Paladin, Forensiktool

Gestern habe ich etwas darüber in den Nachrichten gelesen und bin neugierig geworden.
https://www.heise.de/news/Illegales-Streaming-Polizei-geht-gegen-Anbieter-aus-Deutschland-vor-10493320.html
Dazu in eine Unterhaltung mit einer KI gegangen.
https://www.perplexity.ai/search/was-hat-es-mit-der-mobilen-spi-GVwuPfGpQn2TkZepkFbpNQ

Das zeige ich deshalb, weil es so eine witzige Mischung ist, was mir die KI erklären will, was es ist, obwohl es das offenbar nicht ist und wie ich aber auch
gleichzeitig Dinge lerne, die mich zum Staunen bringen.

Zum ersten Teil: Ich frage die KI was Paladin ist und sie antwortet brav, es ist eine Linux-basierte Liveforensik-Software. Die KI zählt die Fähigkeiten nacheinander auf und ich sage, das ist doch einfach nur ein Linux mit vorgefertigten Parametern. Aber nein, das ist es nicht, es ist speziell gemacht und überhaupt und wenn ein Unwissender kommt, der kann dann gleich damit arbeiten, blabla. Außerdem sind die Methoden gerichtssicher. Klingt für mich eher danach, als ob in der Software viel Geld steckt und sich das nicht miesmachen lassen will.

Trotzdem konnte ich auch etwas Wichtiges dabei lernen. Der Befehl dd (Double Disk) (manche nennen es auch liebevoll Disk Destroyer) kann mehr als nur eine Partition übertragen. Durch die Umsetzung, dass Bit für Bit auf die neue Partition übertragen wird, sind dort sogar gelöschte (also nicht Papierkorb, sondern wirklich gelöschte) Dateien, genauso mit zB photorec wieder zu finden, als wenn man es an der ursprünglichen Partition versucht. Auch habe ich endlich in etwa verstanden, warum diese Tools von der gleichen Datei, manchmal so viele Ableger herausholen. Das scheint mit den Inodes zusammenzuhängen. Wenn mehrere dieser Inodes auf diese Datei verweisen. (Da kommt mir, könnte man da nicht einfach den Hashwert prüfen?) Und die letzte Sache, die überblieb, war dann die Frage: Wenn eine Datei mehrfach wieder hergestellt wird, bedeutet das dann nicht, dass der Datenträger wesentlich mehr Speicher hat, als angegeben ist.

Nein, so ist es nicht. Und ergibt durchaus auch Sinn. Gelöschte Dateien werden als erstes in einen freien Raum der Festplatte verschoben. Erst wenn dieser Platz durch neue Dateien benötigt wird, werden die alten Dateien überschrieben.

So, oder so ähnlich dürfte das ablaufen.