Extraction forensique d’un smartphone endommagé : quelles sont les possibilités ?
Un smartphone physiquement endommagé peut empêcher une extraction forensique, alors même que les données enregistrées sont toujours présentes. La possibilité de les rendre à nouveau accessibles ne dépend généralement pas de la puce mémoire, mais de l’état du reste du matériel d’origine.
Vérifié sur le plan technique par Jan Petermann, Fondateur et gérant de smartmodPublié le
Quand le matériel devient-il un problème pour la forensique ?
Les systèmes d’extraction forensique supposent un appareil qui démarre, communique via son interface et – selon la méthode – peut être placé dans un mode de fonctionnement déterminé. Si l’une de ces conditions fait défaut, l’extraction échoue avant même d’avoir commencé.
Le problème ne réside alors pas dans le logiciel du système d’extraction, mais dans le matériel de la pièce à conviction. Les données peuvent être entièrement présentes – elles ne sont simplement pas accessibles par la voie normale.
Quels dommages empêchent une extraction normale ?
Liquide
Un liquide qui pénètre provoque des courts-circuits et déclenche une corrosion qui continue d’agir même après le séchage – en particulier avec de l’eau salée ou des liquides contaminés.
Corrosion
La corrosion interrompt des pistes et des soudures, souvent sous les blindages et les composants, là où elle n’est pas visible de l’extérieur.
Incendie et chaleur
La chaleur endommage les composants, les soudures et le circuit imprimé lui-même. Ce qui compte, c’est de savoir si les composants pertinents pour les données et la cryptographie ont résisté à la température.
Destruction mécanique
Cartes mères cassées ou tordues, composants arrachés, connecteurs détruits. Dans les circuits multicouches, des pistes internes peuvent se rompre sans que cela soit visible de l’extérieur.
Défauts d’alimentation
Des courts-circuits sur les lignes d’alimentation (Power Rails) ou des circuits de gestion de l’alimentation défectueux empêchent l’appareil de démarrer.
Interfaces défectueuses
Ports USB-C ou Lightning, nappes ou circuits d’interface endommagés : l’appareil démarre le cas échéant, mais n’établit pas de connexion de données avec le système d’extraction.
Pourquoi une simple « lecture de la mémoire » échoue-t-elle souvent sur les smartphones modernes ?
Les iPhone et smartphones Android actuels chiffrent les données utilisateur par défaut. Les clés sont dérivées d’un matériel cryptographique lié à l’appareil et – selon la classe de données – du code de verrouillage. Ce matériel lié à l’appareil est ancré dans une zone de sécurité du système : chez Apple dans la Secure Enclave, sous Android dans une gestion des clés adossée au matériel.
Si la mémoire flash est dessoudée et lue en dehors de l’appareil, on n’obtient donc en règle générale qu’un contenu chiffré. La clé qui permettrait de le rendre lisible reste dans le système d’origine.
Quel rôle joue le matériel d’origine ?
Comme l’accès aux données est lié au système d’origine, sa préservation est, sur les smartphones modernes, généralement la condition préalable à toute intervention ultérieure. Les composants pertinents pour les données et la cryptographie – typiquement le processeur principal avec sa zone de sécurité et la mémoire flash – doivent rester fonctionnels et opérer dans leur ensemble d’origine.
Le remplacement de la carte mère complète ne résout pas le problème : avec la carte disparaîtraient précisément les composants auxquels les données sont liées.
Avant toute intervention
Qu’est-ce que la reconstruction Board-Level ?
La reconstruction Board-Level désigne le rétablissement des fonctions nécessaires directement sur la carte d’origine de l’appareil. L’objectif n’est pas un appareil utilisable au quotidien, mais un état dans lequel le matériel d’origine est de nouveau accessible pour une extraction forensique.
Diagnostic
Examen au microscope et mesures électriques – courts-circuits, tensions d’alimentation, connexions interrompues.
Réparation des pistes et des soudures
Rétablissement des connexions interrompues par microsoldering.
Remplacement de composants non pertinents pour les données
Par exemple dans la zone de l’alimentation ou de l’interface – les composants pertinents pour les données et la cryptographie restent intacts.
