Dasar-Dasar Forensik Seluler

Forensik seluler adalah disiplin untuk memulihkan bukti digital dari ponsel cerdas, tablet, dan perangkat sandang dengan cara yang sesuai kaidah forensik. Berbeda dengan forensik cakram, perangkat seluler selalu aktif, terus-menerus melakukan sinkronisasi, dan dienkripsi secara ketat.

• Bukti tersimpan dalam penyimpanan flash (NAND), RAM, SIM, dan cadangan awan.
• Secara bawaan, perangkat terkunci, dienkripsi, dan dapat dihapus dari jarak jauh.
• Tujuannya adalah mengekstrak data tanpa mengubahnya, lalu membuktikan integritasnya di pengadilan.

Praktisi harus menyeimbangkan ekstraksi teknis dengan otorisasi hukum yang ketat (surat perintah, persetujuan, atau kebijakan perusahaan).

Ambil data yang paling mudah hilang terlebih dahulu karena data tersebut paling cepat lenyap. Perangkat seluler memiliki sumber data mudah hilang yang unik.

• RAM / proses yang sedang berjalan — hilang saat perangkat dimatikan.
• Status jaringan, koneksi seluler — terus berubah.
• Data aplikasi yang belum disinkronkan — mungkin tertimpa.
• Penyimpanan flash permanen — paling tidak mudah berubah.

Perangkat yang sedang aktif dapat menghapus pesan secara otomatis, mengganti catatan secara berkala, atau menerima penghapusan jarak jauh. Bertindak cepat pada sumber data yang mudah hilang akan mempertahankan bukti yang jika tidak demikian akan hilang.

Tindakan fisik pertama adalah isolasi radio. Perangkat yang terhubung ke jaringan seluler atau Wi-Fi dapat dikunci atau dihapus dari jarak jauh sebelum Anda membuat citranya.

• Gunakan kantong Faraday atau wadah berpelindung untuk memblokir seluruh RF.
• Jika isolasi tidak memungkinkan, aktifkan Mode Pesawat dan dokumentasikan setiap ketukan.
• Jangan pernah mematikan ponsel yang belum Anda periksa — proses boot dapat memicu enkripsi data saat tersimpan yang nantinya tidak dapat Anda lewati.

Pastikan perangkat tetap terisi daya di dalam kantong; baterai yang habis dapat memaksanya masuk ke keadaan mulai dingin yang menghilangkan bukti RAM.

Bukti hanya berguna jika penanganannya terdokumentasi dan tidak terputus. Rantai penguasaan barang bukti mencatat siapa yang menyentuh perangkat, kapan, dan mengapa.

• Catat waktu penyitaan, lokasi, keadaan perangkat (menyala/mati, terkunci/tidak terkunci).
• Catat setiap pemindahan beserta tanda tangan dan cap waktunya.
• Foto layar, IMEI, dan kerusakan yang terlihat.

Catat pengenal sebelum ekstraksi. Contoh kolom yang perlu dicatat saat penerimaan awal:

Terdapat rentang kedalaman ekstraksi, dan setiap metode memiliki kompromi antara kelengkapan dan tingkat intrusi.

• Manual — analis menggulir antarmuka langsung dan memotret layar. Cepat serta tanpa perangkat bantu, tetapi mengubah keadaan perangkat.
• Logis — mengambil berkas/basis data melalui antarmuka pemrograman aplikasi perangkat (cadangan, ADB, AFC). Data yang dihapus tidak ikut diperoleh.
• Sistem berkas — seluruh struktur direktori, termasuk ruang terisolasi aplikasi dan berkas WAL SQLite.
• Fisik — citra NAND bit demi bit, termasuk ruang yang belum dialokasikan atau dihapus. Paling lengkap, tetapi paling sulit diperoleh pada perangkat modern yang terenkripsi.

Pilih metode yang paling minim intrusi dan memenuhi kebutuhan penyelidikan.

Untuk membuktikan bahwa citra tidak diubah, buat hash kriptografis saat akuisisi dan lakukan verifikasi ulang sebelum analisis.

• Gunakan SHA-256 (MD5 hanya dapat diterima untuk pemeriksaan silang sistem lama).
• Hash harus cocok pada setiap salinan dan setiap serah terima.
• Selalu analisis salinan kerja, jangan pernah menggunakan salinan asli.

