Le chip-off en forensique des smartphones : possibilités et limites
Le chip-off est l'une des méthodes matérielles les plus connues de la forensique des appareils mobiles. Sur les smartphones actuels, chiffrés, il se heurte à une limite de principe : la puce mémoire contient les données, mais pas la clé.
Vérifié sur le plan technique par Jan Petermann, Fondateur et gérant de smartmodPublié le
Que signifie chip-off ?
Le chip-off désigne le dessoudage du composant mémoire – sur les smartphones, le plus souvent eMMC ou UFS – et la lecture de son contenu brut à l'aide d'un lecteur externe. Le résultat est une image physique de la mémoire, qui est ensuite décodée et analysée.
L'intervention est invasive : une fois le composant dessoudé, l'appareil ne peut plus fonctionner dans son état d'origine tant que le composant n'est pas remis en place.
Quand le chip-off est-il utilisé ?
Mémoires non chiffrées
Smartphones anciens et téléphones mobiles simples sans chiffrement intégral.
Cartes mémoire et systèmes embarqués
Cartes mémoire, clés USB et appareils dont la mémoire n'est pas liée à une zone de sécurité du processeur.
Appareils qui ne peuvent plus fonctionner
Appareils détruits au point de ne plus pouvoir fonctionner – pour autant qu'aucun chiffrement ne s'oppose à la lecture.
Pourquoi le chip-off ne suffit-il souvent pas sur les smartphones modernes ?
Les iPhone et appareils Android actuels chiffrent les données utilisateur par défaut. Sur les appareils récents, Android utilise un chiffrement basé sur les fichiers (File-Based Encryption) ; Apple chiffre via Data Protection avec des clés gérées par la Secure Enclave.
Dans ce cas, une image obtenue par chip-off contient certes les données chiffrées, mais pas le matériel cryptographique lié à l'appareil. Sans celui-ci, le contenu ne peut pas être déchiffré.
Chiffrement et liaison aux composants d'origine
Les clés de déchiffrement sont dérivées d'une clé matérielle ancrée dans l'appareil et – selon la classe de données – du code de verrouillage. La clé matérielle est conçue pour ne pas quitter la zone de sécurité du processeur et ne peut pas être lue.
Concrètement, cela signifie : mémoire et processeur forment une unité. Ce n'est que par l'interaction de ces composants d'origine que les données peuvent redevenir accessibles.
Différence entre chip-off et reconstruction Board-Level
Chip-off
Extrait la mémoire du système et la lit isolément. Résultat : une image brute – sur les appareils chiffrés, du chiffré.
Reconstruction Board-Level
Rétablit les fonctions nécessaires du système d'origine, de sorte que l'appareil travaille avec ses propres clés. Résultat : un appareil qui peut de nouveau être intégré à un workflow d'extraction forensique.
ISP, JTAG et autres méthodes matérielles
Avec l'In-System Programming (ISP), la mémoire est contactée directement sur la carte, sans être dessoudée. JTAG utilise les interfaces de test et de débogage du processeur pour accéder à la mémoire. Ces deux méthodes sont moins invasives que le chip-off, mais supposent que l'interface concernée soit accessible.
Pour le chiffrement, il en va de même qu'avec le chip-off : une image d'une mémoire chiffrée obtenue par ISP ou JTAG est elle aussi illisible sans le matériel cryptographique du système d'origine. Sur de nombreux smartphones actuels, les interfaces de débogage sont en outre désactivées à la livraison.
Quand la reconstruction du matériel d'origine est-elle plus pertinente ?
Chaque fois que l'appareil chiffre ses données et que les composants déterminants pour les données et la cryptographie sont encore intacts. L'objectif n'est alors pas la lecture de la mémoire, mais un système d'origine fonctionnel, de nouveau disponible pour un système d'extraction.
Dans ces cas, le chip-off peut même être contre-productif : dessouder le composant mémoire rompt l'unité avec le processeur – une voie ultérieure via le système d'origine s'en trouve compliquée.
Conclusion
Le chip-off reste une méthode précieuse pour les mémoires non chiffrées, les appareils anciens et les systèmes embarqués. Sur les smartphones modernes et chiffrés, en revanche, la préservation du système d'origine est en règle générale déterminante : la reconstruction Board-Level rétablit les fonctions nécessaires, puis l'extraction s'effectue avec des méthodes forensiques établies. La démarche adaptée à chaque cas est déterminée par un diagnostic technique de l'appareil concerné.
Réponses en bref.
Peut-on dessouder et lire la puce mémoire d'un iPhone ?
Techniquement oui, mais en règle générale pas de manière exploitable en forensique. Les données des iPhone actuels sont chiffrées et le matériel cryptographique est lié à la Secure Enclave du processeur d'origine. L'image lue ne contient donc que des données chiffrées.
Quand le chip-off est-il encore pertinent en forensique des appareils mobiles ?
Pour les mémoires sans chiffrement lié à l'appareil – par exemple les téléphones mobiles anciens, les cartes mémoire et certains systèmes embarqués. Que cela s'applique à un appareil donné dépend du modèle et de la version logicielle.
Sources
- Apple: Apple Platform Security: Secure Enclave
- Android Open Source Project: File-based encryption
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
Dans le même esprit.
Forensic Device Recovery
Reconstruction Board-Level d'appareils mobiles endommagés en vue de l'extraction forensique.
En savoir plusExtraction forensique d'un smartphone endommagé
Quels dommages empêchent l'extraction et ce qui reste alors possible.
En savoir plusChiffrement et récupération de données
BitLocker, FileVault, smartphones et SSD auto-chiffrants.
En savoir plusNous examinons si l’appareil peut être reconstruit.
Pour une première évaluation technique, quelques indications sur l’appareil et le type de dommage suffisent.
Wasserweg 8–10 · 60594 Frankfurt am Main