Beschadigde smartphone forensisch uitlezen: welke mogelijkheden zijn er?
Een fysiek beschadigde smartphone kan een forensische extractie verhinderen, terwijl de opgeslagen gegevens zelf nog aanwezig zijn. Of ze weer bereikbaar worden, wordt meestal niet door de geheugenchip bepaald, maar door de toestand van de overige originele hardware.
Inhoudelijk gecontroleerd door Jan Petermann, Oprichter & directeur smartmodGepubliceerd op
Wanneer wordt hardware een probleem voor de forensiek?
Forensische extractiesystemen veronderstellen een apparaat dat opstart, via zijn interface communiceert en – afhankelijk van de methode – in een bepaalde bedrijfsmodus kan worden gezet. Valt een van deze voorwaarden weg, dan mislukt de extractie nog voordat ze is begonnen.
Het probleem ligt dan niet in de software van het extractiesysteem, maar in de hardware van het bewijsstuk. De gegevens kunnen volledig aanwezig zijn – ze zijn alleen via de reguliere weg niet bereikbaar.
Welke schade verhindert een reguliere extractie?
Vloeistof
Binnendringende vloeistof veroorzaakt kortsluiting en zet corrosie in gang die ook na het drogen doorwerkt – vooral bij zout water of verontreinigde vloeistoffen.
Corrosie
Corrosie onderbreekt printsporen en soldeerverbindingen, vaak onder afschermkapjes en componenten, waar ze van buitenaf niet zichtbaar is.
Brand en hitte
Hitte beschadigt componenten, soldeerverbindingen en de printplaat zelf. