Aplikasi, Artefak, dan Pelaporan

Aplikasi pihak ketiga menghasilkan bukti paling kaya dalam banyak kasus. Setiap aplikasi menyimpan data dengan caranya sendiri, tetapi pola-pola tertentu berulang.

• Basis data SQLite untuk pesan, riwayat, dan metadata.
• Daftar properti (plist) di iOS dan preferensi bersama XML di Android untuk pengaturan/keadaan.
• Gumpalan Protobuf / JSON yang disematkan di dalam kolom basis data.
• Folder penyimpanan sementara dan media untuk gambar mini dan lampiran.

Tugas Anda adalah mengurai semua data ini secara konsisten, mengaitkannya dengan pengguna dan waktu, lalu menyajikannya dengan cara yang dapat dipertanggungjawabkan.

Aplikasi pesan sering menjadi sumber bukti. Setiap aplikasi menyimpan penyimpanan pesan utama serta tabel kontak dan grup.

• WhatsApp (Android): msgstore.db (pesan), wa.db (kontak).
• Signal: basis data SQLCipher terenkripsi; kuncinya berada di penyimpanan kunci/rantai kunci.
• Telegram: cache4.db dengan konten yang dienkode protobuf.

Rekonstruksi percakapan WhatsApp dari penyimpanan pesan:

Beberapa aplikasi mengenkripsi basis datanya sendiri dengan SQLCipher (misalnya Signal dan beberapa aplikasi perbankan). Anda tidak dapat membukanya dengan sqlite3 biasa.

• Kunci biasanya disimpan dalam penyimpanan kunci/rantai kunci platform dan hanya dapat dipulihkan dari ekstraksi yang cukup mendalam.
• Setelah memiliki kunci, buka basis data melalui PRAGMA SQLCipher sebelum melakukan kueri.

Membuka basis data SQLCipher setelah kuncinya dipulihkan:

Basis data aplikasi sering menyembunyikan data terstruktur di dalam kolom BLOB sebagai protobuf, plist, atau JSON. Kolom yang terlihat hanya sebagian dari keseluruhan data.

• Gumpalan BPLIST (plist biner Apple) dapat didekode dengan plistlib atau plutil.
• Gumpalan Protobuf dapat didekode dengan protoc atau blackboxprotobuf.

Konversikan gumpalan plist biner yang diekstrak dari sebuah kolom:

Bukti lokasi mengaitkan seseorang dengan tempat dan waktu, sehingga harus ditangani dengan ketelitian ekstra.

• Tag GPS EXIF foto, riwayat pencarian aplikasi peta, dan ubin yang disimpan sementara.
• Lokasi penting iOS (cache routined), riwayat lokasi Android, serta log Wi-Fi/seluler.

Bedakan lokasi perangkat dari tempat yang hanya dicari pengguna. Ekstrak GPS EXIF dari sebuah foto:

Aplikasi modern menyinkronkan data di seluruh perangkat, sehingga data pada perangkat mungkin tidak lengkap atau terduplikasi.

• Pesan yang dihapus dari ponsel mungkin tetap ada di tablet tertaut atau sesi web.
• Metadata sinkronisasi dapat menunjukkan perangkat mana yang membuat sebuah pesan.

Catat atribusi perangkat dalam analisis Anda, dan cari data layanan awan/perangkat pendamping hanya berdasarkan kewenangan hukum terpisah yang sesuai. Jangan pernah menganggap ponsel yang disita memuat catatan lengkap.

Sebelum artefak dimasukkan ke dalam laporan, validasikan artefak tersebut dengan tiga cara.

• Sumber: pastikan berkas/tabel/kolom persis tempat artefak tersebut berasal.
• Dekode: verifikasi epoch stempel waktu dan makna bidangnya, idealnya dengan membandingkannya dengan pesan referensi yang telah diketahui valid.
• Pencocokan silang: periksa silang dengan artefak kedua (misalnya, entri riwayat panggilan yang cocok dengan sebuah kontak).

