Estrazione forense da uno smartphone danneggiato: quali possibilità ci sono?
Uno smartphone fisicamente danneggiato può impedire un’estrazione forense, anche se i dati memorizzati sono ancora presenti. Se possano tornare accessibili non dipende di solito dal chip di memoria, ma dallo stato del resto dell’hardware originale.
Revisione tecnica a cura di Jan Petermann, Fondatore e amministratore delegato di smartmodPubblicato il
Quando l’hardware diventa un problema per l’informatica forense?
I sistemi di estrazione forense presuppongono un dispositivo che si avvii, comunichi tramite la propria interfaccia e – a seconda della procedura – possa essere portato in una determinata modalità operativa. Se viene a mancare uno di questi presupposti, l’estrazione fallisce prima ancora di iniziare.
Il problema non risiede allora nel software del sistema di estrazione, ma nell’hardware del reperto. I dati possono essere presenti per intero – semplicemente non sono raggiungibili per la via ordinaria.
Quali danni impediscono un’estrazione ordinaria?
Liquidi
Il liquido che penetra provoca cortocircuiti e innesca una corrosione che continua ad agire anche dopo l’asciugatura – soprattutto con acqua salata o liquidi contaminati.
Corrosione
La corrosione interrompe piste e punti di saldatura, spesso sotto gli schermi e i componenti, dove dall’esterno non è visibile.
Incendio e calore
Il calore danneggia i componenti, le giunzioni saldate e il circuito stampato stesso. Decisivo è se i componenti rilevanti per i dati e la crittografia abbiano resistito alla temperatura.
Distruzione meccanica
Schede logiche rotte o piegate, componenti strappati, connettori distrutti. Nei circuiti multistrato le piste interne possono rompersi senza che ciò sia visibile dall’esterno.
Guasti all’alimentazione
Cortocircuiti sulle linee di alimentazione (Power Rails) o circuiti di gestione dell’alimentazione difettosi impediscono al dispositivo persino di avviarsi.
Interfacce difettose
Porte USB-C o Lightning, cavi flessibili o circuiti di interfaccia danneggiati: il dispositivo può eventualmente avviarsi, ma non stabilisce una connessione dati con il sistema di estrazione.
Perché una semplice «lettura della memoria» spesso non funziona sugli smartphone moderni?
Gli iPhone e gli smartphone Android attuali cifrano i dati dell’utente per impostazione predefinita. Le chiavi vengono derivate da materiale crittografico legato al dispositivo e – a seconda della classe di dati – dal codice di blocco. Il materiale legato al dispositivo è ancorato in un’area di sicurezza del sistema: in Apple nella Secure Enclave, in Android in una gestione delle chiavi basata sull’hardware.
Se la memoria flash viene dissaldata e letta al di fuori del dispositivo, si ottiene quindi di norma solo contenuto cifrato. La chiave che lo renderebbe leggibile rimane nel sistema originale.
Che ruolo ha l’hardware originale?
Poiché l’accesso ai dati è legato al sistema originale, negli smartphone moderni la sua conservazione è per lo più il presupposto di ogni lavoro successivo. I componenti rilevanti per i dati e la crittografia – tipicamente il processore principale con la sua area di sicurezza e la memoria flash – devono restare funzionanti e operare nel loro insieme originale.
Sostituire l’intera scheda logica non risolve il problema: insieme alla scheda sparirebbero proprio i componenti a cui i dati sono legati.
Prima di qualsiasi intervento
Che cos’è la ricostruzione Board-Level?
La ricostruzione Board-Level indica il ripristino delle funzioni necessarie direttamente sulla scheda originale del dispositivo. L’obiettivo non è un dispositivo utilizzabile nella vita quotidiana, ma uno stato in cui l’hardware originale sia di nuovo raggiungibile per un’estrazione forense.
Diagnosi
Esame al microscopio e misurazione elettrica – cortocircuiti, tensioni di alimentazione, collegamenti interrotti.
Riparazione di piste e punti di saldatura
Ripristino dei collegamenti interrotti mediante Microsoldering.
