File Signature & Magic Number

Salah satu hal yang berhubungan dengan forensik digital adalah "File Signature dan Magic Number".
Dimana, kapanpun, bagaimanapun seorang ahli forensik pasti akan berhubungan dengan yang namanya data-data digital, dan File Signature adalah salah satu teknik ilmu forensik yang membantu dalam bidang pengolahan data tersebut.

Apa sih File Signature itu ?
"data used to identify or verify the content of a file"
Data yang diperlukan untuk di identifikasi atau dipastikan sebagai konten dari suatu file.
File Signature juga pada umumnya dikenal sebagai ;

• File Magic Number*, byte didalam file yang digunakan untuk mengidentifikasi format dari sebuah file, biasanya dapat diidentifikasi pada bagian dari awal dari sebuah file. Ukurannya berkisar antara 2-4 byte. Contonhya, sebuah file dengan tipe ISO memiliki magic number 43 44 30 xx xx
• File Checksum, umumnya digunakan sebagai hasil dari sebuah fungsi Hash dari file content. File Checkcum terutama digunakan untuk melakukan verifikasi integritas file dari error transmisi atau dari serangan. Signature jenis file checksum ini akan ditempatkan pada awal / akhir file atau dapat pula pada file yang terpisah.  

 nb : untuk melihat lebih lengkap tipe-tipe file bisa langsung kesini > http://www.garykessler.net/library/file_sigs.html

Kapan sih ilmu ini digunakan ?
Seperti dari pengertian File Signature/File Magic Number yang diatas, ketika kita akan melakukan pengidentifikasian suatu konten data/file.

Contoh kasus :
Ketika kita menerima suatu file bertipe jpg dan saat akan dibuka file/data tersebut tidak bisa terbuka
pada Image player manapun, sehingga kita bisa berasumsi file/data tersebut corrupt/rusak. Apa benar rusak ? Sebaiknya kita pastikan terlebih dahulu. Caranya ? Dengan melakukan teknik File Signature, Membuka lebih dalam file/data tersebut dengan membaca byte-nya sehingga bisa menimbulkan pertanyaan baru apa benar file/data tersebut bertipe jpg? Ketika kita bisa melihat dangan mengetahui byte-nya kita dengan pasti bisa tahu file/data tersebut bertipe apa. Dan alhasil itu adalah file/data bertipe mp4 (video). Dari mana bisa tahu? Dengan mencocokan magic number yang dimiliki file/data yang awalnya jpg dengan daftar magic number yang kita punya.

Sebelumnya, File Signature tidak bisa dilihat dengan begitu saja atau secara langsung, harus menggunakan tools tertentu yaitu Hex Editor. Saat ini saya menggunakan WinHex, atau aplikasi yang bagus lainnya adalah 010 Editor. Dengan tools tersebut barulah kita bisa melihat dalam-dalamnya suatu file/data.

Tapi secara garis besar ada file yang tidak memiliki Magic Number, seperti plain text ; HTML, XHTML, XML.

Saran : Kalian bisa dengan mudah mempelajarinya secara langsung/praktek, caranya kalian buat file sendiri (untuk sample) bertipe docx (terserah juga bisa), kemudian setelah jadi kalian rubah tipenya ke jpg. File yang sudah dirubah yang awalnya docx ke jpg tes untuk di buka secara normal, isi dari tidak docx yang sebenarnya pasti tidak terbuka (untuk memastikan), kemudian masukkan file tersebut ke tool Hex Editor (WinHex, dsb...), lihat magic number yang paling atas dan pertama (apakah seperti ini 50 4B 03 04 14 00 06 00) padahal untuk file bertipe jpg harusnya (seperti ini FF D8 FF xx xx > biasa 3 terdepan menjadi patokan*) berarti file jpg tersebut sebenarnya adalah docx (docx memiliki magic number 50 4B 03 xx xx xx). Seperti itu.
* yang di block

Sekian pembahasan dari File Signature dan Magic Number, semoga bisa bermanfaat dengan baik buat kita semua.



