Volume-Seriennummer (VSN)

Eine Volume-Seriennummer (VSN) ist ein 32-Bit-Wert, der beim Formatieren in den Bootsektor eines Volumes geschrieben wird. Windows zeigt sie als zwei Gruppen von je vier Hexadezimalziffern an, etwa 3C9D-51A2, zum Beispiel in der Ausgabe von vol und dir. Ihre Position hängt vom Dateisystem ab: Offset 0x43 bei FAT32, 0x27 bei FAT12/16, 0x64 bei exFAT und 0x48 bei NTFS, wo das Feld 8 Byte lang ist und Windows die unteren 4 anzeigt. Die Bytes sind im Little-Endian-Format gespeichert.

Warum sie für Ermittlungen wichtig ist

Die VSN ist der Bezeichner, der Dateien mit einem physischen Gerät verbindet. Öffnet ein Benutzer eine Datei, speichert die von Windows angelegte Verknüpfung die VolumeID des Volumes, auf dem sie lag: Laufwerkstyp, Label und VSN. Jump Lists enthalten dieselbe Struktur. Stimmt diese VSN mit der überein, die aus dem Bootsektor des Geräts in Partition/Diagnostic 1006 dekodiert wurde, oder mit der in EMDMgmt, dann lag die Datei auf diesem Gerät, auch wenn später ein anderer Stick denselben Laufwerksbuchstaben erhielt.

Beachten Sie, was sie nicht ist:

• Sie gehört zum Volume, nicht zur Hardware. Beim Neuformatieren wird eine neue VSN geschrieben, ein Gerät kann im Lauf seines Lebens also mehrere haben. Zwei VSNs für dasselbe Gerät bedeuten eine Neuformatierung, und Dateien, die unter einer der beiden geöffnet wurden, gehören zum selben Stick.
• Sie lässt sich mit Datenträgerwerkzeugen ändern; sie ist daher ein starkes, aber kein fälschungssicheres Beweismittel.
• Zwei unabhängige Volumes können in seltenen Fällen dieselbe VSN haben; bestätigen Sie mit Label und zeitlichem Ablauf.

Beispiel

exFAT-Bootsektor, Offset 0x64:        A2 51 9D 3C
32-Bit-Wert, Little Endian:           0x3C9D51A2
Anzeige unter Windows:                3C9D-51A2
in EMDMgmt (dezimal):                 …BACKUP_1016943010
in der VolumeID einer Verknüpfung:    DriveType 2 (Wechselmedium), Label BACKUP, Serial 3C9D-51A2

Vier Quellen, ein Wert: Bootsektor, EMDMgmt und Verknüpfung verweisen auf dasselbe Volume.

Verwandte Begriffe

• Partition/Diagnostic-Ereignis 1006: protokolliert den Bootsektor, aus dem die VSN gelesen wird.
• EMDMgmt: verbindet die Seriennummer eines Geräts mit seiner VSN.
• Volume-GUID: ein anderer Bezeichner, von Windows vergeben statt vom Dateisystem.
• MountPoints2: die andere benutzerbezogene Verbindung zu einem Gerät.

USB Forensics extrahiert VSNs aus Bootsektoren, EMDMgmt, Verknüpfungen und Jump Lists und führt sie zusammen. Die Einzelheiten der Dekodierung erklärt Partition/Diagnostic 1006.