Buat dan verifikasi hash dari citra hasil ekstraksi:

Ponsel modern mengenkripsi penyimpanan secara bawaan, sehingga citra fisik tidak berguna tanpa kunci.

• Enkripsi Berbasis Berkas Android (FBE) menurunkan kunci dari kredensial pengguna dan penyimpanan kunci yang didukung perangkat keras.
• Perlindungan Data iOS mengaitkan kunci berkas dengan kode sandi dan Enklave Aman.
• Perangkat dalam keadaan BFU (Before First Unlock) telah mengeluarkan sebagian besar kunci dari memori; keadaan AFU (After First Unlock) mempertahankan banyak kunci di memori.

Kapan pun hal tersebut sah dan memungkinkan, lakukan akuisisi saat perangkat berada dalam keadaan AFU — jauh lebih banyak data yang dapat didekripsi.

Memahami keadaan penguncian menentukan data yang dapat Anda pulihkan.

• BFU (Before First Unlock): perangkat telah melakukan boot, tetapi belum pernah dibuka kuncinya sejak dinyalakan. Hampir semuanya terenkripsi; hanya metadata minimum yang dapat diakses.
• AFU (After First Unlock): pengguna telah membuka kunci setidaknya sekali. Kunci berkas berada di RAM, sehingga ekstraksi logis dan sistem berkas menghasilkan banyak data meskipun perangkat saat ini terkunci.

Aturan praktis: biarkan perangkat sitaan tetap menyala dan jangan menyalakannya kembali. Menyalakan ulang akan mengembalikannya ke BFU dan dapat menghilangkan akses ke kunci yang dilindungi kode sandi.

Ponsel bukan satu-satunya sumber data. Dua sumber data terkait sering kali sangat menentukan.

• Kartu SIM: ICCID, IMSI, kontak tersimpan, dan terkadang SMS. Bacalah dengan pembaca SIM khusus agar tidak perlu menyentuh ponsel.
• Cadangan awan: iCloud, Google, dan cadangan khusus aplikasi (WhatsApp, Signal). Cadangan ini sering berisi data yang telah dihapus dari perangkat.

Akuisisi awan memerlukan otoritas hukum terpisah (surat perintah/surat panggilan pengadilan) dan kredensial yang sesuai — jangan pernah mengakses akun yang tidak berwenang Anda akses.

Praktisi menggabungkan paket komersial dengan alat sumber terbuka untuk validasi silang.

• Komersial: Cellebrite UFED, Magnet AXIOM, MSAB XRY — dukungan perangkat yang luas dan penguraian otomatis.
• Sumber terbuka: Jembatan Penelusuran Kesalahan Android (ADB), libimobiledevice, ALEAPP/iLEAPP, autopsy.

Pengambilan logis pada perangkat Android dengan penelusuran kesalahan yang diaktifkan mungkin dimulai dengan ADB:

Setiap tindakan harus dapat direproduksi oleh pihak ketiga. Catatan yang dibuat saat kejadian mengubah hasil ekstraksi mentah menjadi bukti yang dapat diterima.

• Catat nama perangkat bantu, versi, dan perintah tepat yang digunakan.
• Catat cap waktu dalam UTC serta setiap penyimpangan dari prosedur.
• Bedakan fakta (apa yang ditunjukkan data) dari penafsiran.

Jika Anda tidak dapat menjelaskan bagaimana suatu data masuk ke laporan Anda, data tersebut tidak seharusnya ada dalam laporan.

Sekarang Anda memiliki model mental inti untuk forensik seluler yang baik.

• Isolasi perangkat (kantong Faraday) untuk mencegah penghapusan jarak jauh.
• Patuhi urutan volatilitas dan hindari menyalakan ulang perangkat AFU.
• Jaga rantai penguasaan barang bukti tetap utuh dan buat hash setiap citra dengan SHA-256.
• Pilih akuisisi yang paling minim intrusi dan memenuhi kebutuhan kasus.
• Enkripsi (FBE / Perlindungan Data) serta keadaan BFU vs AFU menentukan hal yang dapat dipulihkan.
• Dokumentasikan alat, versi, perintah, dan cap waktu UTC agar hasilnya dapat direproduksi.

Berikutnya: praktik langsung akuisisi dan analisis Android.