MOBILNA FORENZIKA

Strokovna analiza digitalnih metapodatkov

TIPIČNA VPRAŠANJA

Kdaj je ta analiza potrebna?

• ✔Ali sporočilo tehnično sodi v prikazani klepet?

• ✔Ali je medijska datoteka povezana s konkretnim zapisom novice?

• ✔Kateri časovni podatki so bili shranjeni v zvezi z izdelavo, pošiljanjem, prejemom ali spremembo statusa?

• ✔Ali obstajajo povezave v bazi podatkov, ki potrjujejo ali relativizirajo ta posnetek zaslona?

• ✔Ali je mogoče vrzeli pojasniti z izbrisom, sinhronizacijo, migracijo podatkov ali delovanjem aplikacije?

• ✔Ali je mogoče ID-je sporočil ali sklicevanja na niti primerjati z drugimi napravami ali varnostnimi kopijami?

Avtomatska izdaja orodja se pri tem ne sme enačiti s končno oceno. Sheme baz podatkov in pomeni polj se lahko med različicami aplikacije spreminjajo. Zato so ročni pregled, preverjanje veljavnosti in dokumentirana interpretacija nepogrešljivi.

Datotečni sistem ne upravlja le z vsebino datoteke, temveč tudi s tehničnimi lastnostmi, kot so ime, pot, velikost, atributi in različne časovne vrednosti. Glede na operacijski sistem in datotečni sistem so lahko na voljo tudi dodatne informacije. Ti podatki pomagajo pri preučevanju lokacije datoteke, morebitnih postopkov kopiranja in povezave z aplikacijo.

Časovnih podatkov datotečnega sistema pa ne smemo enačiti s časom nastanka vsebine. Če fotografijo izvozimo iz programa za sporočanje, lahko nova datoteka dobi kasnejši čas nastanka, čeprav je sama slika starejša. Nasprotno pa se pri obnovitvi iz varnostne kopije v nekaterih primerih lahko prevzamejo prvotni časovni podatki. Pravilna uvrstitev je zato odvisna od konkretnega načina shranjevanja in prenosa.

Podatki o lokaciji se lahko nahajajo neposredno v medijih, v podatkovnih bazah aplikacij, v kartografskih ali navigacijskih podatkih, v sklicih WLAN ali v drugih sistemskih artefaktih. GPS-koordinate na sliki so le eden od možnih virov. Drugi artefakti lahko prikazujejo lokacije, premike, iskanje poti, shranjene položaje ali omrežne reference.

Podatki o lokaciji zahtevajo posebno previdnost. Shranjena lokacija lahko opisuje lokacijo naprave, ciljno lokacijo iskanja, lokacijo posnete datoteke ali zgolj položaj, izpeljan iz drugih podatkov. Preveriti je treba tudi natančnost, metodo merjenja in časovni okvir. Posamezna lokacijska vrednost se zato nikoli ne sme predstavljati kot dokaz prisotnosti brez konteksta.

Druge pomembne spremljevalne sledi se nanašajo na napravo in nameščene aplikacije. Mednje lahko spadajo podatki o modelu in sistemu, identifikatorji paketov aplikacij, podatki o namestitvi ali povezavah Update, pooblastila, identifikatorji računov, stanje sinhronizacije in podatki o varnostnih kopijah. Takšni podatki pomagajo na primer pri preverjanju, ali je bila določena aplikacija prisotna v zadevnem obdobju ali pa so bili podatki morda sinhronizirani prek več naprav in storitev v oblaku.

Tudi te informacije je treba umestiti v časovni okvir. Trenutno stanje namestitve ne pomeni nujno, da je bila aplikacija v preteklosti aktivno uporabljena. Nasprotno pa se lahko ohranijo ostanki prej nameščene aplikacije, čeprav je bila ta kasneje odstranjena.

Mnoge mobilne aplikacije shranjujejo podatke v podatkovnih bazah SQLite. Poleg vidnih uporabniških podatkov te baze pogosto vsebujejo tehnična polja, identifikatorje, vrednosti stanja in povezave med tabelami. V načinu WAL lahko dodatne strani ali strani, ki še niso bile prenesene v glavno bazo podatkov, obstajajo v pripadajoči datoteki WAL. Datoteka SHM omogoča upravljanje delovanja WAL.

Za strokovno preiskavo je treba skupaj varnostno kopirati in dokumentirati glavno bazo podatkov, WAL in SHM, če so na voljo. Vendar pa velja: ni vsak zapis, najden v datoteki WAL, samodejno izbrisan, starejši ali pomemben za dokazovanje. Njegov položaj, transakcijo, dodelitev strani in stanje baze podatkov je treba strokovno oceniti.

