É possível provar que um disco rígido estava dentro de um determinado PC?

Question

Eu tenho uma situação em que uma pessoa tem acessado informações confidenciais de outro PC que eles não deveriam ter acessado e armazenado as informações adquiridas em seu próprio PC.

Como todos os computadores estão sob minha jurisdição, eu sou o responsável por qualquer vazamento de informações e, como não sei se essa pessoa vai usar mal as informações, eu posso copiar / clonar / aproveitar o disco rígido deles para servir como uma prova de que eles roubaram e tiveram essa informação em seu PC caso tentem, por exemplo, vender essa informação para a concorrência.

O que me interessa: se a informação acabar nas mãos da concorrência, saberei com certeza que o fizeram, mas posso provar isso mostrando que a unidade original estava dentro do PC? Existem rastreios que podem ligar esse disco rígido ao PC dele , por ex. configuração da placa-mãe / CPU, nome de usuário, etc. ou seria descartado sob argumento de que eu poderia ter escrito essa informação para o disco?

    

Answer 1

Não pode ser provado, desculpe.

Quando um disco rígido é conectado a um computador como uma unidade de dados, nada será gravado nele, a menos que o usuário coloque algo explicitamente nele. Mesmo que o usuário tenha escrito nele, nenhum sistema de arquivos está ciente de registros de qualquer tipo de informações específicas de hardware nos diários de alteração.

Se o computador inicializou a unidade, as coisas são um pouco diferentes. (Informações específicas do Windows à frente). Instalações de driver estão registradas , mas você só seria capaz de adivinhar em que tipo de máquina a unidade estava baseada, com base em quais drivers e IDs de PnP estavam em jogo. É concebível que os programas de solução de problemas / telemetria do Windows registrem dados específicos de hardware e os gravem no disco, mas não há como provar que eles são precisos. Afinal, você poderia ter falsificado os dados no disco (ou mexido no coletor de dados, se for inteligente).

Mesmo as coisas que podem parecer conter informações específicas da máquina (como alguns locais no Registro) na verdade contêm apenas informações específicas da instalação do sistema operacional. O SID da máquina é um bom exemplo de tais dados.

Você pode escrever um programa que, na inicialização da máquina, registra muitas informações, como número de série da placa-mãe e endereço MAC, mas, novamente, mesmo que você esteja convencido de que a unidade estava lá, não pode prove que os dados coletados são reais.