Extracción forense de un smartphone dañado: ¿qué posibilidades hay?
Un smartphone dañado físicamente puede impedir una extracción forense aunque los datos almacenados sigan estando presentes. Que vuelvan a ser accesibles no suele decidirse en el chip de memoria, sino en el estado del resto del hardware original.
Revisado técnicamente por Jan Petermann, Fundador y director general de smartmodPublicado el
¿Cuándo se convierte el hardware en un problema para la informática forense?
Los sistemas de extracción forense presuponen un dispositivo que arranque, se comunique a través de su interfaz y – según el procedimiento – pueda ponerse en un modo de funcionamiento determinado. Si falla uno de estos requisitos, la extracción fracasa antes de haber empezado.
El problema no está entonces en el software del sistema de extracción, sino en el hardware de la evidencia. Los datos pueden estar completos: simplemente no son accesibles por la vía habitual.
¿Qué daños impiden una extracción habitual?
Líquido
El líquido que penetra provoca cortocircuitos y desencadena una corrosión que sigue avanzando incluso después del secado – sobre todo con agua salada o líquidos contaminados.
Corrosión
La corrosión interrumpe pistas y puntos de soldadura, a menudo bajo blindajes y componentes, donde no es visible desde fuera.
Incendio y calor
El calor daña los componentes, las uniones soldadas y la propia placa de circuito. Lo decisivo es si los componentes relevantes para los datos y la criptografía han resistido la temperatura.
Destrucción mecánica
Placas base rotas o dobladas, componentes arrancados, conectores destruidos. En las placas multicapa pueden romperse pistas internas sin que sea visible desde fuera.
Fallos en la alimentación
Los cortocircuitos en las líneas de alimentación (Power Rails) o los circuitos de gestión de energía defectuosos impiden que el dispositivo llegue siquiera a arrancar.
Interfaces defectuosas
Puertos USB-C o Lightning, cables flex o circuitos de interfaz dañados: el dispositivo puede llegar a arrancar, pero no establece una conexión de datos con el sistema de extracción.
¿Por qué una simple «lectura de la memoria» a menudo no funciona en los smartphones modernos?
Los iPhone y smartphones Android actuales cifran los datos del usuario de forma predeterminada. Las claves se derivan de material criptográfico vinculado al dispositivo y – según la clase de datos – del código de bloqueo. El material vinculado al dispositivo está anclado en un área de seguridad del sistema: en Apple, en la Secure Enclave; en Android, en una gestión de claves respaldada por hardware.
Si la memoria flash se desuelda y se lee fuera del dispositivo, por regla general solo se obtiene contenido cifrado. La clave que lo haría legible permanece en el sistema original.
¿Qué papel desempeña el hardware original?
Como el acceso a los datos está vinculado al sistema original, su conservación es, en los smartphones modernos, por lo general el requisito de cualquier trabajo posterior. Los componentes relevantes para los datos y la criptografía – típicamente el procesador principal con su área de seguridad y la memoria flash – deben seguir funcionando y operar en su conjunto original.
Sustituir la placa base completa no resuelve el problema: con la placa desaparecerían precisamente los componentes a los que están vinculados los datos.
Antes de cualquier intervención
¿Qué es la reconstrucción Board-Level?
La reconstrucción Board-Level designa el restablecimiento de las funciones necesarias directamente en la placa original del dispositivo. El objetivo no es un dispositivo apto para el uso diario, sino un estado en el que el hardware original vuelva a ser accesible para una extracción forense.
Diagnóstico
Examen al microscopio y medición eléctrica – cortocircuitos, tensiones de alimentación, conexiones interrumpidas.
Reparación de pistas y puntos de soldadura
Restablecimiento de conexiones interrumpidas mediante Microsoldering.
Sustitución de componentes no relevantes para los datos
Por ejemplo, en la zona de la alimentación o de la interfaz; los componentes relevantes para los datos y la criptografía permanecen intactos.
