IT forenzika · Auta
Omezení při vyhodnocování proprietárních formátů řídicích jednotek vozidel
Mnoho výrobců vozidel ukládá data z řídicích jednotek ve vlastních, veřejně nedokumentovaných binárních formátech, jejichž úplné dekódování není bez specializovaného softwaru daného výrobce technicky vždy možné.
U vozidel je tento bod obzvláště důležitý, protože se mohou výrazně lišit výrobci, typy modelů, verze softwaru a používané formáty ukládání a přenosu dat. Klasický osobní automobil se spalovacím motorem, moderní elektromobil a užitkové vozidlo s tachografem nelze posuzovat podle stejného technického schématu. Místo uložení, formát dat, šifrování a konektivita určují, které údaje jsou dostupné a která metoda zálohování způsobuje nejméně změn.
V případě LanCologne je toto technické omezení otevřeně sděleno již na začátku vyšetření, aby nevznikla nepřesná očekávání ohledně skutečně dosažitelného rozsahu vyhodnocení.
Proč LanCologne?
Společnost LanCologne nezkoumá digitální stopy související s vozidly podle paušálního standardního schématu, nýbrž na základě konkrétního typu vozidla, dostupných zdrojů dat a příslušné důkazní otázky. Naši zaměstnanci disponují desítkami let zkušeností v oblasti informačních technologií a dlouholetou praktickou zkušeností v oblasti IT forenziky. Podporujeme podniky, advokáty, soukromé osoby a pravidelně také soudy a úřady při technickém objasňování digitálních skutečností.
Vyšetřování se zásadně provádí na forenzní kopii, forenzním obrazu nebo na datovém zdroji, který byl zaznamenán technicky rovnocenným způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn, případně jsou technicky nevyhnutelné zásahy transparentně zdokumentovány a materiál je uložen způsobem zajišťujícím důkazní hodnotu.
Náš způsob práce a používané nástroje
Naše vyšetřování nezačíná spuštěním analytického programu, ale sběrem důkazního materiálu. Dokumentujeme vozidlo, zabudované systémy, viditelný stav i připojená mobilní zařízení. Poté se rozhodne, které zdroje dat jsou dostupné a v jakém pořadí budou zajištěny.
V dalším kroku se stanoví strategie zálohování. Rozlišujeme přitom, zda jsou data přístupná prostřednictvím vyjmutých paměťových médií, přes běžné diagnostické rozhraní nebo prostřednictvím mobilního zařízení připojeného k vozidlu. Volba nezávisí na pohodlí, ale na typu vozidla, formátu dat, dostupnosti a konkrétní důkazní otázce. Tam, kde je to technicky možné, pracujeme v režimu jen pro čtení; nevyhnutelné změny stavu jsou výslovně zaznamenány.
Vytvořená záloha je zdokumentována pomocí hash hodnot. Samotná analýza se neprovádí na originálu, ale na pracovní kopii, resp. na ověřeném důkazním obrazu. Tak lze provádět vyhledávání nebo vlastní vyhodnocovací kroky, aniž by se průběžně měnil původní důkazní materiál.
Pokud narazíme na nedokumentovaný, proprietární formát řídicí jednotky, nejprve ověříme, které dílčí informace lze i tak extrahovat pomocí našich zavedených nástrojů, a zbývající, nevyhodnotitelné části jasně zdokumentujeme jako technické omezení.
Pro čtenáře, který není odborníkem v této oblasti, je přitom obzvláště důležitý jeden bod: forenzní program „nenajde" pravdu automaticky. Čte datové struktury a interpretuje je podle známých pravidel. Pokud nová verze softwaru nebo systému změní formát dat, může automatizovaná analýza reagovat neúplně nebo nesprávně. Proto u klíčových zjištění ověřujeme, z jakého souboru nebo datové struktury výsledek pochází a zda stejný stav potvrzuje i druhý technický postup.
