MOBILFORENSIK

Låt någon utföra en professionell analys av digitala metadata

TYPISKA FRÅGOR

När behövs denna analys?

• ✔Hör ett meddelande tekniskt sett till den visade chatten?

• ✔Är en mediefil kopplad till en specifik nyhetspost?

• ✔Vilka tidsvärden har sparats för skapande, avsändning, mottagande eller statusändring?

• ✔Finns det databasrelationer som bekräftar eller relativiserar en skärmdump?

• ✔Kan luckorna förklaras med radering, synkronisering, datamigrering eller appens beteende?

• ✔Går det att jämföra meddelande-ID:n eller trådreferenser med andra enheter eller säkerhetskopior?

En automatisk generering av verktyg ska inte likställas med en slutgiltig utvärdering. Databasscheman och fältdefinitioner kan ändras mellan olika versioner av appen. Därför är manuell granskning, validering och dokumenterad tolkning oundgängliga.

Filsystemet hanterar inte bara innehållet i en fil, utan även tekniska egenskaper som namn, sökväg, storlek, attribut och olika tidsvärden. Beroende på operativsystem och filsystem kan ytterligare information finnas tillgänglig. Dessa uppgifter hjälper till att undersöka var en fil är lagrad, eventuella kopieringsprocesser och kopplingen till en app.

Filsystemets tidsangivelser får dock inte likställas med den faktiska tidpunkten då innehållet skapades. Om en bild exporteras från en meddelandetjänst kan den nya filen få en senare skapelsetidpunkt, även om själva bilden är äldre. Omvänt kan de ursprungliga tidsvärdena ibland överföras vid återställning från en säkerhetskopia. Den korrekta klassificeringen beror därför på den konkreta lagrings- och överföringsvägen.

Platsinformation kan förekomma direkt i media, i appdatabaser, i kart- eller navigationsdata, i WLAN-referenser eller i andra systemartefakter. GPS-koordinater i en bild är bara en möjlig källa. Andra artefakter kan avbilda platser, rörelser, ruttförfrågningar, sparade positioner eller nätverksreferenser.

Platsuppgifter kräver särskild försiktighet. En lagrad plats kan beskriva enhetens position, målet för en sökning, platsen för en inspelad fil eller endast en position som härleds från andra uppgifter. Även noggrannhet, mätmetod och tidsreferens måste kontrolleras. Ett enskilt platsvärde bör därför aldrig presenteras som bevis på närvaro utan sammanhang.

Andra relevanta spår gäller enheten och de installerade applikationerna. Dessa kan omfatta modell- och systeminformation, app-paket-ID:n, installations- eller Update-referenser, behörigheter, konto-ID:n, synkroniseringsstatus och säkerhetskopieringsinformation. Sådana uppgifter hjälper till exempel till att kontrollera om en viss applikation fanns under den relevanta tidsperioden eller om data kan ha synkroniserats mellan flera enheter och molntjänster.

Även dessa uppgifter måste sättas in i ett tidsmässigt sammanhang. Den aktuella installationsstatusen bevisar inte nödvändigtvis att en app har använts aktivt vid ett tidigare tillfälle. Omvänt kan spår efter en tidigare installerad app finnas kvar, även om den senare har tagits bort.

Många mobilapplikationer lagrar data i SQLite-databaser. Förutom den synliga användardatan innehåller dessa databaser ofta tekniska fält, ID:n, statusvärden och relationer mellan tabeller. I WAL-läge kan det finnas ytterligare sidor, eller sidor som ännu inte har överförts till huvuddatabasen, i en tillhörande WAL-fil. SHM-filen stöder hanteringen av WAL-driften.

För en korrekt undersökning bör huvuddatabasen, WAL och SHM säkerhetskopieras och dokumenteras tillsammans, i den mån de finns tillgängliga. Det gäller dock att inte varje datapost som hittas i en WAL-fil automatiskt är raderad, äldre eller bevisrelevant. Dess position, transaktion, sidtilldelning och databasens tillstånd måste utvärderas av en expert.