Metapodatki lahko razkrivajo neskladja. Fotografija, ki naj bi bila posneta neposredno s pametnim telefonom, lahko na primer vsebuje podatke o programski opremi, ki kažejo na poznejšo obdelavo. Posnetek zaslona klepeta se časovno ali strukturno morda ne ujema z obstoječimi vnosi v bazi podatkov. Datoteka je bila v datotečnem sistemu morda ustvarjena v drugem časovnem trenutku kot je čas zajema, shranjen v njej.

Takšna odstopanja so sicer sprva le namigi za preverjanje. Lahko jih povzročijo tudi legitimni postopki, kot so izvoz, sinhronizacija v oblaku, posredovanje, urejanje, sprememba časovnega pasu ali obnovitev iz varnostne kopije. Zato resna preiskava razlikuje med:

• ✔tehnično ugotovljeno odstopanje,

• ✔verjetne tehnične razlage,

• ✔zanesljivemu dokazu o naknadni spremembi in

• ✔dejansko dokazljivemu postopku manipulacije.

Forenzična nevtralnost: Naloga preiskave ne sme biti usmerjena v potrditev želenega trditve. Odločilne so objektivno prisotne sledi in utemeljene zaključke, ki iz njih izhajajo.

Natančneje opredelite vprašanje: Katera trditev naj se tehnično preveri?

Dokumentiranje dokaznega gradiva: zabeležijo se naprava, stanje, identifikacijske značilnosti in predaja.

Forenzično varnostno kopiranje podatkov: Ustrezna metoda varnostnega kopiranja se izbere glede na napravo in nalogo.

Dokumentiranje integritete: datoteke in izvozi so – kjer je to smiselno – zavarovani s hash vrednostmi in sledljivimi delovnimi kopijami.

Opredelitev relevantnih virov: omejimo se na medije, podatkovne baze, datotečni sistem, protokole ter artefakte v oblaku in aplikacijah.

Preverjanje formatov in pomenov: preverja se format časa, časovni pas, polje v bazi podatkov in tehnična semantika.

Usklajevanje metapodatkov: posamezne sledi se primerjajo z neodvisnimi viri.

Preverjanje alternativnih razlag: upoštevajo se sinhronizacija, izvoz, migracija, varnostno kopiranje in delovanje programske opreme.

Reprodukcijsko dokumentiranje rezultatov: zabeležijo se delovni koraki, orodja, različice, poizvedbe in omejitve.

Ločitev ugotovitev in ocene: med tehničnimi ugotovitvami in strokovnimi zaključki se jasno razlikuje.

• ✔Posamezen časovni žig se brez preverjanja označi kot „datum nastanka“.

• ✔UTC, lokalni čas in poletni čas se med seboj zamenjujejo.

• ✔Čas datotečnega sistema in čas snemanja vsebine sta enaka.

• ✔Manjkajoči podatki EXIF se samodejno obravnavajo kot znak manipulacije.

• ✔Podatki GPS se prikazujejo kot dokaz prisotnosti, ne da bi se preverila njihova veljavnost.

• ✔Samodejno analizirani izpisi orodij se prevzamejo brez ročnega preverjanja.

• ✔Različice aplikacij in različne sheme baz podatkov se ne upoštevajo.

• ✔Kopija ali izvoz se obravnava enako kot izvirna datoteka.

• ✔Neskladja se ne usklajujejo z morebitnimi postopki sinhronizacije ali varnostnega kopiranja.

• ✔Odsotnost sledi se razlaga kot dokaz, da se dogodek ni zgodil.

Metapodatki se lahko odstranijo, spremenijo, prepišejo ali ponovno ustvarijo v okviru običajnih sistemskih procesov. Nekatere aplikacije shranjujejo le malo informacij; druge pa uporabljajo šifrirane ali lastniške podatkovne strukture. Sodobni operacijski sistemi omejujejo dostop do določenih področij. Poleg tega lahko napredne manipulacije ali neznane programske napake otežijo analizo.

Zato resna analiza ne obljublja, da bo mogoče vsak dogodek brez dvoma rekonstruirati. Namesto tega opisuje, kateri viri podatkov so bili na voljo, katere metode so bile uporabljene, kateri rezultati so ponovljivi in kje ostajajo tehnične negotovosti.

• ✔Preverjanje pristnosti ali časovne umestitve fotografij in videoposnetkov,

• ✔Preiskava domnevnih manipulacij v klepetih,

• ✔Rekonstrukcija poteka komunikacije in dogodkov,

• ✔Preverjanje izvora datoteke, izvoza ali urejanja,

• ✔Analiza lokacijskih in gibalnih podatkov,

• ✔notranje preiskave in odzivanje na incidente,

• ✔Priprava zasebnega ali sodnega izvedenskega mnenja,

• ✔Preverjanje verodostojnosti digitalnih dokazov.