Artefak yang tidak dapat Anda cocokkan secara independen atau telusuri sumbernya dengan tepat harus ditandai sebagai berkepercayaan rendah, bukan dinyatakan sebagai fakta.

Garis waktu gabungan menggabungkan peristiwa dari banyak artefak ke dalam satu tampilan kronologis yang dinormalisasi ke UTC.

• Gabungkan pesan, panggilan, penggunaan aplikasi, lokasi, dan peristiwa sistem.
• Beri setiap baris tanda artefak sumber untuk memastikan keterlacakan.

Alat seperti log2timeline/plaso atau skrip analis digunakan untuk menyusunnya. Secara konseptual, setiap baris memuat waktu, peristiwa, dan asal data:

Laporan forensik harus memungkinkan pemeriksa independen mengulang dan memeriksa pekerjaan Anda. Bagian-bagian standarnya adalah:

• Ringkasan — cakupan, otorisasi, temuan utama.
• Bukti yang ditangani — perangkat, pengenal, rantai pengawasan barang bukti.
• Metodologi — alat, versi, perintah persis, nilai hash.
• Temuan — artefak dengan rujukan sumber.
• Kesimpulan — interpretasi yang dipisahkan dengan jelas dari fakta mentah.

Setiap klaim harus dapat ditelusuri kembali ke sumber yang telah diberi nilai hash dan langkah yang didokumentasikan.

Kredibilitas laporan bergantung pada pemisahan antara pengamatan dan interpretasi.

• Fakta: baris 482 pada sms.db berisi teks X dengan tanggal Y (UTC).
• Interpretasi: hal ini menunjukkan bahwa pengguna berencana bertemu di lokasi Z.

Sampaikan fakta secara netral dan tandai kesimpulan sebagai kesimpulan, termasuk penjelasan alternatif. Menyatakan kepastian secara berlebihan (misalnya, menyimpulkan niat hanya dari satu pesan) akan melemahkan seluruh laporan dan dapat dipersoalkan di pengadilan.

Perangkat seluler menyimpan data yang sangat pribadi. Praktisi harus tetap berada dalam batas hukum dan etika.

• Bekerjalah hanya dalam cakupan yang diizinkan (ketentuan surat perintah/persetujuan).
• Minimalkan paparan terhadap data pribadi yang tidak relevan.
• Pertahankan objektivitas — laporkan juga bukti yang meringankan, bukan hanya yang memberatkan.
• Lindungi data hasil ekstraksi dengan kehati-hatian yang sama seperti terhadap perangkat asli.

Etika yang baik bukanlah pilihan; etika membuat bukti digital dapat dipercaya dan diterima sebagai bukti.

Laporan Anda menyatakan: 'Pengguna berniat melakukan tindakan tersebut, sebagaimana ditunjukkan oleh pesan 482.' Seorang peninjau mengajukan keberatan. Apa masalah utamanya?

Anda kini dapat mengubah hasil ekstraksi mentah menjadi laporan yang dapat dipertanggungjawabkan.

• Data aplikasi berupa SQLite + plist/XML + protobuf/JSON gumpalan data; dekode gumpalan data secara eksplisit.
• Penyimpanan terenkripsi (SQLCipher) memerlukan kunci dari ekstraksi mendalam.
• Tangani bukti lokasi dengan cermat; bedakan keberadaan dari sekadar pencarian.
• Perhitungkan sinkronisasi lintas perangkat dan mintalah data awan hanya dengan kewenangan yang tepat.
• Validasikan sumber, dekode, dan pencocokan silang sebelum melaporkannya.
• Bangun garis waktu gabungan UTC, susun laporan agar dapat diulang, dan pisahkan fakta dari opini.
• Tetaplah dalam cakupan dan bertindaklah secara etis — itulah yang membuat bukti dapat diterima.