Solid state drive (SSD). Digital forensics construction

ABSTRACT This thesis describes a forensic investigation of an emerging technology NAND-based flash memory data storage called Solid State Drive (SSD). It starts with explaining the existing theory in computer forensics (digital evidence and their reliability along with the challenges in computer forensics) and a detailed background of NAND based flash memory, which helps in conducting data recovery (brief explanation of NAND-flash cell, structure of SSD, architecture of SSD and flash management techniques to handle NAND flash challenges). The main focus of this thesis is to investigate and successfully recover data from solid state drives by applying forensic methods and techniques which have been used so far in the flash memory technology. These methods used in forensic process of the SSD are not quite different from other digital devices except some of the techniques applied for data recovery due to the uniqueness of the SSD. Mainly three forensic methods are covered in this paper: Acquisition (making a digital copy of the original evidence), authenticating the copy of the evidence (using hash function) and finally analyzing the digital copy. In this thesis has been attempted to show a general overview of forensic data recovery analysis of solid state drives and determining if some of SSD performance improving features (like TRIM command) can purge data.

Astratto La tesi descrive una indagine di forense su una nuova tecnologia che recentemente sta diventando molto usata basata sulla memoria flash NAND per l'archiviazione dei dati chiamata Solid State Drive (SSD). Si parte con la spiegazione della teoria esistente nella forense digitale (evidenza digitali, la valutazione della loro affidabilità insieme con la sfida della forensic digitale) e anche un analisi dettagliata della memoria basata su NAND-flash che aiuta nel recupero dei dati (breve spiegazione delle cellule NAND-flash, l'architettura di SSD e le tecniche di gestione flash che si incontrano nel trattamento dei NAND-flash). L'obiettivo principale di questa tesi è l’indagine ed il recupero dei dati dalle unità solid state mediante l'applicazione del metodo di forensi ed altre techniche che sono stati usati finora nella tecnologia di memoria flash. I metodi che vengono utilizzati nel processo di forense per SSD non sono molto diverse dagli altri supporti digitali tranne l’eccezione nella tecnica applicata per il recupero dati dovuta dal fatto dell’unicità del SSD. Principalmente tre metodi di forensi sono stati tratati in questo elaborato: L’acquisizione (fare una copia digitale delle evidenza originale), autentificazione della copia evidenza (con funzione di hash) e alla fine l’analisi delle copie digitali. In questa tesi si stato cercato di far vedere una visione generale di analisi di forense per il recupero dei dati dalle unità solid state e si sono determinati che alcune prestazioni di SSD (come il comandoTRIM) possono avere un efetto negativo come quello di eliminazione dei dati.