KRYMINALISTYKA MOBILNA

Zleć profesjonalną analizę metadanych cyfrowych

TYPOWE PYTANIA

Kiedy ta analiza jest potrzebna?

• ✔Czy dana wiadomość technicznie rzecz biorąc należy do przedstawionego czatu?

• ✔Czy plik multimedialny jest powiązany z konkretnym rekordem wiadomości?

• ✔Jakie wartości czasowe zostały zapisane w odniesieniu do utworzenia, wysłania, odbioru lub zmiany statusu?

• ✔Czy istnieją powiązania w bazie danych, które potwierdzają lub relativizują ten zrzut ekranu?

• ✔Czy luki te można wyjaśnić usunięciem danych, synchronizacją, migracją danych lub działaniem aplikacji?

• ✔Czy identyfikatory wiadomości lub odniesienia do wątków można porównać z danymi z innych urządzeń lub kopii zapasowych?

Automatyczne wygenerowanie narzędzi nie jest równoznaczne z ostateczną oceną. Schematy baz danych i znaczenia pól mogą się zmieniać w poszczególnych wersjach aplikacji. Dlatego niezbędna jest ręczna kontrola, walidacja i udokumentowana interpretacja.

System plików zarządza nie tylko zawartością pliku, ale także jego właściwościami technicznymi, takimi jak nazwa, ścieżka, rozmiar, atrybuty i różne wartości czasowe. W zależności od systemu operacyjnego i systemu plików mogą być dostępne dodatkowe informacje. Dane te pomagają zbadać lokalizację pliku, ewentualne procesy kopiowania oraz powiązania z aplikacją.

Nie należy jednak utożsamiać czasów systemu plików z datą powstania treści. Jeśli zdjęcie zostanie wyeksportowane z komunikatora, nowy plik może otrzymać późniejszą datę utworzenia, mimo że samo zdjęcie jest starsze. Z drugiej strony, podczas przywracania danych z kopii zapasowej pierwotne wartości czasowe mogą zostać częściowo zachowane. Prawidłowa klasyfikacja zależy zatem od konkretnego sposobu przechowywania i przesyłania danych.

Informacje o lokalizacji mogą występować bezpośrednio w plikach multimedialnych, bazach danych aplikacji, danych mapowych lub nawigacyjnych, odniesieniach WLAN lub w innych elementach systemu. Współrzędne GPS na zdjęciu to tylko jedno z możliwych źródeł. Inne elementy mogą odzwierciedlać lokalizacje, przemieszczenia, wyszukiwanie tras, zapisane pozycje lub odniesienia sieciowe.

Dane dotyczące lokalizacji wymagają szczególnej ostrożności. Zapisana lokalizacja może odnosić się do położenia urządzenia, miejsca docelowego wyszukiwania, lokalizacji pliku, który został zapisany, lub po prostu do pozycji wywnioskowanej na podstawie innych danych. Należy również sprawdzić dokładność, metodę pomiaru oraz odniesienie czasowe. Pojedyncza wartość lokalizacji nie powinna zatem nigdy być przedstawiana jako dowód obecności bez odpowiedniego kontekstu.

Inne istotne ślady dotyczące urządzenia i zainstalowanych aplikacji obejmują informacje o modelu i systemie, identyfikatory pakietów aplikacji, odniesienia do instalacji lub Update, uprawnienia, identyfikatory kont, stan synchronizacji oraz informacje o kopiach zapasowych. Dane te pomagają na przykład sprawdzić, czy dana aplikacja była dostępna w danym okresie lub czy dane mogły zostać zsynchronizowane między wieloma urządzeniami i usługami w chmurze.

Również te informacje należy umieścić w odpowiedniej perspektywie czasowej. Aktualny stan instalacji niekoniecznie świadczy o tym, że aplikacja była aktywnie używana we wcześniejszym okresie. Z drugiej strony mogą pozostać ślady po aplikacji zainstalowanej wcześniej, mimo że została ona później usunięta.

Wiele aplikacji mobilnych przechowuje dane w bazach danych SQLite. Oprócz widocznych danych użytkowych bazy te często zawierają pola techniczne, identyfikatory, wartości statusowe oraz relacje między tabelami. W trybie WAL dodatkowe strony lub strony, które nie zostały jeszcze przeniesione do głównej bazy danych, mogą znajdować się w powiązanym pliku WAL. Plik SHM wspiera zarządzanie trybem WAL.

W celu przeprowadzenia profesjonalnej analizy należy wspólnie wykonać kopię zapasową i udokumentować główną bazę danych, plik WAL oraz plik SHM, o ile są one dostępne. Należy jednak pamiętać, że nie każdy rekord znaleziony w pliku WAL jest automatycznie usunięty, starszy lub ma znaczenie dowodowe. Jego położenie, transakcja, przypisanie do strony oraz stan bazy danych muszą zostać poddane fachowej ocenie.