Sostituzione di componenti non rilevanti per i dati
Ad esempio nell’area dell’alimentazione o dell’interfaccia – i componenti rilevanti per i dati e la crittografia restano intatti.
BGA rework
Dissaldatura e risaldatura di componenti i cui contatti si trovano come sfere di saldatura sotto il package.
Trapianto di componenti
Se la scheda originale non può più essere salvata, i componenti originali rilevanti per i dati e la crittografia possono – per quanto tecnicamente possibile – essere trasferiti su una scheda portante integra dello stesso modello.
Quando entrano in considerazione Chip-Off, ISP o altre procedure?
Le procedure vicine all’hardware come Chip-Off, In-System Programming (ISP) o JTAG accedono direttamente alla memoria o alle interfacce di debug. Sono consolidate per dispositivi più vecchi o non cifrati, telefoni cellulari semplici, schede di memoria e sistemi embedded.
Sugli smartphone attuali cifrati, per i motivi indicati sopra, forniscono per lo più solo dati grezzi cifrati. Quale procedura sia praticabile nel singolo caso dipende dal dispositivo, dalla versione del software e dal tipo di danno – non esiste una raccomandazione generale.
Che cosa succede dopo una ricostruzione riuscita?
Una volta ripristinata la funzione necessaria – ad esempio la capacità di avvio o la comunicazione dati –, il dispositivo viene avviato al workflow di estrazione forense: nel laboratorio del committente o, previo accordo, nel laboratorio che ha eseguito la ricostruzione.
Ricostruzione hardware ed estrazione forense sono fasi di lavoro distinte. Una ricostruzione riuscita non garantisce l’accesso ai dati: se i blocchi del dispositivo o la crittografia possano essere superati dipende dal modello, dalla versione del sistema operativo, dallo stato del dispositivo e dalle procedure forensi disponibili.
Gli interventi hardware eseguiti dovrebbero essere documentati caso per caso, in modo che resti ricostruibile in quale stato il reperto è stato preso in carico, lavorato e consegnato.
Di quali informazioni ha bisogno il laboratorio per una prima valutazione?
Dispositivo
Produttore e modello, se noti.
Tipo di danno
Liquidi, incendio, distruzione meccanica, guasto elettrico – e da quando.
Stato attuale
Il dispositivo reagisce alla corrente, il display mostra qualcosa, viene riconosciuto dal computer o dal sistema di estrazione?
Interventi finora effettuati
Tentativi di asciugatura, riparazione, recupero dati o estrazione.
Foto
Del dispositivo e – se già aperto – della scheda. Nessuna documentazione investigativa con dati personali, salvo che sia necessaria per la valutazione tecnica.
Scadenze
Se è in corso una scadenza, va indicata nel primo messaggio.
Risposte in breve.
È possibile eseguire un’estrazione forense da uno smartphone con danni da acqua?
Spesso sì, soprattutto se arriva rapidamente in un laboratorio. Dopo il contatto con il liquido la corrosione continua a progredire, e i tentativi di accensione o di ricarica possono causare ulteriori cortocircuiti. Solo una diagnosi Board-Level mostra se le funzioni necessarie per l’estrazione possono essere ripristinate.
Serve sostituire la scheda logica di uno smartphone danneggiato con una funzionante?
No. Negli smartphone moderni i dati sono legati a componenti della scheda originale. Con una scheda sostitutiva il dispositivo si avvia di nuovo, ma senza accesso ai dati originali.
Fonti
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
- Apple: Apple Platform Security: Data Protection overview
- Android Open Source Project: File-based encryption
Sullo stesso tema.
Forensic Device Recovery
Ricostruzione Board-Level di dispositivi mobili danneggiati per l’estrazione forense.
Scopri di piùChip-Off nell’informatica forense degli smartphone
Possibilità e limiti della procedura sui dispositivi cifrati.
Scopri di piùInformatica forense e acquisizione delle prove digitali
Acquisizione e analisi forensi di supporti di memoria e dispositivi mobili integri.
Scopri di piùVerifichiamo se il dispositivo è ricostruibile.
Per una prima valutazione tecnica bastano poche indicazioni sul dispositivo e sul tipo di danno.
Wasserweg 8–10 · 60594 Frankfurt am Main