Mobilna forenzika

Neka profesionalci analiziraju digitalne metapodatke.

Tipična pitanja

Kada je potrebna ova analiza?

• ✔Pripada li poruka tehnički chatu koji je prikazan?

• ✔Je li medijska datoteka povezana s određenom vijesti?

• ✔Koji su vremenski pečati zabilježeni za stvaranje, slanje, primitak ili promjene statusa?

• ✔Postoje li neke relacije u bazi podataka koje potvrđuju ili stavljaju u perspektivu snimku zaslona?

• ✔Mogu li se praznine objasniti brisanjem, sinkronizacijom, migracijom podataka ili ponašanjem aplikacije?

• ✔Mogu li se ID-ovi poruka ili reference niti usporediti s drugim uređajima ili sigurnosnim kopijama?

Automatski izlaz alata ne treba se poistovjećivati s konačnom procjenom. Sheme baza podataka i značenja polja mogu se mijenjati između verzija aplikacije. Stoga su ručna provjera, validacija i dokumentirana interpretacija neophodni.

Sustav datoteka upravlja ne samo sadržajem datoteke, već i tehničkim svojstvima poput njezina naziva, puta, veličine, atributa i raznih vremenskih oznaka. Ovisno o operativnom sustavu i sustavu datoteka, mogu biti dostupne dodatne informacije. Ti podaci pomažu istražiti lokaciju datoteke, sve procese kopiranja i njezinu povezanost s aplikacijom.

Međutim, vremenski pečati datotečnog sustava ne bi se smjeli poistovjećivati s stvarnim vremenom stvaranja sadržaja. Ako se fotografija izvozi iz aplikacije za razmjenu poruka, novoj datoteci može biti dodijeljeno kasnije vrijeme stvaranja, iako je sama slika starija. Suprotno tome, pri obnavljanju iz sigurnosne kopije, izvorni vremenski pečati u nekim se slučajevima mogu zadržati. Stoga ispravna interpretacija ovisi o specifičnoj metodi pohrane i prijenosa.

Informacije o lokaciji mogu se pojaviti izravno u medijima, u bazama podataka aplikacija, u kartnim ili navigacijskim podacima, u referencama WLAN ili u drugim sustavnim artefaktima. GPS koordinate na slici samo su jedan mogući izvor. Ostali artefakti mogu predstavljati lokacije, kretanja, pretraživanja ruta, spremljene položaje ili mrežne reference.

Podaci o lokaciji zahtijevaju posebnu pažnju. Pohranjena lokacija može opisivati lokaciju uređaja, odredište pretraživanja, lokaciju snimljene datoteke ili jednostavno položaj izveden iz drugih podataka. Točnost, metoda mjerenja i vremenska referenca također se moraju provjeriti. Stoga se pojedinačna vrijednost lokacije nikada ne bi smjela predstavljati kao dokaz prisutnosti bez konteksta.

Ostali relevantni tragovi odnose se na uređaj i aplikacije instalirane na njemu. To može uključivati informacije o modelu i sustavu, identifikatore paketa aplikacija, reference na instalaciju ili Update, dozvole, identifikatore računa, status sinkronizacije i informacije o sigurnosnim kopijama. Takvi podaci pomažu, na primjer, provjeriti je li određena aplikacija bila prisutna tijekom relevantnog razdoblja ili jesu li se podaci mogli sinkronizirati između više uređaja i usluga u oblaku.

Ove informacije također treba staviti u vremenski kontekst. Trenutni status instalacije ne dokazuje nužno da je aplikacija bila aktivno korištena u ranijem razdoblju. Suprotno tome, tragovi aplikacije koja je prethodno bila instalirana mogu ostati, iako je naknadno deinstalirana.

Mnoge mobilne aplikacije pohranjuju podatke u SQLite baze podataka. Osim vidljivih korisničkih podataka, te baze često sadrže tehnička polja, ID-ove, statusne vrijednosti i odnose između tablica. U WAL načinu rada u povezanom WAL-datoteci mogu biti prisutne dodatne stranice – ili stranice koje još nisu prenesene u glavnu bazu podataka. Datoteka SHM podržava upravljanje WAL operacijama.

Kako bi se osigurala profesionalna istraga, glavna baza podataka, WAL i SHM trebaju se zajedno kopirati i dokumentirati, gdje je to moguće. Ipak, važno je napomenuti da nije svaki zapis podataka pronađen u WAL datoteci automatski izbrisan, zastario ili relevantan kao dokaz. Njegov položaj, transakcija, raspodjela stranica i stanje baze podataka mora procijeniti stručnjak.

