Ada satu jenis pekerjaan yang aturannya berbeda dari pekerjaan komputer biasa: memeriksa isi sebuah hard disk tanpa mengubah apa pun di dalamnya. Kedengarannya sepele, padahal tidak - Windows saja, begitu sebuah disk dicolokkan, langsung menulis ke disk itu tanpa diminta. Untuk penyidik digital hal itu fatal, karena barang bukti jadi berubah. Untuk teknisi yang sedang menyelamatkan data dari disk sekarat, hal itu juga berbahaya, karena tiap penulisan tambahan bisa memperparah kerusakan. CAINE (Computer Aided Investigative Environment) adalah sistem Linux yang dijalankan dari DVD dan dirancang khusus untuk masalah ini. Panduan ini menunjukkan apa yang benar-benar Anda lihat dari layar pertama sampai desktop siap dipakai. Semua tangkapan layar di bawah adalah potret kami sendiri dari CAINE 14.0 Lightstream.
Ringkasan cepat: masukkan DVD, di menu boot biarkan pilihan pertama START CAINE LIVE (menu lanjut sendiri setelah beberapa detik), tunggu teks boot berjalan, lalu muncul desktop oranye-hitam berlogo CAINE. Yang membedakan CAINE dari distro lain: begitu masuk, semua disk di komputer dipasang dalam mode hanya-baca, sehingga tidak ada satu pun data yang berubah selama Anda memeriksanya. Alat utamanya ada di desktop: Guymager untuk menyalin disk, FMount untuk memasang disk, dan UnBlock untuk membuka kunci hanya-baca kalau memang perlu menulis.
CAINE Itu Untuk Apa, dan Kenapa Berbeda
CAINE bukan sistem operasi harian dan bukan pengganti Windows. Ia live DVD: sistem sekali jalan yang dimuat dari keping ke memori, dipakai untuk satu pekerjaan, lalu DVD dikeluarkan dan komputer kembali seperti semula.
Bidangnya adalah forensik digital - memeriksa isi penyimpanan sebagai barang bukti. Yang membuatnya berbeda dari live DVD lain bukan daftar aplikasinya, tapi satu keputusan desain: CAINE tidak boleh menulis ke disk yang diperiksa.
Kenapa itu penting? Bayangkan sebuah hard disk yang isinya jadi bahan pemeriksaan. Kalau disk itu dicolok ke komputer Windows biasa, sistem langsung membuat berkas indeks, memperbarui tanggal akses, kadang membuat folder tersembunyi - tanpa Anda menyentuh apa pun. Isinya secara teknis sudah berubah. Dalam perkara hukum, disk yang sudah berubah kehilangan sebagian nilainya sebagai bukti. Dalam pekerjaan penyelamatan data, penulisan tambahan ke disk yang sudah rusak bisa menimpa justru bagian yang sedang Anda coba selamatkan.
CAINE menutup pintu itu dari awal. Istilah teknisnya write-blocking atau mode tulis-lindung, dan di dunia forensik biasanya ini butuh alat perangkat keras khusus yang harganya jutaan. CAINE menyediakannya lewat perangkat lunak, gratis, dalam satu keping DVD.
Siapa yang memakainya: penyidik dan analis forensik digital, auditor keamanan, dosen dan mahasiswa yang belajar forensik, serta - ini yang paling relevan untuk kebanyakan pembeli kami - teknisi yang sedang menyelamatkan data dari disk bermasalah dan tidak mau memperparah keadaan.
Soal Angka Versi: 14.0 atau 24.04?
Sebelum masuk ke layarnya, satu hal yang sering bikin bingung. Keping ini bernama CAINE 14.0 Lightstream, tapi nanti di desktop Anda akan melihat ikon bertuliskan Install CAINE 24.04. Keduanya benar dan tidak bertentangan:
- 14.0 adalah nomor rilis CAINE itu sendiri - versi keempat belas dari proyek CAINE. Lightstream adalah nama julukan rilis ini, seperti nama kode.
