Как узнать, когда был записан / записан диск (DVD)?

13

Есть ли способ / инструмент для определения даты и времени, когда диск был записан / записан с высокой степенью достоверности? Это касается данных криминалистики и должно быть веским доказательством. Я уже попробовал IsoBuster, но он не показал мне дату / время, когда трек был написан.

woerndl
источник
1
Углеродные знакомства ? :) Это всего лишь полушутя: на самом деле кажется, что вы должны искать ответ в физике, а не в информатике.
Селада
1
Я должен согласиться с @Celada. Любая дата, записанная на диск, будет легко подделана. Для убедительных доказательств вам, вероятно, потребуется провести физические тесты на самом диске.
Dracs
@Celada, хорошо, это хороший вклад, спасибо. Но я надеюсь, что есть хороший способ определить это с помощью обычного программного / аппаратного обеспечения, поскольку ресурсы играют роль и являются узким местом в данном конкретном случае.
Woerndl
@Dracs спасибо тоже. Ну, я в основном воспринимаю все как «твердое доказательство», которое лучше, чем даты изменения файлов
Woerndl
2
Если вы найдете компакт-диск, который утверждает, что он был написан до 1980 года, это, вероятно, подделка.
Даниэль Р Хикс

Ответы:

18

Большинство оптических дисков данных используют ISO 9660 файловой системы стандартного тома и файловую структуру CD-ROM для обмена информацией , то Universal Disk Format Specification или оба ( так называемый UDF мост ).

Чтобы узнать какой, вы можете выполнить

mount

в Linux после того, как диск был смонтирован, чтобы определить файл устройства привода оптических дисков.

Пример вывода:

/dev/sr0 /media/dennis/CDROM iso9660 ro,nosuid,nodev,uid=1000,gid=1000,iocharset=utf8,mode=0400,dmode=0500,uhelper=udisks2 0 0

Здесь файл устройства есть /dev/sr0. Команда

disktype /dev/sr0

отобразит доступные файловые системы. Если оба присутствуют, анализ ISO 9660 должен быть проще.

ISO 9660

Стандарт определяет поле « Дата и время создания тома» в виде числового представления момента создания тома, записанного в 814–830-й байт дескриптора первичного тома в следующем формате:

YYYYMMDDHHMMSSCCO

где CC - это центсекунды, а O - смещение по Гринвичу с 15-минутными интервалами, которое хранится в виде 8-битного целого числа ( двоичное представление ).

Первые 32 КБ (32 768 байт) диска не используются в стандарте ISO 9660, и приведенный выше дескриптор следует сразу за неиспользованным блоком, поэтому нас интересует 33 582-й байт и 16 следующих.

Эта информация может быть проанализирована любым инструментом, который может создавать / считывать необработанные данные на оптическом диске. В Linux вы можете использовать dd для выгрузки соответствующей части изображения и hexdump для правильного просмотра последнего байта:

dd if=/dev/sr0 bs=1 skip=33581 count=17 | hexdump -C

Для моего Ubuntu 12.04 x64 LiveCD это дает:

00000000  32 30 31 32 30 38 32 33  31 37 31 33 34 37 30 30  |2012082317134700|
00000010  00                                                |.|

Итак, изображение было создано 23 августа 2012 года в 17: 13: 47.00 по Гринвичу .

UDF

Стандарт определяет поле RecordingDateandTime как двоичное представление момента создания первичного тома, записанное в 376–387-й байт дескриптора первичного тома в следующем формате:

TT tT YY YY MM DD HH MM SS CC BB AA

Здесь каждая пара представляет собой октет (байт), т. XXЕ. Состоит из двух шестнадцатеричных чисел.

Опять же, первые 32 КБ диска не используются UDF. Кроме того, следующие 32 байта КиБ зарезервированы для устаревшей файловой системы ISO 9660 (которая может занимать больше места, если присутствует).

На «чистом» UDF-диске команда

dd if=/dev/sr0 bs=1 skip=65912 count=12 | hexdump -C

отобразит закодированную метку времени.

Для тестирования я создал образ UDF с помощью K3b. Вывод ddкоманды был следующим

00000000  4c 1f dd 07 03 01 0f 0b  11 00 00 00              |L...........|
0000000c

Анализ:

  • 0xF4C (шестнадцатеричное) больше 0x800 и, следовательно, отрицательно. Отдых 0x1000 от 0xF4C дает -180 в десятичном виде. Это означает, что часовой пояс UTC - 3.

  • 0x07DD - 2013 в десятичном виде (год создания).

  • Остальные октеты можно интерпретировать буквально в их шестнадцатеричном представлении (0x0F, 0x0B и 0x11 - 15, 11 и 17 в десятичном виде).

    Это означает, что изображение было создано 1 марта 2013 года в 15: 11: 17.000000 UTC + 3 .

Предостережения

  • Это просто подделать эту дату. Все, что требуется, это изменить дату компьютера перед созданием изображения.

  • Если изображение создано до того, как оно будет записано на диск, будет записано прежнее время. Таким образом, поле является только потенциальным свидетельством для дисков, которые были созданы самим владельцем.

Деннис
источник
Я пытался бежать dd if=/dev/disk4 | tail -c +33144 | head -c 17 | hexdump -C. Но я получаю только нули. Является ли мой расчет 32,768 + 376 правильным или неиспользованный блок UDF имеет другой размер? Я гуглил это, но ничего не нашел.
Woerndl
Disktype возвращает следующее: --- /dev/disk4 Block device, size 4.383 GiB (4706074624 bytes) disktype: Data read failed at position 4706070528: Input/output error UDF file system Sector size 2048 bytes Volume name "Alenander" UDF version 1.02 disktype: Data read failed at position 4706009088: Input/output error
Woerndl
Это должно работать с аудио-дисками? (мне не кажется)
Франк Дернонкурт
@FranckDernoncourt: Нет. ISO 9660 и UDF - это файловые системы оптических дисков с данными .
Деннис
@ Деннис Спасибо! Любая идея для: Как узнать, когда аудио диск (CD) был записан / записан?
Франк Дернонкур
-1

Да, есть: dateи timeатрибуты - это то, что вы ищете. Просто измените вид папки и проверьте Свойства файла.

Минуту назад проверил один диск на W7 и Mac OS X. Смотрите скриншоты ниже.

введите описание изображения здесь введите описание изображения здесь

Владимир Михайлович
источник
1
Время модификации файла, скорее всего, не имеет ничего общего с тем, когда файлы были записаны на диск ... и что, если это аудио-диск или что-то подобное, у которого нет файловой системы?
Селада
OP не упоминает, какой тип CD \ DVD используется, для 2-го, когда записанные на CD \ DVD атрибуты не могут быть изменены, почему бы их не использовать в качестве источника информации, даже если он не дает 100% гарантия?
Владимир М.
Даты изменения файла @Volodymyr - это все, что у меня есть сейчас. Они являются своего рода доказательством, но не дают уверенности, которую я ищу. Спасибо за ваши усилия, хотя.
Woerndl
@Celada Вы нашли ответ на свой вопрос об аудио диске? У меня та же проблема.
Франк Дернонкур