MOBIELE FORENSIEK

Digitale metadata professioneel laten onderzoeken

TYPISCHE VRAGEN

Wanneer is deze analyse nodig?

• ✔Hoort een bericht technisch gezien bij de weergegeven chat?

• ✔Is een mediabestand gekoppeld aan een specifiek nieuwsbericht?

• ✔Welke tijdstippen zijn opgeslagen voor het aanmaken, verzenden, ontvangen of wijzigen van de status?

• ✔Zijn er relaties in de database die deze schermafbeelding bevestigen of relativeren?

• ✔Zijn er hiaten die te verklaren zijn door verwijdering, synchronisatie, gegevensmigratie of het gedrag van de app?

• ✔Kunnen bericht-ID's of thread-verwijzingen worden vergeleken met andere apparaten of back-ups?

Een automatische generatie van tools staat niet gelijk aan een definitieve beoordeling. Databaseschema’s en veldbetekenissen kunnen tussen verschillende app-versies veranderen. Daarom zijn handmatige controle, validatie en gedocumenteerde interpretatie onontbeerlijk.

Het bestandssysteem beheert niet alleen de inhoud van een bestand, maar ook technische kenmerken zoals naam, pad, grootte, attributen en diverse tijdgegevens. Afhankelijk van het besturingssysteem en het bestandssysteem kan er nog meer informatie beschikbaar zijn. Deze gegevens helpen bij het onderzoeken van de opslaglocatie van een bestand, mogelijke kopieerprocessen en de relatie met een app.

De tijdstippen in het bestandssysteem mogen echter niet worden gelijkgesteld aan het daadwerkelijke tijdstip van ontstaan. Als een foto uit een messenger wordt geëxporteerd, kan het nieuwe bestand een later aanmaakmoment krijgen, hoewel de foto zelf ouder is. Omgekeerd kunnen bij het herstellen vanuit een back-up de oorspronkelijke tijdstippen deels worden overgenomen. De juiste interpretatie hangt daarom af van de specifieke opslag- en overdrachtswijze.

Locatiegegevens kunnen rechtstreeks voorkomen in media, in app-databases, in kaart- of navigatiegegevens, in WLAN-verwijzingen of in andere systeemartefacten. GPS-coördinaten in een afbeelding zijn slechts één mogelijke bron. Andere artefacten kunnen locaties, bewegingen, routezoekopdrachten, opgeslagen posities of netwerkverwijzingen weergeven.

Locatiegegevens vereisen bijzondere voorzichtigheid. Een opgeslagen locatie kan de locatie van het apparaat, de bestemming van een zoekopdracht, de locatie van een opgenomen bestand of louter een uit andere gegevens afgeleide positie beschrijven. Ook de nauwkeurigheid, de meetmethode en het tijdstip moeten worden gecontroleerd. Een afzonderlijke locatiewaarde mag daarom nooit zonder context worden gepresenteerd als bewijs van aanwezigheid.

Andere relevante sporen hebben betrekking op het apparaat en de geïnstalleerde applicaties. Hieronder vallen onder meer model- en systeeminformatie, app-pakket-ID’s, installatie- of Update-verwijzingen, machtigingen, account-ID’s, synchronisatiestatus en back-upinformatie. Dergelijke gegevens helpen bijvoorbeeld om na te gaan of een bepaalde applicatie in de betreffende periode aanwezig was of dat gegevens mogelijk over meerdere apparaten en clouddiensten zijn gesynchroniseerd.

Ook deze informatie moet in de tijd worden geplaatst. De huidige installatiestatus bewijst niet noodzakelijkerwijs dat een app op een eerder tijdstip actief werd gebruikt. Omgekeerd kunnen er sporen van een eerder geïnstalleerde app achterblijven, ook al is deze later verwijderd.

Veel mobiele applicaties slaan gegevens op in SQLite-databases. Naast de zichtbare gebruiksgegevens bevatten deze databases vaak technische velden, ID’s, statuswaarden en relaties tussen tabellen. In de WAL-modus kunnen extra pagina’s of pagina’s die nog niet in de hoofddatabase zijn overgenomen, in een bijbehorend WAL-bestand aanwezig zijn. Het SHM-bestand ondersteunt het beheer van de WAL-werking.

Voor een vakkundig onderzoek moeten de hoofddatabase, de WAL en de SHM gezamenlijk worden geback-upt en gedocumenteerd, voor zover deze beschikbaar zijn. Toch geldt: niet elk gegevensrecord dat in een WAL-bestand wordt aangetroffen, is automatisch verwijderd, verouderd of relevant als bewijs. De positie, transactie, paginatoewijzing en de toestand van de database moeten vakkundig worden beoordeeld.