Metapodaci mogu otkriti nedosljednosti. Na primjer, fotografija navodno snimljena izravno pametnim telefonom može sadržavati softverske informacije koje upućuju na to da je obrađena naknadno. Snimka zaslona chata možda se neće podudarati s postojećim unosima u bazi podataka po pitanju vremena ili strukture. Datoteka je možda stvorena u datotečnom sustavu u drugom trenutku od onog vremena snimanja pohranjenog u njoj.

Međutim, takve razlike u početku su samo pokazatelji za daljnju istragu. Mogu također nastati iz legitimnih procesa kao što su izvoz, sinkronizacija u oblaku, prosljeđivanje, uređivanje, promjena vremenske zone ili obnova iz sigurnosne kopije. Stoga temeljita istraga razlikuje između:

• ✔tehnički utvrđeno odstupanje,

• ✔uvjerljivo tehničko objašnjenje,

• ✔snažan pokazatelj naknadne izmjene i

• ✔primjer manipulacije koji se zapravo može dokazati.

Forenzička neutralnost: Svrha istrage ne smije biti potvrđivanje željene tvrdnje. Odlučujuće su objektivno postojeće tragove i razumni zaključci koji se iz njih mogu izvući.

Razjasnite pitanje: Koja izjava treba biti tehnički provjerena?

Dokumentiranje dokaza: uređaj, njegovo stanje, identifikacijske značajke i primopredaja se bilježe.

Forenzičko sigurnosno kopiranje podataka: Odgovarajuća metoda sigurnosnog kopiranja odabire se na temelju uređaja i zadatka.

Dokumentiranje integriteta: Gdje je to primjereno, datoteke i izvozi osiguravaju se pomoću hash vrijednosti i praćenih radnih kopija.

Identificirajte relevantne izvore: mediji, baze podataka, datotečni sustavi, dnevnici, artefakti u oblaku i aplikacijski artefakti su suženi.

Provjerite formate i značenja: format vremena, vremenska zona, polje baze podataka i tehnička semantika su provjereni.

Metapodaci u korelaciji: Pojedinačne staze unakrsno su provjerene s neovisnim izvorima.

Provjerite alternativna objašnjenja: sinhronizacija, izvoz, migracija, sigurnosno kopiranje i ponašanje softvera uzimaju se u obzir.

Dokumentirajte rezultate na reproducibilan način: zabilježite poduzete korake, korištene alate, verzije, upite i ograničenja.

Razlikovanje nalaza i procjene: Jasno se razlikuju tehnički nalazi i stručni zaključci.

• ✔Jedan vremenski žig naziva se „datum stvaranja“ bez daljnje provjere.

• ✔UTC, lokalno vrijeme i ljetno računanje vremena često se međusobno brkaju.

• ✔Vrijeme datotečnog sustava i vrijeme snimanja sadržaja tretiraju se isto.

• ✔Izostanak EXIF podataka automatski se smatra pokazateljem manipulacije.

• ✔GPS podaci su predstavljeni kao dokaz prisutnosti bez ikakve provjere njihove točnosti.

• ✔Izlazak alata koji je automatski analiziran prihvaća se bez ručne validacije.

• ✔Verzije aplikacije i različite sheme baze podataka se ne uzimaju u obzir.

• ✔Kopija ili izvoz tretira se na isti način kao i izvorna datoteka.

• ✔Konflikti se ne rješavaju ni jednim procesom sinkronizacije ili sigurnosnog kopiranja.

• ✔Nedostatak bilo kakvog traga tumači se kao dokaz da se događaj nije dogodio.

Metapodaci se mogu ukloniti, izmijeniti, prebrisati ili regenerirati kao rezultat uobičajenog rada sustava. Neke aplikacije pohranjuju samo mali dio informacija; druge koriste šifrirane ili vlasničke strukture podataka. Moderni operativni sustavi ograničavaju pristup određenim područjima. Nadalje, sofisticirana manipulacija ili nepoznati softverski bugovi mogu zakomplicirati analizu.

Stoga rigorozna analiza ne tvrdi da može rekonstruirati svaki događaj bez ikakve sumnje. Naprotiv, ona opisuje koje su podatkovne izvore bilo dostupne, koje su metode korištene, koja su otkrića reproducibilna i gdje ostaju tehničke nesigurnosti.

• ✔Verifikacija autentičnosti ili kronološkog konteksta fotografija i videozapisa,

• ✔Istraga o navodnoj manipulaciji chatom,

• ✔Rekonstrukcija komunikacijskih i događajnih slijedova,

• ✔Provjera podrijetla datoteke, njezinog izvoza ili uređivanja,

• ✔Analiza podataka o lokaciji i kretanju,

• ✔interne istrage i odgovor na incidente,

• ✔Priprema privatnog ili sudom naloženog vještačkog nalaza,

• ✔Provjere vjerodostojnosti digitalnih dokaza.