- 24.04 adalah versi Ubuntu yang jadi fondasinya. CAINE dibangun di atas Ubuntu 24.04 LTS, jadi pemasangnya menyebut angka itu.
Jadi kalau Anda melihat dua angka berbeda di keping yang sama, itu normal - bukan tanda keping yang salah.
Layar 1: Menu Boot CAINE
Dokumentasi LPComp.
Begitu DVD dijalankan, inilah layar pertama: latar hitam dengan pusaran garis putih, logo CAINE di tengah, dan tulisan besar Computer Aided INvestigative Environment di bawahnya. Di dalam kotak menu ada tujuh baris pilihan, dan baris paling atas - START CAINE LIVE - sudah tersorot oranye. Itulah yang dipakai hampir semua orang.
Pilihan yang tersedia:
- START CAINE LIVE - jalan normal. Ini yang Anda mau.
- Start in compatibility mode - mode kompatibilitas, untuk komputer tua atau tidak biasa yang gagal dengan pilihan pertama.
- Boot Live in safe graphics mode - mode grafis aman. Pakai ini kalau pilihan pertama berujung layar hitam atau gambar berantakan; biasanya masalah kartu grafis.
- Boot Live in RAM - seluruh isi DVD disalin dulu ke memori. Awalnya lebih lama, tapi setelah jalan jauh lebih gesit dan DVD-nya boleh dikeluarkan. Di potret kami baris ini muncul dua kali (dua varian pemuatan ke memori).
- Boot Live in debug mode - menampilkan pesan sistem selengkap-lengkapnya. Untuk mencari tahu di mana persisnya proses macet, bukan untuk pemakaian sehari-hari.
- Memory test - alat terpisah untuk menguji kesehatan RAM. Tidak ada hubungannya dengan forensik.
Di bagian bawah tertulis Press TAB key to edit dan Automatic boot in 2 seconds... - artinya kalau Anda diamkan, menu ini lanjut sendiri ke pilihan pertama. Hitungannya cepat, jadi jangan kaget kalau layar langsung berganti sebelum sempat membaca. Kalau Anda ingin memilih baris lain, tekan panah atas/bawah untuk menghentikan hitungan mundur.
Layar 2: Proses Pemuatan Sistem
Dokumentasi LPComp.
Setelah menu boot lewat, layar berubah menjadi latar polos bertuliskan Ubuntu MATE - ini fondasi Ubuntu yang tadi disebut - dengan titik-titik proses berjalan. Di potret kami layar itu ikut dipenuhi puluhan baris pesan sistem bertuliskan I/O error, dev fd0, sector 0 op 0x0:(READ).
Catatan jujur soal potret ini: pesan itu bukan kerusakan DVD dan bukan tanda gagal. fd0 adalah nama untuk floppy disk - mesin uji kami punya pengendali floppy virtual yang isinya kosong, jadi sistem mengeluh berulang-ulang lalu tetap jalan terus. Di laptop sungguhan pesan ini biasanya tidak muncul sama sekali. Kami sengaja tidak menyembunyikan potret ini supaya Anda tahu: pesan galat sesaat saat boot belum tentu masalah - yang penting prosesnya tetap berlanjut.
Dari DVD, tahap ini memang terasa lama karena drive optik jauh lebih lambat dibanding SSD. Selama masih ada tanda kehidupan di layar - termasuk kalau yang bertambah justru baris-baris pesan seperti di atas - tunggu saja. Baru kalau benar-benar berhenti total lebih dari lima menit, hidupkan ulang dan coba Boot Live in safe graphics mode.
Layar 3: Desktop Baru Muncul Sebagian
Dokumentasi LPComp.