Metadata kunnen tegenstrijdigheden aan het licht brengen. Een foto die zogenaamd rechtstreeks met een smartphone is genomen, kan bijvoorbeeld softwaregegevens bevatten die wijzen op een latere bewerking. Een screenshot van een chat kan qua tijdstip of structuur niet overeenkomen met de bestaande database-vermeldingen. Een bestand kan in het bestandssysteem op een ander tijdstip zijn aangemaakt dan het opnametijdstip dat erin is opgeslagen.

Dergelijke afwijkingen zijn echter in eerste instantie slechts aanwijzingen voor nader onderzoek. Ze kunnen ook het gevolg zijn van legitieme processen zoals export, cloudsynchronisatie, doorsturen, bewerking, wijziging van de tijdzone of herstel vanuit een back-up. Bij een gedegen onderzoek wordt daarom onderscheid gemaakt tussen:

• ✔een technisch vastgestelde afwijking,

• ✔een aannemelijke technische verklaring,

• ✔een betrouwbare aanwijzing voor een latere wijziging en

• ✔een daadwerkelijk aantoonbaar geval van manipulatie.

Forensische neutraliteit: Het onderzoek mag niet gericht zijn op het bevestigen van een gewenste bewering. Bepalend zijn de objectief aanwezige sporen en de daaruit te trekken redelijke conclusies.

De vraag nauwkeuriger formuleren: welke bewering moet technisch worden getoetst?

Bewijsmateriaal vastleggen: het apparaat, de staat, de identificatiekenmerken en de overdracht worden vastgelegd.

Forensische back-up van gegevens: de geschikte back-upmethode wordt gekozen op basis van het apparaat en de opdracht.

Integriteit vastleggen: bestanden en exporten worden – voor zover zinvol – beveiligd met hashwaarden en traceerbare werkkopieën.

Relevante bronnen identificeren: media, databases, bestandssystemen, logbestanden, cloud- en app-artefacten worden in kaart gebracht.

Formaten en betekenissen controleren: tijdformaat, tijdzone, databaseveld en technische semantiek worden gevalideerd.

Metadata correleren: afzonderlijke sporen worden vergeleken met onafhankelijke bronnen.

Alternatieve verklaringen onderzoeken: er wordt rekening gehouden met synchronisatie, export, migratie, back-up en het gedrag van de software.

Resultaten op reproduceerbare wijze documenteren: werkstappen, hulpmiddelen, versies, zoekopdrachten en beperkingen worden vastgelegd.

Bevindingen en beoordeling scheiden: er wordt een duidelijk onderscheid gemaakt tussen technische vaststellingen en conclusies van deskundigen.

• ✔Een enkele tijdstempel wordt zonder verdere controle aangeduid als „aanmaakdatum“.

• ✔UTC, lokale tijd en zomertijd worden door elkaar gehaald.

• ✔De tijd van het bestandssysteem en de opnametijd van de inhoud worden gelijkgesteld.

• ✔Ontbrekende EXIF-gegevens worden automatisch beschouwd als een aanwijzing voor manipulatie.

• ✔GPS-gegevens worden zonder controle van hun betekenis als bewijs van aanwezigheid gepresenteerd.

• ✔Automatisch geparseerde tool-uitvoer wordt zonder handmatige validatie overgenomen.

• ✔Er wordt geen rekening gehouden met app-versies en verschillende databaseschema's.

• ✔Een kopie of een export wordt op dezelfde manier behandeld als het oorspronkelijke bestand.

• ✔Conflicten worden niet afgestemd met eventuele synchronisatie- of back-upprocessen.

• ✔Het ontbreken van sporen wordt geïnterpreteerd als bewijs dat een gebeurtenis niet heeft plaatsgevonden.

Metadata kunnen worden verwijderd, gewijzigd, overschreven of opnieuw gegenereerd door normale systeemprocessen. Sommige applicaties slaan slechts weinig informatie op; andere maken gebruik van versleutelde of propriëtaire gegevensstructuren. Moderne besturingssystemen beperken de toegang tot bepaalde gebieden. Bovendien kunnen geavanceerde manipulaties of onbekende softwarefouten de analyse bemoeilijken.

Een degelijke analyse belooft dan ook niet dat elke gebeurtenis zonder enige twijfel kan worden gereconstrueerd. Ze beschrijft veeleer welke gegevensbronnen beschikbaar waren, welke methoden werden toegepast, welke bevindingen reproduceerbaar zijn en waar er nog technische onzekerheden bestaan.

• ✔Controle van de authenticiteit of de chronologische plaatsing van foto’s en video’s,

• ✔Onderzoek naar vermeende manipulatie van chatgesprekken,

• ✔Reconstructie van communicatie- en gebeurtenisverloop,

• ✔Controle van de herkomst, export of bewerking van bestanden,

• ✔Analyse van locatie- en bewegingsgegevens,

• ✔interne onderzoeken en incidentrespons,

• ✔Het opstellen van een particulier of gerechtelijk rapport,

• ✔Controle op de geloofwaardigheid van digitaal bewijsmateriaal.