Chip-Off nella forensica degli smartphone: possibilità e limiti
Il Chip-Off è uno dei metodi a livello hardware più noti della forensica dei dispositivi mobili. Sugli smartphone attuali, cifrati, incontra però un limite di principio: il chip di memoria contiene i dati, ma non la chiave.
Revisione tecnica a cura di Jan Petermann, Fondatore e amministratore delegato di smartmodPubblicato il
Che cosa significa Chip-Off?
Chip-Off indica la dissaldatura del componente di memoria – negli smartphone per lo più eMMC o UFS – e la lettura del suo contenuto grezzo con un lettore esterno. Il risultato è un'immagine fisica della memoria, che viene poi decodificata e analizzata.
L'intervento è invasivo: dopo la dissaldatura il dispositivo non può più funzionare nel suo stato originale, finché il componente non viene rimontato.
Quando si usa il Chip-Off?
Memorie non cifrate
Smartphone meno recenti e telefoni cellulari semplici senza crittografia integrale.
Schede di memoria e sistemi embedded
Schede di memoria, chiavette USB e dispositivi la cui memoria non è vincolata a un'area di sicurezza del processore.
Dispositivi non più funzionanti
Dispositivi distrutti al punto da non poter più essere messi in funzione – purché nessuna crittografia si opponga alla lettura.
Perché sugli smartphone moderni il Chip-Off spesso non basta?
Gli iPhone e i dispositivi Android attuali cifrano i dati utente per impostazione predefinita. Sui dispositivi attuali Android utilizza la crittografia basata su file (File-Based Encryption); Apple cifra tramite Data Protection con chiavi gestite dalla Secure Enclave.
In questo caso un'immagine ottenuta con il Chip-Off contiene sì i dati cifrati, ma non il materiale crittografico vincolato al dispositivo. Senza di esso il contenuto non può essere decifrato.
Crittografia e vincolo ai componenti originali
Le chiavi di decifratura vengono derivate da una chiave hardware ancorata nel dispositivo e – a seconda della classe di dati – dal codice di blocco. La chiave hardware è progettata per non lasciare l'area di sicurezza del processore e non può essere letta.
In pratica significa: memoria e processore formano un'unità. Solo nell'interazione di questi componenti originali i dati possono tornare accessibili.
Differenza tra Chip-Off e ricostruzione Board-Level
Chip-Off
Rimuove la memoria dal sistema e la legge isolatamente. Risultato: un'immagine grezza – sui dispositivi cifrati, testo cifrato.
Ricostruzione Board-Level
Ripristina le funzioni necessarie del sistema originale, in modo che il dispositivo lavori con le proprie chiavi. Risultato: un dispositivo che può di nuovo essere inserito in un workflow di estrazione forense.
ISP, JTAG e altri metodi basati sull'hardware
Con l'In-System Programming (ISP) la memoria viene contattata direttamente sulla scheda, senza dissaldarla. JTAG utilizza le interfacce di test e debug del processore per accedere alla memoria. Entrambi i metodi sono meno invasivi del Chip-Off, ma presuppongono che la rispettiva interfaccia sia accessibile.
Per la crittografia vale lo stesso che per il Chip-Off: anche un'immagine di una memoria cifrata ottenuta tramite ISP o JTAG è illeggibile senza il materiale crittografico del sistema originale. Su molti smartphone attuali, inoltre, le interfacce di debug sono disattivate alla consegna.
Quando conviene ricostruire l'hardware originale?
Ogni volta che il dispositivo cifra i propri dati e i componenti rilevanti per i dati e la crittografia sono ancora integri. L'obiettivo allora non è leggere la memoria, ma un sistema originale funzionante, di nuovo disponibile per un sistema di estrazione.
In questi casi il Chip-Off può essere persino controproducente: dissaldando il componente di memoria si scioglie l'unità con il processore – il che rende più difficile una successiva via attraverso il sistema originale.
Conclusione
Il Chip-Off resta un metodo prezioso per memorie non cifrate, dispositivi meno recenti e sistemi embedded. Sugli smartphone moderni e cifrati, invece, è di regola decisivo preservare il sistema originale: la ricostruzione Board-Level ripristina le funzioni necessarie, l'estrazione avviene poi con metodi forensi consolidati. Quale procedura sia corretta nel singolo caso lo chiarisce una diagnosi tecnica del dispositivo specifico.
Risposte in breve.
Si può dissaldare e leggere il chip di memoria di un iPhone?
Tecnicamente sì, ma di regola non in modo utilizzabile a fini forensi. I dati sugli iPhone attuali sono cifrati e il materiale crittografico è vincolato alla Secure Enclave del processore originale. L'immagine letta contiene quindi solo dati cifrati.
Quando ha ancora senso il Chip-Off nella forensica dei dispositivi mobili?
Per memorie senza crittografia vincolata al dispositivo – ad esempio in telefoni cellulari meno recenti, schede di memoria e alcuni sistemi embedded. Se ciò valga per un dispositivo specifico dipende da modello e versione software.
Fonti
- Apple: Apple Platform Security: Secure Enclave
- Android Open Source Project: File-based encryption
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
Sullo stesso tema.
Forensic Device Recovery
Ricostruzione Board-Level di dispositivi mobili danneggiati per l'estrazione forense.
Scopri di piùEstrazione forense da uno smartphone danneggiato
Quali danni impediscono l'estrazione e che cosa è possibile allora.
Scopri di piùCrittografia e recupero dati
BitLocker, FileVault, smartphone e SSD autocifranti.
Scopri di piùVerifichiamo se il dispositivo è ricostruibile.
Per una prima valutazione tecnica bastano poche indicazioni sul dispositivo e sul tipo di danno.
Wasserweg 8–10 · 60594 Frankfurt am Main