Ieri 16/Nov/2008, ho scaricato la neonata Deft 4, Linux Live Forensics distro.
Appena finito di masterizzare la ISO, provo subito a sfogliare il CD-Rom e noto la cartella Deft-Extra, che contiene molti tools per la computer forensics avviabili sotto Windows, questa è una nota positiva, dal mio punto di vista 

Passo al boot da CD e subito mi appare la prima novità, infatti nella schermata di avvio, si apre automaticamente la tendina con la scelta della lingua, cosa molto comoda, poichè può capitare, che nella fretta di avviare una live distro, si tralascia la scelta della lingua, quindi i progettisti hanno pensato bene di facilitare quest'operazione all'utente, altra nota positiva (adoro le comodità).

La distro si avvia sulla console mostrando il prompt di Linux, altra cosa ben fatta, perchè se non si ha necessità della GUI (Graphic User Interface), è inutile farla caricare, al massimo, digitando deft-gui, la si può lanciare in un secondo momento.

Lancio la deft-gui, il primo impatto è buono e veloce, perchè c'è un bello sfondo scuro, che mette in evidenza tutte le icone dei tools, presenti sul Desktop, forse dà un pò l'idea di disordine, ma forse può essere più comodo per qualcuno, dato che si hanno tutti i tools in vista ed a portata di click.
Non esiste un sottomenù a tendina che accorpa i tools forensi, quindi tutti sono raggiungibili dal Desktop, ma qui noto subito che manca AIR e che l'unico tool di acquisizione (GUI) è Guymager, qui avrei qualche perplessità, perchè, il caro vecchio AIR, è un'interfaccia più intuitiva e più conosciuta, comunque niente di grave, Guymager è un software validissimo.

Lancio la terminal window e provo a digitare:

mmls -i list

e noto che lo SleuthKit 3.0 NON è stato ricomplito insieme alle Afflib e alle EWFlib, infatti riconosce solo le immagini raw e split, forse questa è stata una dimenticanza, (a quanto ne so l'unica distro che, attualmente, ha il TSK 3.0 ricompilato è CAINE).

Noto con disappunto, che la gestione delle reti wired e wireless è delegata al Network Manager di Ubuntu, che come al solito, non mi funziona, almeno con la wireless, mi domando perchè non sia stato inserito WiCd o WLassistant, vabbè niente di grave, dato che la rete può esser configurata manualmente, con ifconfig e iwconfig. :)

Ma ecco la nota dolente, almeno dal mio punto di vista, mi accorgo che i dischi/pendrive usb (VFat e Ext2 nel mio test)  attaccati sono visualizzati come icone, ma appena si clicca sull'icona del disco, va in preview (come tutte le distro), ma la
novità è che monta in RW, ossia in scrittura.
Il disco della macchina host (NTFS nel mio caso) non viene visto come icona e qui potrebbe andar bene, ma se da terminal window si fa mount /dev/sda1 /media/disco, viene montato in RW!
Questo comportamento, mi pare un pò "strano" per una distro forense, perchè se capitasse di acquisire un disco, attaccato all'USB su un altro disco attaccato ad USB, con un semplice click, il disco da acquisire, viene montato in scrittura, mettendo a rischio il principio di non alterazione del sorgente.
Il fatto che il disco della macchina host, si monti in scrittura senza "reti di protezione", lo trovo un pò azzardato, le altre distro mettono un pò di difficoltà, per montare in RW, anche solo il fatto di dover digitare sudo mount -o rw, costringe l'operatore ad effettuare una scelta cosciente di quello che sta facendo, quindi diventa più error-proof.
Questa mia riflessione deriva da molte discussioni sull'uso o meno dei write blocker, per chi usa Linux nelle acquisizioni forensi, si è tanto parlato di errori di distrazione dell'operatore, di rischio di invalidare l'acquisizione e poi Deft si presenta con un meccanismo one click o mount semplice per il montaggio in scrittura, certamente è pensata per un'utenza molto esperta ed attenta.
Il mio, personalissimo, punto di vista è che sarebbe stato meglio evitare questo, però le scelte dei progettisti, evidentemente sono andate in quella direzione, per fornire un prodotto ad una "clientela" scelta, accorta ed esperta.
Detto questo il mio giudizio finale, per quanto possa valere, è che la distro è ben fatta, c'è un gran lavoro dietro ed abbastanza usabile, non mi resta che fare i complimenti al capo progetto Dott. Stefano Fratepietro.