Grunderna i mobil forensik

Den första fysiska åtgärden är radioisolering. En enhet som är ansluten till mobilnät eller Wi-Fi kan fjärrlåses eller fjärraderas innan ni avbildar den.

• Använd en Faraday-påse eller en avskärmad behållare för att blockera all RF.
• Om isolering är omöjlig, aktivera Airplane Mode och dokumentera varje tryckning.
• Stäng aldrig av en telefon som ni inte har bedömt – uppstarten kan utlösa kryptering i vila som ni senare inte kan kringgå.

Håll enheten laddad i påsen; ett urladdat batteri kan tvinga fram ett kallstartstillstånd som gör att bevis i RAM går förlorade.

Bevis är bara användbara om hanteringen är dokumenterad och obruten. Beviskedjan dokumenterar vem som hanterat enheten, när och varför.

• Dokumentera tidpunkt och plats för beslaget samt enhetens tillstånd (påslagen/avstängd, låst/upplåst).
• Logga varje överlämning med signaturer och tidsstämplar.
• Fotografera skärmen, IMEI och synliga skador.

Dokumentera identifierare före insamlingen. Exempel på fält att fylla i vid registrering:

Det finns ett spektrum av extraktionsdjup, där varje metod innebär en avvägning mellan fullständighet och intrusivitet.

• Manuell – analytikern bläddrar i det aktiva användargränssnittet och fotograferar skärmar. Snabbt och utan verktyg, men ändrar tillståndet.
• Logisk – hämtar filer och databaser via enhetens API:er (säkerhetskopia, ADB, AFC). Missar raderade data.
• Filsystem – hela katalogträdet, inklusive appsandlådor och SQLite WAL-filer.
• Fysisk – en bit-för-bit-avbildning av NAND, inklusive oallokerat och raderat utrymme. Mest komplett, men svårast att få fram på moderna krypterade enheter.

Välj den minst ingripande metoden som uppfyller utredningens behov.

För att bevisa att en avbild inte har ändrats beräknar ni en kryptografisk hash vid insamlingen och verifierar den igen före analysen.

• Använd SHA-256 (MD5 är endast godtagbart för äldre korskontroller).
• Hashvärdet måste stämma för varje kopia och vid varje överlämning.
• Arbeta alltid med en arbetskopia, aldrig originalet.

Generera och verifiera en hash av en extraherad avbild:

Moderna telefoner krypterar lagringen som standard, vilket gör fysiska avbilder oanvändbara utan nycklar.

• Android File-Based Encryption (FBE) härleder nycklar från användarens autentiseringsuppgift och en hårdvarubaserad keystore.
• iOS Data Protection knyter filnycklarna till lösenkoden och Secure Enclave.
• En enhet i tillståndet BFU (Before First Unlock) har fått de flesta nycklarna borttagna; AFU (After First Unlock) behåller många nycklar i minnet.

När det är lagligt och möjligt bör ni samla in data medan enheten är i AFU-tillståndet – betydligt mer data kan dekrypteras.

Förståelse av låstillstånd avgör vad ni kan återställa.

• BFU (Before First Unlock): enheten har startats men aldrig låsts upp sedan den startades. Nästan allt är krypterat; endast minimala metadata är åtkomliga.
• AFU (After First Unlock): användaren har låst upp enheten minst en gång. Filnycklarna finns kvar i RAM, så logiska extraktioner och filsystemsextraktioner ger omfattande data även om enheten för närvarande är låst.

Praktisk regel: håll en beslagtagen enhet påslagen och starta inte om den. En omstart försätter den åter i BFU och kan göra att åtkomsten till de lösenkodsskyddade nycklarna går förlorad.

Telefonen är inte den enda datakällan. Två närliggande datalager är ofta avgörande.

• SIM-kort: ICCID, IMSI, sparade kontakter och ibland SMS. Läs kortet med en särskild SIM-läsare för att undvika att röra telefonen.
• Molnsäkerhetskopior: iCloud, Google och appspecifika säkerhetskopior (WhatsApp, Signal). De innehåller ofta data som har raderats från enheten.

Insamling från molnet kräver separat rättsligt tillstånd (beslut/föreläggande) och korrekta inloggningsuppgifter – få aldrig åtkomst till ett konto som ni saknar behörighet till.

Forensiker kombinerar kommersiella programpaket med verktyg med öppen källkod för korsvalidering.

• Kommersiella: Cellebrite UFED, Magnet AXIOM, MSAB XRY – brett enhetsstöd och automatisk tolkning.
• Öppen källkod: Android Debug Bridge (ADB), libimobiledevice, ALEAPP/iLEAPP, autopsy.

En logisk hämtning från en Android-enhet med felsökning aktiverad kan börja med ADB:

Varje åtgärd måste kunna upprepas av en utomstående. Löpande anteckningar omvandlar råa extraktioner till bevis som kan godtas i domstol.

• Dokumentera verktygets namn och version samt de exakta kommandon som användes.
• Notera tidsstämplar i UTC och alla avvikelser från proceduren.
• Skilj mellan fakta (vad data visar) och tolkning.

Om ni inte kan förklara hur en datapost hamnade i rapporten ska den inte finnas i rapporten.

Nu har ni den grundläggande tankemodellen för korrekt mobilforensik.

• Isolera enheten (Faraday-påse) för att förhindra fjärradering.
• Respektera flyktighetsordningen och starta inte om enheter i AFU-tillstånd.
• Upprätthåll en obruten beviskedja och beräkna en hash för varje avbild med SHA-256.
• Välj den minst ingripande insamlingsmetod som uppfyller ärendets behov.
• Kryptering (FBE / Data Protection) samt tillståndet BFU kontra AFU avgör vad som kan återställas.
• Dokumentera verktyg, versioner, kommandon och tidsstämplar i UTC så att arbetet kan upprepas.

Nästa steg: praktisk insamling och analys av Android-data.