Metadata kan avslöja motsägelser. En bild som påstås ha tagits direkt med en smartphone kan till exempel innehålla programvaruuppgifter som tyder på en senare bearbetning. En skärmdump från en chatt kan tidsmässigt eller strukturellt sett inte stämma överens med de befintliga databasposterna. En fil kan ha skapats i filsystemet vid en annan tidpunkt än den inspelningstidpunkt som är lagrad i den.

Sådana avvikelser är dock inledningsvis endast granskningsindikatorer. De kan även uppstå till följd av legitima processer såsom export, molnsynkronisering, vidarebefordran, redigering, tidszonsändring eller återställning från en säkerhetskopia. En seriös utredning skiljer därför mellan:

• ✔en tekniskt konstaterad avvikelse,

• ✔en rimlig teknisk förklaring,

• ✔en tillförlitlig indikation på senare ändringar och

• ✔en faktiskt påvisbar manipulering.

Forensisk neutralitet: Utredningsuppdraget får inte syfta till att bekräfta en önskad påstående. Det avgörande är de objektivt föreliggande spåren och de rimliga slutsatser som kan dras utifrån dessa.

Precisera frågeställningen: Vilket påstående ska granskas ur teknisk synvinkel?

Dokumentera bevismaterial: Utrustning, skick, identifieringsmärken och överlämnande registreras.

Forensisk säkerhetskopiering av data: Den lämpliga säkerhetskopieringsmetoden väljs utifrån enheten och uppdraget.

Dokumentera integriteten: Filer och exportfilerna säkerställs – i den mån det är lämpligt – med hashvärden och spårbara arbetskopior.

Identifiera relevanta källor: Medier, databaser, filsystem, loggar, moln- och app-artefakter avgränsas.

Kontrollera format och betydelser: Tidsformat, tidszon, databasfält och teknisk semantik valideras.

Korrelera metadata: Enskilda spår jämförs med oberoende källor.

Undersök alternativa förklaringar: Synkronisering, export, migrering, säkerhetskopiering och programvarans beteende beaktas.

Dokumentera resultaten på ett reproducerbart sätt: arbetssteg, verktyg, versioner, sökfrågor och begränsningar dokumenteras.

Skillnad mellan fynd och bedömning: Det görs en tydlig åtskillnad mellan tekniska konstateranden och sakkunniga slutsatser.

• ✔En enskild tidsstämpel betecknas utan närmare granskning som „skapandedatum“.

• ✔UTC, lokal tid och sommartid förväxlas med varandra.

• ✔Filsystemets tid och inspelningstiden i själva filen anses vara desamma.

• ✔Saknade EXIF-uppgifter tolkas automatiskt som ett tecken på manipulation.

• ✔GPS-data presenteras som bevis på närvaro utan att deras betydelse granskas.

• ✔Verktygsutdata som parsas automatiskt överförs utan manuell validering.

• ✔Appversioner och olika databasscheman beaktas inte.

• ✔En kopia eller en export behandlas på samma sätt som den ursprungliga filen.

• ✔Konflikter jämförs inte med eventuella synkroniserings- eller säkerhetskopieringsprocesser.

• ✔Avsaknaden av spår tolkas som ett bevis på att en händelse inte har ägt rum.

Metadata kan tas bort, ändras, skrivas över eller skapas på nytt genom normala systemprocesser. Vissa program lagrar endast en liten mängd information, medan andra använder krypterade eller proprietära datastrukturer. Moderna operativsystem begränsar åtkomsten till vissa områden. Dessutom kan avancerade manipulationer eller okända programvarufel försvåra utvärderingen.

En seriös analys lovar därför inte att kunna rekonstruera varje händelse utan tvivel. Den beskriver snarare vilka datakällor som fanns tillgängliga, vilka metoder som användes, vilka resultat som är reproducerbara och var det fortfarande finns tekniska osäkerheter.

• ✔Granskning av äktheten eller tidsmässig inrambning av foton och videor,

• ✔Utredning av påstådda chattmanipulationer,

• ✔Rekonstruktion av kommunikations- och händelseförlopp,

• ✔Kontroll av filens ursprung, export eller redigering,

• ✔Analys av plats- och rörelsebaserade lönebestämmelser,

• ✔interna utredningar och incidenthantering,

• ✔Utarbetande av ett privat eller rättsligt utlåtande,

• ✔Plausibilitetskontroll av digitala bevis.