MOBILFORENSIK

Få digitale metadata undersøgt af fagfolk

TYPISKE SPØRGSMÅL

Hvornår er denne analyse nødvendig?

• ✔Hører en besked teknisk set til den viste chat?

• ✔Er en mediefil knyttet til en bestemt nyhedsdatapost?

• ✔Hvilke tidsværdier er der gemt for oprettelse, afsendelse, modtagelse eller statusændring?

• ✔Findes der databaserelationer, der bekræfter eller relativerer et skærmbillede?

• ✔Kan hullerne forklares med sletning, synkronisering, datamigrering eller appens adfærd?

• ✔Kan man sammenligne meddelelses-ID’er eller trådhenvisninger med andre enheder eller sikkerhedskopier?

En automatisk generering af værktøjsresultater kan ikke sidestilles med en endelig vurdering. Databaseskemaer og feltbetydninger kan ændre sig fra den ene app-version til den næste. Derfor er manuel kontrol, validering og dokumenteret fortolkning uundværlig.

Filsystemet administrerer ikke kun indholdet af en fil, men også tekniske egenskaber såsom navn, sti, størrelse, attributter og forskellige tidsværdier. Afhængigt af operativsystemet og filsystemet kan der forekomme yderligere oplysninger. Disse data hjælper med at undersøge en fils placering, eventuelle kopieringsprocesser og sammenhængen med en app.

Filsystemets tidsangivelser må dog ikke sidestilles med det faktiske oprettelsestidspunkt. Hvis et foto eksporteres fra en messenger-tjeneste, kan den nye fil få tildelt et senere oprettelsestidspunkt, selvom selve billedet er ældre. Omvendt kan de oprindelige tidsangivelser i nogle tilfælde overføres ved gendannelse fra en sikkerhedskopi. Den korrekte klassificering afhænger derfor af den konkrete lagrings- og overførselsmetode.

Placeringsoplysninger kan forekomme direkte i medier, i app-databaser, i kort- eller navigationsdata, i WLAN-henvisninger eller i andre systemartefakter. GPS-koordinater i et billede er blot én mulig kilde. Andre artefakter kan afspejle steder, bevægelser, rutesøgninger, gemte positioner eller netværkshenvisninger.

Placeringsdata kræver særlig omhu. En gemt placering kan beskrive enhedens placering, målet for en søgning, placeringen af en optaget fil eller blot en position, der er udledt af andre data. Nøjagtighed, målemetode og tidsreference skal også kontrolleres. En enkelt placeringsværdi bør derfor aldrig præsenteres som bevis for tilstedeværelse uden kontekst.

Andre relevante spor vedrører enheden og de installerede applikationer. Dette kan omfatte model- og systemoplysninger, app-pakke-id’er, installations- eller Update-henvisninger, tilladelser, konto-id’er, synkroniseringsstatus og backupoplysninger. Sådanne data hjælper f.eks. med at kontrollere, om en bestemt applikation var til stede i den relevante periode, eller om data kan være blevet synkroniseret på tværs af flere enheder og cloud-tjenester.

Også disse oplysninger skal sættes ind i en tidsmæssig sammenhæng. Den aktuelle installationsstatus beviser ikke nødvendigvis, at en app blev brugt aktivt på et tidligere tidspunkt. Omvendt kan spor efter en tidligere installeret app forblive, selvom den senere blev fjernet.

Mange mobile applikationer gemmer data i SQLite-databaser. Ud over de synlige brugerdata indeholder disse databaser ofte tekniske felter, ID’er, statusværdier og relationer mellem tabeller. I WAL-tilstand kan der findes yderligere sider eller sider, der endnu ikke er overført til hoveddatabasen, i en tilhørende WAL-fil. SHM-filen understøtter administrationen af WAL-driften.

For at sikre en fagmæssig korrekt undersøgelse bør hoveddatabasen, WAL og SHM sikkerhedskopieres og dokumenteres samlet, i det omfang de foreligger. Det gælder dog, at ikke alle dataposter, der findes i en WAL-fil, automatisk er slettet, forældede eller bevismæssigt relevante. Deres placering, transaktion, sideallokering og databasens tilstand skal vurderes fagligt.

Metadata kan afsløre uoverensstemmelser. Et foto, der angiveligt er taget direkte med en smartphone, kan for eksempel indeholde softwareoplysninger, der tyder på en senere bearbejdning. Et skærmbillede af en chat kan tidsmæssigt eller strukturelt ikke stemme overens med de eksisterende databaseindtastninger. En fil kan være blevet oprettet i filsystemet på et andet tidspunkt end det optagelsestidspunkt, der er gemt i den.