Ini tahap peralihan yang sering bikin panik, jadi kami sertakan apa adanya. Latar belakang desktop belum sempat digambar - layarnya masih hitam - tapi panel di bagian bawah sudah muncul, lengkap dengan tombol MENU merah, ikon Firefox, kamera, pengelola berkas, pencarian, pengaturan, dan terminal. Di kanan bawah sudah ada tempat sampah, indikator jaringan, dan jam. Yang paling mencolok: sebuah kotak dialog galat nangkring di tengah layar hitam itu.
Di tengah layar muncul kotak dialog bertuliskan Can't access ACPI events in /var/run/acpid.socket! Make sure the ACPI subsystem is working and the acpid daemon is running. dengan satu tombol OK.
Catatan jujur lagi: pesan ini muncul karena potret kami diambil di mesin virtual, dan mesin virtual itu tidak menyediakan acpid - layanan kecil yang mengurus tombol daya, tutup layar, dan tombol volume. Di laptop sungguhan layanan itu ada, jadi dialog ini umumnya tidak muncul. Kalaupun muncul, ini bukan cacat keping DVD dan tidak menghalangi apa pun: klik OK, dialognya hilang, dan seluruh alat forensik di dalamnya tetap berjalan normal. Yang terpengaruh cuma reaksi otomatis terhadap tombol daya dan tutup layar.
Kalau layar Anda berhenti seperti ini - hitam dengan panel di bawah - jangan buru-buru menghidupkan ulang. Tunggu sebentar lagi, latar belakang dan ikon-ikonnya menyusul.
Layar 4: Desktop CAINE Siap Dipakai
Dokumentasi LPComp.
Inilah tujuan akhirnya. Latar belakang pusaran oranye di atas hitam dengan tulisan LIGHTSTREAM dan Computer Aided INvestigative Environment. Dialog ACPI tadi masih terlihat menumpuk di tengah - tinggal klik OK sekali dan layar bersih.
Ikon di desktop dibagi dua kolom. Kolom kiri berisi keperluan umum:
- caine's Home - folder pribadi pengguna live.
- Bin - tempat sampah.
- Caja-Root - pengelola berkas dengan hak administrator penuh. Caja adalah nama pengelola berkas di desktop MATE, setara Windows Explorer.
- Computer - daftar semua disk dan penyimpanan yang terdeteksi.
- Network Servers dan Network - akses berbagi berkas lewat jaringan.
- Displays - pengaturan resolusi layar.
Kolom kedua berisi alat inti CAINE - ini yang membuat keping ini berharga:
- Guymager - pembuat citra disk forensik. Penjelasan lengkap di bawah.
- FMount - alat memasang disk secara terkendali, dengan pilihan eksplisit mau hanya-baca atau boleh-tulis. Bandingkan dengan Windows yang memasang disk begitu saja tanpa bertanya.
- UnBlock - sakelar mode tulis-lindung. Perhatikan namanya: bawaannya semua disk sudah terkunci hanya-baca, jadi alat ini justru untuk membuka kuncinya kalau Anda memang perlu menulis.
- INFO - dokumentasi bawaan CAINE.
- Install CAINE 24.04 - pemasang ke hard disk, kalau Anda mau CAINE terpasang permanen di sebuah mesin kerja.
Catatan jujur soal potret kami: potret ini berhenti di desktop live. Kami tidak memotret layar proses pemasangan ke hard disk, jadi bagian itu sengaja tidak kami bahas langkah demi langkah - kami hanya menulis apa yang benar-benar kami lihat sendiri.
Tulis-Lindung: Inti Nilai CAINE, Dijelaskan Sederhana
Kalau Anda hanya mengambil satu hal dari artikel ini, ambil bagian ini.
Waktu sebuah hard disk atau flashdisk dicolokkan ke komputer, sistem melakukan yang namanya mounting - memasang disk itu supaya isinya bisa dibaca. Masalahnya, pemasangan bawaan hampir selalu boleh-tulis. Sistem lalu, tanpa Anda minta, memperbarui cap waktu, membuat berkas indeks pencarian, atau menaruh folder tersembunyi. Bagi pekerjaan sehari-hari itu tidak masalah. Bagi dua situasi ini, itu masalah besar:
- Disk sebagai barang bukti. Begitu isinya berubah sedikit saja, keaslian bukti bisa dipersoalkan. Salinan yang seharusnya identik jadi tidak identik lagi.