Source di dapat dari :
http://en.wikipedia.org/wiki/File_signature
http://www.garykessler.net/library/file_sigs.html
http://prayudi.wordpress.com/2012/09/04/file-signature-dan-magic-number/

Baca selengkapnya »

Locard's Exchange Principle

Apa itu LEP (locard's exchande principle) ?

 LEP adalah bagian dari ilmu forensik, salah satu teori dan cara menemukan sebuah bukti dari tempat suatu kejadian.

 Jejak bukti yang berdasarkan Prinsip Pertukaran, yang dimana di dalam setiap sentuhan atau kontak dan sekecil apapun itu akan tetap meninggalkan sebuah jejak. Jejak yang dimaksud adalah bahan untuk menjadi bukti dari sebuah tempat kejadian, entah jejak tersebut tertinggal di suatu benda ataupun zat yang sebelumnya sudah bersentuhan langsung dengan seseorang yang berada di tempat kejadian, hal tersebutlah yang akan menjadi jejak yang tertinggal pada permukaan benda atau zat yang tersentuh dalam beberapa menit terakhir.

Dari latar teori di atas, kesimpulannya adalah dari hasil penemuan jejak di suatu benda atau zat,

dapat ditemukan sebuah alur asal-usul kejadian yang dimana akan membantu dalam penangkapan dengan keyakinan. Begitu pula jika bisa ditemukan jejak dari korban atau di TKP tersangka dapat memiliki bukti yang lebih dan kuat dalam menyelesaikan kasus.

Locard adalah nama seseorang, Siapa dia?

Locard, Edmon Locard atau Dr. Edmon Locard yang dikenal juga sebagai Sherlock Holmes dari Prancis.

Locard adalah Pimpinan atau Direktur paling pertama dari Laboratorium Kriminal yang pernah ada, yang terletak di Lyon, Prencis.

Teknik yang dipersembahkan Dr. Locard sangatlah membantu dan berfungsi untuk Petugas Rahasia Keamanan Prancis selama perang dunia ke I (1914-1918), dimana dia mampu mengetahui dimana tempat tentara dan tahanan pada saat itu meninggal melalui noda di baju mereka.

Locard berkata "Bukti fisik tidak bisa salah, tidak bisa bersumpah palsu, dan tidak sepenuhnnya tidak ada. Hanya kegagalan manusia untuk menemukannya, mempelajari dan memahaminya, yang dapat mengurangi nilainya."

Cara melakukan Locard's Exchange Principle :

Mengumpulkan bukti jejak di TKP ;

Dari semua jenis bahan yang ada dan yang tertinggal atau di ambil dari TKP seperti hasil dari kontak 2 permukaan, seperti sepatu dan karpet atau serat darimana seseorang yang duduk di sofa dalam TKP jangan ada yang tertinggal.

Setelah kejahatan telah dilakukan, TKP tempat kejadian harus sangat di sterilkan dan dijaga dengan sangat hati-hati, karena baik polisi maupun siapapun yang hadir pertama di TKP dapat merusak segala jejak bukti di TKP, karena jejak-jejak atau sentuhan-sentuhan polisi dan lainnya dapat tertinggal bersama jejak kejadian sebenarnya.

Setelah TKP disegel, segera mungkin mengumpulkan semua bukti jejak, menggunakan sarung tangan steril dan semua bukti jejak dimasukkan kedalam wadah steril. Kemudian setiap bukti jejak di dalam wadah steril di beri label yang kemudian dibawa dan diperiksa lebih lanjut di laboratorium.

Contoh Bukti Jejak yang biasa diperlukan dalam sebuah kasus pidana :

•   sidik jari, rambut, serat, kertas

•   kaca, noda cat, tanah, logam

•   bahan nabati atau tumbuhan, residu sisa tembakan 

bahan-bahan materi di ambil dan disimpulkan dari :
http://suite101.com/article/lockards-exchange-principle-a47558
http://en.wikipedia.org/wiki/Locard%27s_exchange_principle
http://www.thetruthaboutforensicscience.com/the-locard-exchange-principle-in-forensic-science-the-real-itouch/

Baca selengkapnya »