Glossar
Von Windows erzeugte Seriennummer
Eine von Windows gebildete USB-Instanz-ID, wenn das Gerät keine verwendbare Seriennummer meldet; erkennbar am & an zweiter Stelle, etwa 7&1f2e3d4c&0.
Eine von Windows erzeugte Seriennummer ist eine Instanz-ID, die Windows bildet, wenn ein USB-Gerät keine verwendbare Seriennummer meldet. USB-Geräte sollen in ihrem Deskriptor eine eindeutige Seriennummer angeben, und Windows verwendet sie normalerweise als Instanz-ID unter SYSTEM\ControlSet00x\Enum\USB und Enum\USBSTOR. Viele günstige Kartenleser und manche Sticks melden keine oder eine, die Windows nicht als eindeutig ansieht. Windows bildet dann eine ID aus der Position des Geräts im USB-Baum, etwa 7&1f2e3d4c&0. Erkennungsmerkmal ist ein & an zweiter Stelle.
Warum sie für Ermittlungen wichtig ist
Eine erzeugte ID sieht aus wie eine Seriennummer, verhält sich aber nicht so:
- Sie ist nur auf diesem Computer eindeutig. Sie steht nicht auf dem Gerät und stimmt auf einem anderen Rechner nicht mit demselben Gerät überein.
- Sie hängt vom Port- und Hub-Pfad ab; dasselbe Gerät kann an einem anderen Port als zweiter Eintrag erscheinen.
- USB-Knoten und USBSTOR-Knoten erhalten unterschiedliche erzeugte IDs, sodass die übliche Zuordnung über die Seriennummer scheitert. Die ContainerID ist dann die einzige Verbindung zwischen ihnen.
Geben Sie einen solchen Wert nicht als „die Seriennummer des Geräts“ an. Identifizieren Sie das Gerät stattdessen über Hersteller und Produkt, Kapazität, Volume-Seriennummer, Volume-Label und den zeitlichen Ablauf seiner Verbindungen, und vermerken Sie, dass die Instanz-ID von Windows erzeugt wurde.
Beispiel
Enum\USB\VID_1E4F&PID_0726\5&2a9c1d77&0&3
ContainerID = {c3d9e1f0-2b4a-4c6d-8e7f-1a2b3c4d5e6f}
Enum\USBSTOR\Disk&Ven_Litware&Prod_Card_Reader_SD&Rev_1.00\7&1f2e3d4c&0
ContainerID = {c3d9e1f0-2b4a-4c6d-8e7f-1a2b3c4d5e6f}
Beide Instanz-IDs haben & als zweites Zeichen und unterscheiden sich voneinander. Nur die gemeinsame ContainerID zeigt, dass es sich um einen einzigen Kartenleser handelt.
Verwandte Begriffe
- Geräteinstanz-ID: die Struktur, die die erzeugte ID ersetzt.
- USBSTOR: wo erzeugte IDs am häufigsten auffallen.
- ContainerID: die Verbindung, die weiterhin funktioniert.
- Volume-Seriennummer (VSN): ein Bezeichner, der mit dem Medium mitwandert.
USB Forensics kennzeichnet erzeugte Seriennummern auf jeder Gerätekarte. Mehr dazu in USBSTOR-Forensik und ein durchgespielter Fall in USB-Exfiltration untersuchen.