Chip-Off en la forense de smartphones: posibilidades y límites
El Chip-Off es uno de los métodos a nivel de hardware más conocidos de la forense de dispositivos móviles. En los smartphones actuales, cifrados, choca con un límite de principio: el chip de memoria contiene los datos, pero no la clave.
Revisado técnicamente por Jan Petermann, Fundador y director general de smartmodPublicado el
¿Qué significa Chip-Off?
Chip-Off designa el desoldado del componente de memoria – en los smartphones, normalmente eMMC o UFS – y la lectura de su contenido en bruto con un lector externo. El resultado es una imagen física de la memoria, que a continuación se decodifica y se analiza.
La intervención es invasiva: tras el desoldado, el dispositivo ya no puede funcionar en su estado original mientras el componente no se vuelva a colocar.
¿Cuándo se utiliza el Chip-Off?
Memorias sin cifrar
Smartphones antiguos y teléfonos móviles sencillos sin cifrado integral.
Tarjetas de memoria y sistemas embebidos
Tarjetas de memoria, memorias USB y dispositivos cuya memoria no está vinculada a un área de seguridad del procesador.
Dispositivos que ya no pueden funcionar
Dispositivos tan destruidos que ya no pueden ponerse en funcionamiento – siempre que ningún cifrado impida la lectura.
¿Por qué el Chip-Off a menudo no basta en los smartphones modernos?
Los iPhone y los dispositivos Android actuales cifran los datos del usuario por defecto. En los dispositivos actuales, Android utiliza cifrado basado en archivos (File-Based Encryption); Apple cifra mediante Data Protection con claves gestionadas por la Secure Enclave.
En ese caso, una imagen obtenida por Chip-Off contiene los datos cifrados, pero no el material criptográfico vinculado al dispositivo. Sin él, el contenido no puede descifrarse.
Cifrado y vinculación a los componentes originales
Las claves de descifrado se derivan de una clave de hardware anclada en el dispositivo y – según la clase de datos – del código de bloqueo. La clave de hardware está diseñada para no salir del área de seguridad del procesador y no puede leerse.
En la práctica esto significa: memoria y procesador forman una unidad. Solo mediante la interacción de estos componentes originales pueden los datos volver a ser accesibles.
Diferencia entre Chip-Off y reconstrucción Board-Level
Chip-Off
Extrae la memoria del sistema y la lee de forma aislada. Resultado: una imagen en bruto – en dispositivos cifrados, texto cifrado.
Reconstrucción Board-Level
Restablece las funciones necesarias del sistema original, de modo que el dispositivo trabaja con sus propias claves. Resultado: un dispositivo que puede volver a incorporarse a un flujo de trabajo de extracción forense.
ISP, JTAG y otros métodos basados en hardware
Con el In-System Programming (ISP) se contacta la memoria directamente en la placa, sin desoldarla. JTAG utiliza las interfaces de prueba y depuración del procesador para acceder a la memoria. Ambos métodos son menos invasivos que el Chip-Off, pero requieren que la interfaz correspondiente sea accesible.
En cuanto al cifrado, rige lo mismo que con el Chip-Off: también una imagen de una memoria cifrada obtenida por ISP o JTAG es ilegible sin el material criptográfico del sistema original. Además, en muchos smartphones actuales las interfaces de depuración vienen desactivadas de fábrica.
¿Cuándo conviene más reconstruir el hardware original?
Siempre que el dispositivo cifre sus datos y los componentes relevantes para los datos y la criptografía sigan intactos. El objetivo entonces no es leer la memoria, sino un sistema original operativo que vuelva a estar disponible para un sistema de extracción.
En estos casos el Chip-Off puede ser incluso contraproducente: al desoldar el componente de memoria se disuelve la unidad con el procesador – lo que dificulta una vía posterior a través del sistema original.
Conclusión
El Chip-Off sigue siendo un método valioso para memorias sin cifrar, dispositivos antiguos y sistemas embebidos. En los smartphones modernos y cifrados, en cambio, lo decisivo es por regla general conservar el sistema original: la reconstrucción Board-Level restablece las funciones necesarias y la extracción se realiza después con métodos forenses consolidados. Qué procedimiento es el adecuado en cada caso lo determina un diagnóstico técnico del dispositivo concreto.
Respondido en breve.
¿Se puede desoldar y leer el chip de memoria de un iPhone?
Técnicamente sí, pero por regla general no de forma aprovechable forensemente. Los datos de los iPhone actuales están cifrados y el material criptográfico está vinculado a la Secure Enclave del procesador original. Por eso la imagen leída solo contiene datos cifrados.
¿Cuándo sigue teniendo sentido el Chip-Off en la forense de dispositivos móviles?
En memorias sin cifrado vinculado al dispositivo – por ejemplo, en teléfonos móviles antiguos, tarjetas de memoria y algunos sistemas embebidos. Si esto se aplica a un dispositivo concreto depende del modelo y de la versión de software.
Fuentes
- Apple: Apple Platform Security: Secure Enclave
- Android Open Source Project: File-based encryption
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
En la misma línea.
Forensic Device Recovery
Reconstrucción Board-Level de dispositivos móviles dañados para la extracción forense.
Saber másExtracción forense de un smartphone dañado
Qué daños impiden la extracción y qué es posible entonces.
Saber másCifrado y recuperación de datos
BitLocker, FileVault, smartphones y SSD autocifrados.
Saber másComprobamos si el dispositivo se puede reconstruir.
Para una primera evaluación técnica bastan unos pocos datos sobre el dispositivo y el tipo de daño.
Wasserweg 8–10 · 60594 Frankfurt am Main