- Ram-Slack
-
Ein RAM-Slack (dt. Hauptspeicher-Sektorenversatz) ist eine Ansammlung von direkt aus dem RAM eines Systems stammenden Datenfragmenten, die vom Betriebssystem wahllos in den letzten unallozierten Cluster einer Datei geschrieben wurden.
In der Windows-Implementation der Dateisysteme FAT und NTFS werden Daten in 512 Byte großen Blöcke, auch Cluster genannt, geschrieben. Sie bilden die kleinste abbildbare Speichereinheit dieser Dateisysteme. Die einer Datei zugewiesenen Cluster stimmen jedoch meist nicht exakt mit der tatsächlichen Größe der abzuspeichernden Datei überein, so dass im letzten Cluster der Datei Platz übrig bleibt.
Um den letzten zugewiesenen Cluster einer Datei vollends zu füllen, fügt Windows dem Rest des letzten verbleibenden Sektors wahllos Daten aus dem Memory-Buffer hinzu. Diese zufällig ausgewählten Auffülldaten werden daher als RAM-Slack bezeichnet.
Der RAM-Slack einer Datei kann folglich in Extremfällen sehr sensible und persönliche Informationsfragmente enthalten, die einmal unverschlüsselt im RAM vorlagen, wie z. B. geöffnete transparent verschlüsselte Dateien oder Passwörter.
In aktuellen Implementierungen von Linux-Dateisystemen wie Ext2, Ext3, ReiserFS und sogar in der Linux-Implementierung von FAT 32 werden keine Arbeitsspeicherinhalte in den letzten Cluster geschrieben, stattdessen wird er mit Nullbytes aufgefüllt. [1]
RAM-Slack, als Bestandteil des übergeordneten Begriffs File-Slack, ist nicht zu verwechseln mit den Swap- bzw. Auslagerungsbereichen, die viele Betriebssysteme zur Erweiterung des physisch nutzbaren Speicherbereichs bieten. RAM-Slack gehört zu den unalloziierten Datenfragmente, die das entsprechende Betriebssystem ohne Zutun des Anwenders und für ihn mit Windows-Bordmitteln weder sichtbar noch gewinnbar im Hintergrund auf dem Datenträger als Auffülldaten abspeichert.
RAM-Slack findet daher vor allem eine große Beachtung in den computerforensischen Untersuchungen und Ermittlungen strafverfolgender Behörden in Fällen von Computerkriminalität.
Quellen
- ↑ Florian Wörter, Johannes Kepler Universität Mainz, Seminararbeit: Fileslack Analyse unter Linux, Seite 18
Wikimedia Foundation.
