时间戳篡改的策略与挑战：改进数字取证事件重建（扩展版）
密码学与安全
2025-01-03 v1
摘要
时间戳在数字取证事件重建中起着关键作用，但由于其非本质特性，用户可以通过多种方式篡改或操纵时间戳，即使在运行系统上也是如此。这对在调查中应用时间线分析的结果可靠性产生了显著影响。在本文中，我们研究了用户在运行（“活动”）系统上篡改时间戳的问题。虽然先前的工作表明数字证据篡改是困难的，但我们关注的是为什么如此的问题。通过一项针对高级大学学生的定性用户研究，我们观察到，例如，一种常用的多步骤方法用于处理二阶痕迹（痕迹的痕迹）。我们还推导出影响成功篡改可靠性的因素，例如关于时间痕迹的个人知识，以及更改它们的技术限制。这些见解有助于评估用于事件重建的单个工件时间戳的可靠性，从而降低调查中错误事件重建的风险。
引用
@article{arxiv.2501.00175,
title = {Strategies and Challenges of Timestamp Tampering for Improved Digital Forensic Event Reconstruction (extended version)},
author = {Céline Vanini and Jan Gruber and Christopher Hargreaves and Zinaida Benenson and Felix Freiling and Frank Breitinger},
journal= {arXiv preprint arXiv:2501.00175},
year = {2025}
}