BGA-Rework
Dessoudage et ressoudage de composants dont les contacts se présentent sous forme de billes de soudure sous le boîtier.
Transplantation de composants
Si la carte d’origine ne peut plus être sauvée, les composants d’origine pertinents pour les données et la cryptographie peuvent – dans la mesure où cela est techniquement possible – être transférés sur une carte porteuse intacte du même modèle.
Quand le Chip-Off, l’ISP ou d’autres méthodes entrent-ils en ligne de compte ?
Les méthodes proches du matériel comme le Chip-Off, l’In-System Programming (ISP) ou le JTAG accèdent directement à la mémoire ou aux interfaces de débogage. Elles sont établies pour les appareils anciens ou non chiffrés, les téléphones mobiles simples, les cartes mémoire et les systèmes embarqués.
Sur les smartphones actuels chiffrés, elles ne fournissent le plus souvent, pour les raisons évoquées plus haut, que des données brutes chiffrées. La méthode envisageable dans un cas donné dépend de l’appareil, de la version logicielle et du type de dommage – il n’existe pas de recommandation générale.
Que se passe-t-il après une reconstruction réussie ?
Une fois la fonction nécessaire rétablie – par exemple la capacité de démarrage ou la communication de données –, l’appareil est intégré au workflow d’extraction forensique : dans le laboratoire du mandant ou, après accord, dans le laboratoire qui a effectué la reconstruction.
La reconstruction matérielle et l’extraction forensique sont des étapes de travail distinctes. Une reconstruction réussie ne garantit pas l’accès aux données : la possibilité de contourner les verrouillages de l’appareil ou le chiffrement dépend du modèle, de la version du système d’exploitation, de l’état de l’appareil et des méthodes forensiques disponibles.
Les interventions matérielles effectuées devraient être documentées pour chaque dossier, afin qu’il reste possible de retracer dans quel état la pièce à conviction a été reçue, traitée et remise.
De quelles informations le laboratoire a-t-il besoin pour une première évaluation ?
Appareil
Fabricant et modèle, dans la mesure où ils sont connus.
Type de dommage
Liquide, incendie, destruction mécanique, défaut électrique – et depuis quand.
État actuel
L’appareil réagit-il au courant, l’écran affiche-t-il quelque chose, est-il reconnu par un ordinateur ou par le système d’extraction ?
Mesures déjà prises
Tentatives de séchage, de réparation, de récupération de données ou d’extraction.
Photos
De l’appareil et – s’il a déjà été ouvert – de la carte. Pas de documents d’enquête contenant des données personnelles, dans la mesure où ils ne sont pas nécessaires à l’évaluation technique.
Délais
Si un délai court, il doit figurer dans le premier message.
Réponses en bref.
Un smartphone endommagé par l’eau peut-il faire l’objet d’une extraction forensique ?
Souvent oui, surtout s’il parvient rapidement dans un laboratoire. La corrosion continue de progresser après le contact avec le liquide, et les tentatives d’allumage ou de charge peuvent provoquer des courts-circuits supplémentaires. Seul un diagnostic Board-Level permet de savoir si les fonctions nécessaires à l’extraction peuvent être rétablies.
Est-il utile de remplacer la carte mère d’un smartphone endommagé par une carte fonctionnelle ?
Non. Sur les smartphones modernes, les données sont liées à des composants de la carte d’origine. Avec une carte de remplacement, un appareil redémarre certes, mais sans accès aux données d’origine.
Sources
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
- Apple: Apple Platform Security: Data Protection overview
- Android Open Source Project: File-based encryption
Dans le même esprit.
Forensic Device Recovery
Reconstruction Board-Level d’appareils mobiles endommagés en vue de l’extraction forensique.
En savoir plusLe Chip-Off en forensique des smartphones
Possibilités et limites de la méthode sur les appareils chiffrés.
En savoir plusInformatique légale et sécurisation des preuves numériques
Sécurisation et analyse forensiques de supports de données et d’appareils mobiles intacts.
En savoir plusNous examinons si l’appareil peut être reconstruit.
Pour une première évaluation technique, quelques indications sur l’appareil et le type de dommage suffisent.
Wasserweg 8–10 · 60594 Frankfurt am Main