Приложения, артефакты и отчётность

В большинстве случаев сторонние приложения создают наиболее богатые источники доказательств. Каждое приложение хранит данные по-своему, но общие закономерности повторяются.

• БД SQLite для сообщений, истории и метаданных.
• Списки свойств (plist) в iOS и общие настройки XML в Android для хранения параметров и состояния.
• Двоичные данные в форматах Protobuf / JSON, встроенные в столбцы БД.
• Кэши и медиафайлы для эскизов и вложений.

Ваша задача — единообразно разобрать эти данные, связать их с пользователем и временем и представить результаты так, чтобы их можно было обоснованно защитить.

Чат-приложения часто являются источниками доказательств. Каждое хранит основное хранилище сообщений, а также таблицы контактов и групп.

• WhatsApp (Android): msgstore.db (сообщения), wa.db (контакты).
• Signal: зашифрованная БД SQLCipher; ключ хранится в хранилище ключей или связке ключей.
• Telegram: cache4.db с содержимым, закодированным в формате Protobuf.

Восстановите разговор WhatsApp из хранилища сообщений:

Некоторые приложения шифруют собственную БД с помощью SQLCipher (например, Signal и некоторые банковские приложения). Открыть такие БД обычным sqlite3 невозможно.

• Ключ обычно хранится в платформенном хранилище ключей или связке ключей и может быть восстановлен только из достаточно глубокого извлечения.
• Получив ключ, откройте БД с помощью SQLCipher PRAGMA перед выполнением запросов.

Открытие БД SQLCipher после восстановления ключа:

БД приложений часто скрывают структурированные данные в столбцах BLOB в виде Protobuf, plist или JSON. Видимые столбцы — лишь часть содержимого.

• Двоичные данные BPLIST (двоичный список свойств Apple) декодируются с помощью plistlib или plutil.
• Двоичные данные Protobuf декодируются с помощью protoc или blackboxprotobuf.

Преобразуйте двоичный список свойств, извлечённый из столбца:

Данные о местоположении связывают человека с местом и временем, поэтому с ними необходимо работать особенно тщательно.

• Теги GPS в EXIF фотографии, история поиска в приложении карт, кэшированные фрагменты карт.
• значимые местоположения iOS (кэш routined), история местоположений Android и журналы Wi-Fi и сотовой сети.

Различайте место, где находилось устройство, и место, которое пользователь лишь искал. Извлеките координаты EXIF GPS из фотографии:

Современные приложения синхронизируют данные между устройствами, поэтому данные на одном устройстве могут быть неполными или дублироваться.

• Сообщение, удалённое с телефона, может сохраняться на связанном планшете или в веб-сеансе.
• Метаданные синхронизации могут показать, с какого устройства было отправлено сообщение.

Указывайте устройство-источник в своём анализе и запрашивайте данные из облака или с сопутствующего устройства только при наличии отдельного надлежащего законного разрешения. Никогда не предполагайте, что изъятый телефон содержит полную запись.

Прежде чем включить артефакт в отчёт, проверьте его тремя способами.

• Источник: подтвердите точный файл, таблицу и столбец, из которых он был получен.
• Декодирование: проверьте эпоху отсчёта временной метки и значение поля — по возможности сопоставьте их с эталонным сообщением, правильность которого известна.
• Подтверждение: сопоставьте артефакт со вторым артефактом, например с записью в журнале звонков, соответствующей контакту.

Если вы не можете независимо подтвердить артефакт или точно установить его источник, отметьте его как имеющий низкую степень уверенности, а не представляйте как факт.

Сводная временная шкала объединяет события из множества артефактов в один хронологический вид, приведённый к UTC.

• Объединяйте сообщения, звонки, сведения об использовании приложений, местоположения и системные события.
• Помечайте каждую строку указанием на её исходный артефакт, чтобы можно было отследить источник.

Такие шкалы собирают с помощью инструментов вроде log2timeline/plaso или скриптов аналитика. В концептуальном плане каждая строка содержит время, событие и сведения о происхождении:

Криминалистический отчёт должен позволять независимому эксперту воспроизвести и проверить вашу работу. Стандартные разделы:

• Краткое содержание — рамки исследования, полномочия, основные результаты.
• Исследованные доказательства — устройства, идентификаторы, цепочка хранения.
• Методика — инструменты, версии, точные команды, хеш-суммы.
• Результаты исследования — артефакты с указанием источников.
• Выводы — интерпретация, чётко отделённая от исходных фактов.

Каждое утверждение должно восходить к источнику с хеш-суммой и документированному этапу работы.

Достоверность отчёта зависит от разделения наблюдений и интерпретации.

• Факт: строка 482 в sms.db содержит текст X с датой Y (UTC).
• Интерпретация: это позволяет предположить, что пользователь планировал встретиться в месте Z.

Излагайте факты нейтрально и обозначайте выводы как выводы, включая альтернативные объяснения. Преувеличение степени уверенности, например утверждение о намерении на основании одного сообщения, подрывает весь отчёт и может быть оспорено в суде.

Мобильные устройства содержат глубоко личные данные. Специалисты должны действовать в рамках закона и этических норм.

• Работайте только в пределах разрешённых рамок — условий ордера или согласия.
• Сводите к минимуму раскрытие личных данных, не относящихся к делу.
• Сохраняйте объективность — сообщайте также об оправдывающих доказательствах, а не только об обвиняющих.
• Защищайте извлечённые данные с такой же тщательностью, как и исходное устройство.

Этичность — не необязательное дополнение, а основа достоверности и допустимости цифровых доказательств в суде.

В вашем отчёте сказано: «Пользователь намеревался совершить действие, как показывает сообщение 482». Рецензент возражает. В чём основная проблема?

Теперь вы умеете превращать необработанные результаты извлечения в обоснованный отчёт.

• Данные приложений представлены в форматах SQLite + plist/XML + protobuf/JSON; декодируйте двоичные блоки явно.
• Для зашифрованных хранилищ (SQLCipher) нужны ключи, полученные в результате глубокого извлечения.
• Внимательно работайте с доказательствами, связанными с местоположением; отличайте подтверждённое присутствие от одного лишь поиска.
• Учитывайте синхронизацию между устройствами и запрашивайте облачные данные только при наличии надлежащих полномочий.
• Перед составлением отчёта проверяйте источник, декодирование и подтверждение другими данными.
• Стройте сводную временную шкалу по UTC, структурируйте отчёт так, чтобы его можно было воспроизвести, и держите факты отдельно от мнения.
• Соблюдайте установленные рамки и действуйте этично — именно это делает доказательства допустимыми.