- Disk rusak yang datanya mau diselamatkan. Data yang "terhapus" sebenarnya masih ada di disk sampai ditimpa tulisan baru. Tiap penulisan tambahan menaikkan peluang justru bagian itulah yang tertimpa - peluang penyelamatan makin tipis.
CAINE membalik bawaannya. Begitu masuk, semua disk yang terdeteksi dipasang dalam mode hanya-baca. Anda bebas membuka, membaca, menelusuri, menyalin keluar - tapi tidak ada satu byte pun yang masuk ke disk itu. Kalau memang perlu menulis (misalnya menyimpan hasil ke disk tujuan), Anda buka kuncinya sendiri lewat UnBlock. Sifatnya jadi: aman dulu, longgar belakangan - kebalikan dari Windows.
Guymager dan Kenapa Ada Angka Hash
Guymager adalah alat penyalin disk forensik. Bedanya dengan menyalin berkas biasa: Guymager menyalin bit per bit, seluruh isi disk dari awal sampai akhir - termasuk ruang yang terlihat kosong, sisa berkas yang sudah dihapus, dan bagian yang tidak dipakai partisi mana pun. Hasilnya disebut citra disk (disk image): satu berkas besar yang isinya salinan utuh disk aslinya.
Kenapa harus bit per bit? Karena kalau Anda cuma menyalin berkas yang terlihat, semua jejak yang paling berharga - berkas terhapus, potongan data lama - ikut hilang. Untuk penyelamatan data, di situlah justru barangnya berada.
Setelah menyalin, Guymager menghitung nilai hash (biasanya MD5 atau SHA-256). Anggap saja hash itu sebagai sidik jari data: deretan huruf dan angka yang dihitung dari seluruh isi disk. Sifatnya, kalau satu bit saja berubah, sidik jarinya berubah total. Guymager menghitung sidik jari disk asli dan sidik jari salinannya, lalu membandingkan:
- Sama - salinan terbukti identik dengan aslinya. Anda boleh bekerja di salinan itu dengan tenang.
- Beda - ada yang tidak beres saat menyalin (disk sumber bermasalah, kabel goyang, salinan tidak lengkap). Ulangi.
Inilah kebiasaan yang layak ditiru siapa pun yang menangani disk bermasalah, bahkan di luar urusan hukum: jangan bekerja di disk aslinya. Buat citranya dulu, simpan aslinya di laci, lalu utak-atik salinannya sepuas hati. Kalau percobaan Anda gagal, aslinya masih utuh dan Anda tinggal membuat citra baru.
Kebutuhan Perangkat Keras
- Prosesor: 64-bit (x86_64). Semua laptop dan PC sepuluh tahun terakhir memenuhi ini.
- RAM: 2 GB minimum untuk jalan, 4 GB ke atas yang nyaman. Ini bukan angka teori - percobaan pertama kami dengan RAM lebih kecil justru gagal sampai desktop (lihat catatan di bawah). Untuk pilihan Boot Live in RAM, sediakan 8 GB.
- Penyimpanan: tidak butuh ruang disk sama sekali untuk menjalankannya. Tapi kalau mau membuat citra disk dengan Guymager, siapkan disk tujuan yang kapasitasnya lebih besar dari disk yang disalin - citra bit-per-bit berukuran sebesar disk aslinya.
- Drive optik: DVD-ROM apa saja. Kalau laptop sudah tidak punya drive optik, pakai DVD eksternal USB.
- Kartu grafis: tidak butuh yang khusus. Kalau tampilan gagal muncul, ulangi dan pilih Boot Live in safe graphics mode di menu boot.
