Основы мобильной криминалистики

Мобильная криминалистика — это дисциплина, занимающаяся восстановлением цифровых доказательств со смартфонов, планшетов и носимых устройств с соблюдением требований криминалистики. В отличие от криминалистики дисков, мобильные устройства постоянно включены, непрерывно синхронизируются и надежно зашифрованы.

• Доказательства хранятся во флеш-памяти (NAND), RAM, SIM и облачных резервных копиях.
• Устройства по умолчанию заблокированы, зашифрованы и допускают удаленное стирание.
• Цель: извлечь данные без их изменения, а затем доказать их целостность в суде.

Специалисты должны сочетать техническое извлечение данных со строгим юридическим разрешением (ордером, согласием или корпоративной политикой).

Сначала фиксируйте наиболее изменчивые данные, поскольку они исчезают быстрее всего. Мобильные устройства добавляют уникальные изменчивые источники.

• RAM / работающие процессы — теряются при выключении питания.
• Состояние сети, сотовые соединения — постоянно меняются.
• Несинхронизированные данные приложений — могут быть перезаписаны.
• Постоянная флеш-память — наименее изменчива.

Работающее устройство может автоматически удалять сообщения, ротировать журналы или получить команду на удаленное стирание. Быстрые действия с изменчивыми источниками сохраняют доказательства, которые иначе были бы утрачены.

Первое физическое действие — изолировать радиосвязь. Устройство, подключенное к сотовой сети или беспроводной сети, могут удаленно заблокировать или стереть до того, как Вы создадите его образ.

• Используйте сумку Фарадея или экранированный контейнер, чтобы заблокировать весь RF.
• Если изоляция невозможна, включите авиарежим, зафиксировав каждое нажатие.
• Никогда не выключайте телефон, состояние которого Вы еще не оценили: загрузка может активировать шифрование данных в состоянии покоя, которое впоследствии невозможно обойти.

Держите устройство заряженным внутри сумки: разряженная батарея может привести к состоянию холодной загрузки, при котором будут утрачены доказательства из RAM.

Доказательства полезны только в том случае, если обращение с ними задокументировано и не прерывалось. Цепочка хранения фиксирует, кто работал с устройством, когда и зачем.

• Запишите время и место изъятия, состояние устройства (включено или выключено, заблокировано или разблокировано).
• Регистрируйте каждую передачу, включая подписи и временные метки.
• Сфотографируйте экран, IMEI и все видимые повреждения.

Зафиксируйте идентификаторы до извлечения данных. Примеры полей, которые нужно заполнить при первоначальной приемке:

Существует диапазон глубины извлечения данных, и каждый метод по-разному сочетает полноту и степень вмешательства.

• Вручную — специалист просматривает работающий интерфейс и фотографирует экраны. Быстро, без инструментов, но изменяет состояние устройства.
• Логическое — извлекает файлы и базы данных через интерфейсы устройства (резервная копия, ADB, AFC). Удаленные данные не обнаруживаются.
• Файловая система — полное дерево каталогов, включая изолированные среды приложений и файлы журналов SQLite WAL.
• Физическое — побитовый образ NAND, включая нераспределенное пространство и пространство удаленных данных. Наиболее полный, но его сложнее всего получить на современных зашифрованных устройствах.

Выбирайте наименее инвазивный метод, достаточный для расследования.

Чтобы доказать, что образ не изменялся, вычислите криптографический хеш при извлечении и повторно проверьте его перед анализом.

• Используйте SHA-256 (MD5 допустим только для перекрестной проверки устаревших систем).
• Хеш должен совпадать для каждой копии и при каждой передаче.
• Всегда анализируйте рабочую копию, а не оригинал.

Создайте и проверьте хеш извлеченного образа:

Современные телефоны по умолчанию шифруют хранилище, поэтому физические образы бесполезны без ключей.

• Шифрование Android на основе файлов (FBE) получает ключи из учетных данных пользователя и хранилища ключей, защищенного аппаратными средствами.
• Защита данных iOS связывает ключи файлов с кодом-паролем и защищенным анклавом.
• В состоянии BFU (Before First Unlock) с устройства выгружено большинство ключей; в состоянии AFU (After First Unlock) многие ключи остаются в памяти.

Когда это законно и возможно, извлекайте данные, пока устройство находится в состоянии AFU: расшифровать удается значительно больше данных.

Понимание состояний блокировки определяет, что именно можно восстановить.

• BFU (Before First Unlock): устройство загрузилось, но после включения еще ни разу не было разблокировано. Почти все данные зашифрованы; доступны только минимальные метаданные.
• AFU (After First Unlock): пользователь хотя бы один раз разблокировал устройство. Ключи файлов находятся в RAM, поэтому логическое извлечение и извлечение файловой системы дают большой объем данных, даже если устройство сейчас заблокировано.

Практическое правило: держите изъятое устройство включенным и не перезагружайте его. После перезагрузки оно снова перейдет в BFU, и доступ к ключам, защищенным кодом-паролем, может быть утрачен.

Телефон — не единственный источник данных. Два дополнительных хранилища часто оказываются решающими.

• SIM-карта: ICCID, IMSI, сохраненные контакты, а иногда и SMS. Считывайте данные специальным устройством для чтения SIM-карт, чтобы не прикасаться к телефону.
• Облачные резервные копии: iCloud, Google и резервные копии отдельных приложений (WhatsApp, Signal). Они часто содержат данные, удаленные с устройства.

Для получения данных из облака требуется отдельное юридическое разрешение (ордер или судебная повестка) и надлежащие учетные данные — никогда не получайте доступ к учетной записи без соответствующего разрешения.

Специалисты сочетают коммерческие комплексы с инструментами с открытым исходным кодом для перекрестной проверки.

• Коммерческие: Cellebrite UFED, Magnet AXIOM, MSAB XRY — широкая поддержка устройств и автоматический анализ.
• С открытым исходным кодом: отладочный мост Android (ADB), libimobiledevice, ALEAPP/iLEAPP, autopsy.

Логическое извлечение с устройства Android с включенной отладкой может начинаться с ADB:

Каждое действие должно быть воспроизводимо третьей стороной. Заметки, сделанные одновременно с действиями, превращают необработанные результаты извлечения в допустимые в суде доказательства.

• Записывайте название инструмента, версию и точные команды.
• Указывайте временные метки в UTC и любые отклонения от процедуры.
• Разделяйте факты (что показывают данные) и интерпретацию.

Если Вы не можете объяснить, как определенная часть данных попала в отчет, ее не должно быть в отчете.

Изъятый телефон Android поступил включенным; ранее в течение дня его уже разблокировали, а теперь на нем отображается экран блокировки. Почему следует избегать его перезагрузки?

Теперь у Вас есть базовая модель надежной мобильной криминалистики.

• Изолируйте устройство (сумкой Фарадея), чтобы предотвратить удаленное стирание.
• Соблюдайте порядок изменчивости данных и не перезагружайте устройства в состоянии AFU.
• Поддерживайте непрерывную цепочку хранения доказательств и вычисляйте хеш каждого образа с помощью SHA-256.
• Выбирайте наименее инвазивный способ извлечения, соответствующий потребностям дела.
• Шифрование (FBE / защита данных) и состояние BFU или AFU определяют, какие данные можно восстановить.
• Документируйте инструменты, версии, команды и временные метки UTC для воспроизводимости.

Далее: практическое извлечение и анализ данных с Android.