerfreien, für die Festplatte möglichst schonenden Weg zu zeigen, denn ausfallende Datenträger werden bei Benutzung selten besser, meist eher rapide schlechter, weshalb jede Nutzung mehr Daten zerstört, egal wie du rangehst. Selbst wenn sie nur läuft kann es sein, dass die Wärme oder kleine Splitter im Inneren dafür sorgen, dass entweder mehr Komponenten das Zeitliche segnen oder die Kratzer auf den Platten mehr werden. Beides führt zu Datenverlust.

Frage: wenn ich von einem Datenträger eine Image erstelle, dann kann ich während des vorgangs eine Hashsumme (am Besten mind. SHA-256) generieren lassen. Später kann ich dann das Image testen. Aber tehoretisch könnte man ja den Datenträger verändenr, BEVOR man vom Originalträger ein Iamge ertsellt und eine Hashsumme, oder?
Klar kann man. Es ist ein Datenträger, irgendwie sind die Daten da ja auch drauf gekommen. Es bedeutet nicht, dass man es automatisch tut. Wie gesagt, du arbeitest in Linux, das tut ohne Notwendigkeit erstmal gar nix mit dem Datenträger. Anders Windows, das durchaus mal die Idee haben kann, da mal ein bisschen Reparatur oder Defragmentierung zu betreiben. Was auf kaputten Datenträgern erfahrungsgemäß ziemlich scheiße ist.
 

R.Carlos

Neu angemeldet

Registriert
26 Dez. 2015
Beiträge
189
  • Thread Starter Thread Starter
  • #14
@Metal_Warrior:

zweitens ist bei Defekten mindestens ein Sektor anders - und damit ändert sich der komplette Hash, ohne dass du weißt, welche Daten kaputt sind und welche nicht.

Ja, sicher, da hast du recht. Ich meinte auch nicht, eine Hashsumme mit ddrescue zu generieren (das nutzt man ja nur im Falle eines Hardwarefehlers), sondern eher wenn man einfach mit dd ein Image erstellt.

Du arbeitest auf einem Linux. Wenn du nicht WILLST, dass dir der Ursprungsdatenträger überschrieben wird, wird er auch nicht angefasst. dd bzw. (g)ddrescue (und auch dd_rescue) fassen die Quelle ausschließlich zum Lesen an.
b vor
Auch das weiß ich, aber um z.B. vor Gericht beweisen zu können, dass nichts geändetr wurde, ist eine Hashsumme unerlässlich. ICh lese gerade ein Buch zum Thma IT-Forensik und daher bin ich auf das Thema gekommen, da es mich sehr interessiert.

ddrescue unterscheidet sich von dd hauptsächlich in der Hinsicht, dass es tolerant gegenüber defekten Sektoren ist über die drüberliest und versucht, noch Daten draus zu retten.

Ja, deshalb hatte ich das ja auch - erfolgreich - bei der schwer bschädigten HDD genutzt.

u klingst wie jemand, der grade eine ausfallende Festplatte hat mit wichtigen Daten, und da keinen Fehler machen möchte. Verständlich. Wir versuchen, dir einen fehlerfreien, für die Festplatte möglichst schonenden Weg zu zeigen, denn ausfallende Datenträger werden bei Benutzung selten besser, meist eher rapide schlechter, weshalb jede Nutzung mehr Daten zerstört, egal wie du rangehst.

Nein, das Problem hatte ich schon gelöst. Mich interessiert nur das Erstellen der HAshsumme.
 

R.Carlos

Neu angemeldet

Registriert
26 Dez. 2015
Beiträge
189
  • Thread Starter Thread Starter
  • #16
Danke, aber man kann es doch während des Images generieren lassen, oder?
 

theSplit

1998
Veteran Barkeeper

Registriert
3 Aug. 2014
Beiträge
28.573
Naja, anstelle das man Hashes erstellt, sollte man eher die Disk mit dem Image auf Byteebene vergleichen, was vermutlich schneller sein würde als wenn man aus den Daten nen Md5 generieren lässt, der dann noch nicht ma alles, durch begrenzte Länge, abbilden kann... ?!

Gibt es so etwas nicht?

--- [2017-08-20 17:10 CEST] Automatisch zusammengeführter Beitrag ---

Was mich auf eine Metafrage bringt, kann man /dev/sdx so ansprechen, wie Dateien? - Also wenn man nen Dateidiskriptor für ein /dev/DEVICE öffnet?
 

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
@theSplit: Klar kann man - warum auch nicht? Du kannst auch cat /dev/urandom > /dev/sdb machen, wenn du ne Platte sauber löschen willst. Für den User ist das eigentlich kein Unterschied.
 

theSplit

1998
Veteran Barkeeper

Registriert
3 Aug. 2014
Beiträge
28.573
@Metal_Warrior: Ich weiß ist offtopic - aber dann könnte man sich zum Beispiel ja ganz schnell so eine Byte-Wise Vergleich von "Dateien" in jeglicher Programmiersprache zurechtbasteln! ;)

Wenn das ganze wie eine Datei angesprochen werden kann.... wäre jetzt die Frage ob das wirklich so einfach ist :o
Wobei, wenn die Platte ein riesiger Datenstream ist... mh.
 
Zuletzt bearbeitet:
Oben