Catatan Jujur: Percobaan Pertama Kami Gagal
Kami menuliskannya apa adanya karena Anda mungkin mengalami hal serupa. Sesi pemotretan pertama kami tidak berhasil: setelah menu boot, layar dipenuhi pesan I/O error, dev fd0 lalu berubah hitam total dan berhenti di situ. Tidak ada desktop yang muncul.
Percobaan kedua berhasil sampai desktop dengan dua perubahan: RAM mesin uji dinaikkan dan waktu tunggunya diperpanjang. Ternyata CAINE hanya butuh waktu lebih lama dari yang kami sangka - kami yang terlalu cepat menyerah di percobaan pertama.
Pelajarannya untuk Anda: kalau layar terlihat mati suri setelah boot, tunggu lebih lama dulu sebelum menyimpulkan kepingnya gagal, dan pastikan RAM komputer tidak pas-pasan. Baru setelah itu coba Boot Live in safe graphics mode.
Peringatan yang Wajib Dibaca Dulu
Alat forensik tidak membuat sebuah pemeriksaan jadi sah. Kalau tujuan Anda adalah barang bukti untuk perkara hukum, yang menentukan bukan alatnya melainkan prosedur dan pencatatan rantai bukti - siapa memegang disk itu kapan, disegel bagaimana, diserahkan ke siapa, hash-nya dicatat di berkas apa. Artikel ini panduan memakai DVD, bukan panduan hukum. Untuk keperluan resmi, ikuti prosedur instansi Anda dan libatkan orang yang memang berwenang. Dan yang tidak kalah penting: jangan memeriksa perangkat milik orang lain tanpa izin. Kemampuan membaca isi disk orang lain tidak sama dengan hak untuk melakukannya - memeriksa laptop atau ponsel orang tanpa izin bisa berujung masalah hukum untuk Anda sendiri, seberapa pun baik niatnya.
CAINE, Clonezilla, GParted, atau Rescatux?
Empat keping yang sering ada di tas teknisi yang sama, tapi tugasnya berbeda-beda dan gampang tertukar:
- CAINE - memeriksa tanpa mengubah. Membaca isi disk dalam mode hanya-baca dan membuat citra forensik ber-hash. Dipakai saat isinya harus tetap utuh apa adanya.
- Clonezilla - menyalin dan mencadangkan. Menggandakan seluruh isi hard disk lama ke SSD baru, atau membuat berkas cadangan lengkap. Cepat dan praktis untuk pekerjaan sehari-hari, tapi tanpa disiplin tulis-lindung ala forensik.
- GParted - mengatur pembagian ruang disk: memperbesar, memperkecil, membuat, dan menghapus partisi.
- Rescatux - memperbaiki komputer yang gagal masuk sistem: membetulkan boot loader dan GRUB, atau menyetel ulang kata sandi Windows.
Aturan sederhana memilih antara CAINE dan Clonezilla: kalau isi disk itu tidak boleh berubah sedikit pun - barang bukti, atau disk sekarat yang datanya mau diselamatkan - pakai CAINE. Kalau Anda cuma mau memindahkan Windows dari hard disk lama ke SSD baru, Clonezilla lebih cepat dan lebih praktis. Untuk urusan membagi ulang ruang disk setelahnya, itu bagiannya GParted Live. Dan kalau komputernya justru gagal booting, Rescatux yang menanganinya.
Kesimpulan
CAINE 14.0 Lightstream adalah keping untuk satu kebiasaan kerja tertentu: lihat dulu, jangan sentuh. Bootnya sederhana - biarkan pilihan pertama jalan, tunggu agak lama, lalu desktop oranye-hitamnya muncul dengan alat-alat yang sudah siap. Nilainya bukan pada jumlah aplikasi, tapi pada satu jaminan: selama Anda tidak menekan UnBlock, disk yang Anda periksa tidak berubah sama sekali. Untuk analis forensik itu syarat mutlak. Untuk teknisi yang sedang menyelamatkan data pelanggan, itu selisih antara data yang terselamatkan dan data yang hilang selamanya karena keburu tertimpa.