Metadane mogą ujawniać sprzeczności. Na przykład zdjęcie rzekomo zrobione bezpośrednio smartfonem może zawierać informacje programowe wskazujące na późniejszą obróbkę. Zrzut ekranu z czatu może nie pasować pod względem czasowym lub strukturalnym do istniejących wpisów w bazie danych. Plik mógł zostać utworzony w systemie plików w innym momencie niż data nagrania zapisana w nim.

Takie rozbieżności są jednak na początku jedynie wskazówkami do sprawdzenia. Mogą one wynikać również z uzasadnionych procesów, takich jak eksport, synchronizacja w chmurze, przekierowanie, edycja, zmiana strefy czasowej lub przywrócenie z kopii zapasowej. W rzetelnym dochodzeniu rozróżnia się zatem:

• ✔stwierdzonej technicznie niezgodności,

• ✔wiarygodnego wyjaśnienia technicznego,

• ✔wiarygodną wskazówkę dotyczącą późniejszych zmian oraz

• ✔rzeczywiście możliwym do wykrycia przypadkiem manipulacji.

Neutralność kryminalistyczna: Celem dochodzenia nie może być potwierdzenie pożądanej tezy. Decydujące znaczenie mają obiektywnie istniejące ślady oraz uzasadnione wnioski z nich wynikające.

Sprecyzuj pytanie: Które twierdzenie należy zweryfikować pod kątem technicznym?

Dokumentowanie dowodów: rejestruje się urządzenie, jego stan, cechy identyfikacyjne oraz sposób przekazania.

Tworzenie kopii zapasowych danych w celach kryminalistycznych: Odpowiednią metodę tworzenia kopii zapasowej dobiera się w zależności od urządzenia i zadania.

Dokumentowanie integralności: pliki i eksporty są – w miarę możliwości – zabezpieczane za pomocą wartości skrótu oraz identyfikowalnych kopii roboczych.

Identyfikacja odpowiednich źródeł: zawęża się zakres do mediów, baz danych, systemu plików, logów oraz artefaktów w chmurze i aplikacjach.

Sprawdzanie formatów i znaczeń: przeprowadzana jest walidacja formatu czasu, strefy czasowej, pola bazy danych oraz semantyki technicznej.

Korelacja metadanych: poszczególne ślady są porównywane z niezależnymi źródłami.

Sprawdź alternatywne wyjaśnienia: uwzględniono synchronizację, eksport, migrację, tworzenie kopii zapasowych oraz zachowanie oprogramowania.

Dokumentowanie wyników w sposób umożliwiający ich odtworzenie: rejestruje się poszczególne etapy pracy, narzędzia, wersje, zapytania i ograniczenia.

Rozróżnienie między ustaleniami a oceną: wyraźnie rozróżnia się ustalenia techniczne od wniosków eksperckich.

• ✔Pojedynczy znacznik czasu określa się bez weryfikacji jako „datę utworzenia“.

• ✔Czas UTC, czas lokalny i czas letni są ze sobą mylone.

• ✔Czas systemu plików i czas nagrania treści są traktowane jako tożsame.

• ✔Brak danych EXIF jest automatycznie traktowany jako oznaka manipulacji.

• ✔Dane GPS są przedstawiane jako dowód obecności bez sprawdzania ich znaczenia.

• ✔Wyniki działania narzędzi, które zostały automatycznie przeanalizowane, są akceptowane bez ręcznej weryfikacji.

• ✔Nie uwzględnia się wersji aplikacji ani różnych schematów baz danych.

• ✔Kopia lub eksport są traktowane tak samo jak plik źródłowy.

• ✔Niespójności nie są porównywane z ewentualnymi operacjami synchronizacji lub tworzenia kopii zapasowych.

• ✔Brak śladów interpretuje się jako dowód na to, że dane zdarzenie nie miało miejsca.

Metadane mogą zostać usunięte, zmienione, nadpisane lub wygenerowane na nowo w wyniku zwykłych operacji systemowych. Niektóre aplikacje przechowują jedynie niewielką ilość informacji; inne wykorzystują zaszyfrowane lub zastrzeżone struktury danych. Nowoczesne systemy operacyjne ograniczają dostęp do określonych obszarów. Ponadto zaawansowane manipulacje lub nieznane błędy oprogramowania mogą utrudniać analizę danych.

Rzetelna analiza nie obiecuje zatem, że uda się bez wątpienia odtworzyć każdy przebieg zdarzeń. Opisuje ona raczej, jakie źródła danych były dostępne, jakie metody zastosowano, które wyniki można powtórzyć oraz gdzie nadal istnieją niepewności techniczne.

• ✔Weryfikacja autentyczności lub datowania zdjęć i filmów,

• ✔Dochodzenie w sprawie domniemanych manipulacji na czacie,

• ✔Rekonstrukcja przebiegu komunikacji i zdarzeń,

• ✔Sprawdzanie pochodzenia pliku, eksportu lub edycji,

• ✔Analiza wynagrodzeń związanych z miejscem pracy i mobilnością,

• ✔wewnętrzne dochodzenia i reagowanie na incydenty,

• ✔Przygotowanie ekspertyzy prywatnej lub sądowej,

• ✔Kontrola wiarygodności dowodów cyfrowych.