Sådanne afvigelser er dog i første omgang blot indikationer, der giver anledning til nærmere undersøgelse. De kan også skyldes legitime processer såsom eksport, cloud-synkronisering, videresendelse, redigering, ændring af tidszone eller gendannelse fra en sikkerhedskopi. En seriøs undersøgelse skelner derfor mellem:

• ✔en teknisk konstateret afvigelse,

• ✔en plausibel teknisk forklaring,

• ✔et pålideligt tegn på efterfølgende ændringer og

• ✔en faktisk påviselig manipulation.

Retsmedicinsk neutralitet: Undersøgelsesopgaven må ikke have til formål at bekræfte en bestemt påstand. Det afgørende er de objektivt foreliggende spor og de konklusioner, der med rimelighed kan drages ud fra disse.

Præcisér problemstillingen: Hvilken påstand skal der foretages en teknisk undersøgelse af?

Dokumentation af bevismateriale: Udstyr, tilstand, identifikationskendetegn og overdragelse registreres.

Forensisk sikkerhedskopiering af data: Den passende sikkerhedskopieringsmetode vælges ud fra enheden og opgaven.

Dokumentation af integritet: Filer og eksporter sikres – i det omfang det er hensigtsmæssigt – med hashværdier og sporbare arbejdskopier.

Identificering af relevante kilder: Medier, databaser, filsystemer, logfiler, cloud- og app-artefakter indsnævres.

Kontrol af formater og betydninger: Tidsformat, tidszone, databasefelt og teknisk semantik valideres.

Korrelation af metadata: Enkelte spor sammenlignes med uafhængige kilder.

Undersøg alternative forklaringer: Der tages højde for synkronisering, eksport, migrering, sikkerhedskopiering og softwarens adfærd.

Dokumentation af reproducerbare resultater: Arbejdstrin, værktøjer, versioner, forespørgsler og begrænsninger registreres.

Skel mellem konstatering og vurdering: Der skelnes klart mellem tekniske konstateringer og ekspertkonklusioner.

• ✔Et enkelt tidsstempel betegnes uden nærmere undersøgelse som „oprettelsesdato“.

• ✔UTC, lokal tid og sommertid forveksles med hinanden.

• ✔Filsystemets tid og optagelsestidspunktet for indholdet anses for at være det samme.

• ✔Manglende EXIF-data betragtes automatisk som et tegn på manipulation.

• ✔GPS-data præsenteres som bevis for tilstedeværelse uden at deres betydning er blevet undersøgt.

• ✔Værktøjsudskrifter, der er blevet analyseret automatisk, overføres uden manuel validering.

• ✔Der tages ikke højde for app-versioner og forskellige databaseskemaer.

• ✔En kopi eller en eksport behandles på samme måde som den oprindelige fil.

• ✔Konflikter afstemmes ikke med eventuelle synkroniserings- eller sikkerhedskopieringsprocesser.

• ✔Fraværet af spor tolkes som bevis for, at en begivenhed ikke har fundet sted.

Metadata kan fjernes, ændres, overskrives eller genoprettes gennem normale systemprocesser. Nogle programmer gemmer kun få oplysninger, mens andre anvender krypterede eller proprietære datastrukturer. Moderne operativsystemer begrænser adgangen til bestemte områder. Desuden kan avancerede manipulationer eller ukendte softwarefejl gøre analysen vanskelig.

En seriøs analyse lover derfor ikke, at man uden tvivl kan rekonstruere hver enkelt hændelse. Den beskriver snarere, hvilke datakilder der var til rådighed, hvilke metoder der blev anvendt, hvilke resultater der kan gentages, og hvor der stadig er tekniske usikkerheder.

• ✔Kontrol af ægtheden eller den tidsmæssige placering af fotos og videoer,

• ✔Undersøgelse af påståede manipulationer i chatten,

• ✔Rekonstruktion af kommunikations- og hændelsesforløb,

• ✔Kontrol af filens oprindelse, eksport eller redigering,

• ✔Analyse af lokalitets- og bevægelsesrelaterede forhold,

• ✔interne undersøgelser og håndtering af sikkerhedshændelser,

• ✔Udarbejdelse af en privat eller retslig ekspertvurdering,

• ✔Plausibilitetskontrol af digitale bevismidler.