Pertanyaan yang Sering Muncul
Diminta kata sandi, apa isinya?
Sistem live CAINE masuk sendiri ke desktop tanpa meminta kata sandi. Nama penggunanya caine - terlihat dari ikon caine's Home di desktop - dan perintah administrator dijalankan lewat sudo. Kalau ada jendela yang tetap meminta sandi, coba caine atau kosongkan saja lalu tekan Enter.
Apakah menjalankan DVD ini akan menghapus Windows saya?
Tidak. Justru kebalikannya - CAINE dirancang supaya tidak menulis apa pun ke disk Anda. Selama Anda tidak menekan ikon Install CAINE 24.04 dan tidak membuka kunci lewat UnBlock, Windows Anda aman total. Keluarkan DVD, hidupkan ulang, dan komputer kembali seperti semula.
Layar hitam setelah menu boot, cuma ada panel di bawah. Rusak?
Kemungkinan besar tidak - itu tahap peralihan saat desktop belum selesai digambar, dan kami memotretnya di Layar 3 di atas. Tunggu lebih lama. Percobaan pertama kami sendiri gagal karena terlalu cepat menyerah. Kalau setelah beberapa menit tetap hitam, hidupkan ulang dan pilih Boot Live in safe graphics mode di menu boot.
Muncul kotak galat soal ACPI dan acpid.socket. Kepingnya cacat?
Bukan. Pesan itu artinya layanan kecil pengurus tombol daya dan tutup layar tidak berjalan - hal biasa di mesin virtual, dan jarang muncul di laptop sungguhan. Klik OK, dialognya hilang, dan semua alat forensik di dalamnya tetap berfungsi normal.
Kenapa ikonnya tertulis CAINE 24.04 padahal kepingnya 14.0?
Dua angka untuk dua hal berbeda. 14.0 adalah nomor rilis CAINE, 24.04 adalah versi Ubuntu yang jadi fondasinya. Keduanya benar dan memang begitu tampilannya di keping asli.
Berapa RAM minimal yang realistis?
2 GB untuk sekadar jalan, 4 GB ke atas supaya nyaman. Kami menulis ini dari pengalaman: percobaan pertama kami dengan RAM lebih kecil gagal sampai desktop, percobaan kedua dengan RAM lebih besar berhasil.
Saya bukan penyidik, cuma mau menyelamatkan data dari hard disk rusak. Cocok?
Justru sangat cocok, dan inilah pemakaian paling umum di luar urusan hukum. Alurnya: boot CAINE, pakai Guymager untuk membuat citra disk yang bermasalah ke disk tujuan yang sehat, lalu kerjakan penyelamatan datanya di citra itu, bukan di disk aslinya. Disk yang sudah sekarat tidak Anda siksa berulang kali, dan kalau percobaan pertama gagal, aslinya masih utuh.
Bedanya dengan Clonezilla apa? Saya butuh yang mana?
Clonezilla untuk memindahkan - menggandakan Windows dari hard disk lama ke SSD baru, cepat dan praktis. CAINE untuk memeriksa tanpa mengubah - saat isi disk itu tidak boleh tersentuh sedikit pun, entah karena jadi barang bukti atau karena disknya sekarat. Untuk pekerjaan servis harian biasa, Clonezilla lebih sering terpakai. Untuk kasus data kritis dan disk bermasalah, CAINE yang menyelamatkan.
Belum punya DVD-nya?
CAINE 14.0 Lightstream tersedia di toko kami dalam bentuk DVD siap pakai, dikemas rapi dan siap kirim ke seluruh Indonesia: lihat DVD CAINE 14.0 Lightstream. Masih ragu apakah CAINE yang Anda butuhkan atau justru Clonezilla untuk kloning disk biasa? Ceritakan masalah laptop dan disknya lewat chat, sebutkan merek dan tipe laptopnya - kami bantu cek dulu sebelum Anda beli.