BGA rework
Desoldadura y nueva soldadura de componentes cuyos contactos son bolas de soldadura situadas bajo el encapsulado.
Trasplante de componentes
Si la placa original ya no se puede salvar, los componentes originales relevantes para los datos y la criptografía pueden – en la medida en que sea técnicamente posible – transferirse a una placa portadora intacta del mismo modelo.
¿Cuándo entran en consideración el Chip-Off, el ISP u otros procedimientos?
Los procedimientos cercanos al hardware como el Chip-Off, el In-System Programming (ISP) o el JTAG acceden directamente a la memoria o a interfaces de depuración. Están consolidados para dispositivos antiguos o no cifrados, teléfonos móviles sencillos, tarjetas de memoria y sistemas embebidos.
En los smartphones actuales cifrados, por las razones expuestas, la mayoría de las veces solo proporcionan datos brutos cifrados. Qué procedimiento es viable en cada caso depende del dispositivo, la versión de software y el tipo de daño: no existe una recomendación general.
¿Qué ocurre tras una reconstrucción satisfactoria?
Una vez restablecida la función necesaria – por ejemplo, la capacidad de arranque o la comunicación de datos –, el dispositivo se incorpora al flujo de trabajo de extracción forense: en el laboratorio del cliente o, previo acuerdo, en el laboratorio que ha realizado la reconstrucción.
La reconstrucción del hardware y la extracción forense son pasos de trabajo distintos. Una reconstrucción satisfactoria no garantiza el acceso a los datos: que se puedan superar los bloqueos del dispositivo o el cifrado depende del modelo, la versión del sistema operativo, el estado del dispositivo y los procedimientos forenses disponibles.
Las intervenciones de hardware realizadas deberían documentarse caso por caso, de modo que siga siendo trazable en qué estado se recibió, procesó y entregó la evidencia.
¿Qué información necesita el laboratorio para una primera evaluación?
Dispositivo
Fabricante y modelo, en la medida en que se conozcan.
Tipo de daño
Líquido, incendio, destrucción mecánica, defecto eléctrico – y desde cuándo.
Estado actual
¿Reacciona el dispositivo a la corriente, muestra algo la pantalla, lo reconoce el ordenador o el sistema de extracción?
Medidas adoptadas hasta ahora
Intentos de secado, reparación, recuperación de datos o extracción.
Fotos
Del dispositivo y – si ya se ha abierto – de la placa. Ninguna documentación de investigación con datos personales, salvo que sea necesaria para la evaluación técnica.
Plazos
Si hay un plazo en curso, debe figurar en el primer mensaje.
Respondido en breve.
¿Se puede realizar una extracción forense de un smartphone con daños por agua?
A menudo sí, sobre todo si llega rápidamente a un laboratorio. La corrosión sigue avanzando tras el contacto con el líquido, y los intentos de encenderlo o cargarlo pueden provocar cortocircuitos adicionales. Solo un diagnóstico Board-Level muestra si es posible restablecer las funciones necesarias para la extracción.
¿Sirve de algo sustituir la placa base de un smartphone dañado por otra que funcione?
No. En los smartphones modernos, los datos están vinculados a componentes de la placa original. Con una placa de repuesto el dispositivo vuelve a arrancar, pero sin acceso a los datos originales.
Fuentes
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
- Apple: Apple Platform Security: Data Protection overview
- Android Open Source Project: File-based encryption
En la misma línea.
Forensic Device Recovery
Reconstrucción Board-Level de dispositivos móviles dañados para la extracción forense.
Saber másChip-Off en la informática forense de smartphones
Posibilidades y límites del procedimiento en dispositivos cifrados.
Saber másInformática forense y aseguramiento de pruebas digitales
Aseguramiento y análisis forenses de soportes de datos y dispositivos móviles intactos.
Saber másComprobamos si el dispositivo se puede reconstruir.
Para una primera evaluación técnica bastan unos pocos datos sobre el dispositivo y el tipo de daño.
Wasserweg 8–10 · 60594 Frankfurt am Main