Záměrně nepoužíváme specializovaný hardware pro extrakci dat z vozidel, jako jsou proprietární čtečky infotainmentových systémů nebo řídicích jednotek. Místo toho analyzujeme paměťová média, připojená mobilní zařízení a běžné formáty souborů a databází pomocí našich osvědčených forenzních nástrojů, zejména Belkasoft X a X-Ways Forensics. V případech, kdy výrobcem specifické, nedokumentované formáty řídicích jednotek nebo infotainmentu brání úplnému automatizovanému vyhodnocení, ručně prověřujeme dostupná surová data a transparentně dokumentujeme existující technická omezení, místo abychom tvrdili něco, co nemůžeme podložit.
Typické oblasti použití
Takto probíhá forenzní vyšetřování
Vozidlo, jeho systémy a případně připojená mobilní zařízení jsou nejprve jednoznačně identifikována a zdokumentována fotograficky nebo písemně. Zaznamenáme, v jakém fyzickém a elektronickém stavu bylo vozidlo nalezeno. Tyto informace mohou být později rozhodující.
Určí se výrobce, model, nainstalované systémy a jejich verze softwaru. Teprve na základě toho lze určit, které údaje jsou v zásadě dostupné a která metoda zálohování je vhodná.
Zálohování se provádí tak, aby se původní stav změnil co nejméně. V závislosti na konkrétním případě se z přístupných paměťových médií provádí čtení v režimu jen pro čtení, připojená mobilní zařízení se zálohují samostatně a dostupná data v cloudu se zaznamenávají se souhlasem oprávněné osoby. Každý krok se zaznamenává do protokolu.
Vytvořené obrazy nebo kopie jsou jednoznačně pojmenovány, opatřeny hash hodnotami a ověřeny. Analýza a vyhledávání se následně provádějí výhradně na pracovních kopiích.
Stávající data jsou systematicky vyhodnocována pomocí našich osvědčených forenzních nástrojů. Pokud standardní software určitý formát plně nepodporuje, je tato skutečnost zdokumentována, místo aby byla mlčky přehlížena.
V případě zvláště důležitých nebo neobvyklých nálezů ručně prověřujeme surová data, struktury souborů a metadata, abychom vyloučili automatizované chybné interpretace.
Na závěr neuvádíme pouze seznam toho, co se podařilo zjistit. Vysvětlíme, na jakém technickém zdroji se nález zakládá, jaký závěr lze vyvodit a kde jsou jeho meze.
Proč je tato oblast vyšetřování relevantní z forenzního hlediska?
Mnoho výrobců vozidel ukládá data z řídicích jednotek ve vlastních, veřejně nedokumentovaných binárních formátech, jejichž úplné dekódování není bez specializovaného softwaru daného výrobce technicky vždy možné.
Forenzní hodnota nespočívá pouze v množství nalezených dat, ale v jejich původu a spolehlivosti. Název souboru, časové razítko nebo záznam v protokolu mohou být bez kontextu zavádějící. Proto dokumentujeme, jak mohl artefakt vzniknout, jaká existují alternativní vysvětlení a jaké další stopy nález podporují.
V případě LanCologne je toto technické omezení otevřeně sděleno již na začátku vyšetření, aby nevznikla nepřesná očekávání ohledně skutečně dosažitelného rozsahu vyhodnocení.
Zejména u vozidel může navíc snaha o kompletní technickou analýzu narazit na překážky, pokud výrobci používají proprietární, nezveřejněné datové formáty. Chybějící dokumentace, šifrované oblasti paměti a výrobcem specifická připojení k cloudu jasně ukazují, proč je před samotnou analýzou tak důležité odborné zajištění dat a transparentní sdělení existujících omezení. Chyby v této fázi nelze vždy později napravit.
Často kladené otázky
LanCologne – IT forenzika vozidel, Kolín nad Rýnem
Potřebujete odbornou analýzu na téma „Meze vyhodnocování proprietárních formátů řídicích jednotek vozidel"? Společnost LanCologne vám pomůže s důkazně spolehlivým zajištěním, vícestupňovým vyhodnocením a transparentní dokumentací digitálních stop souvisejících s vozidly. Rozhodující přitom není generovat co nejvíce automatických shod, ale zajistit technicky spolehlivé a ověřitelné důkazy.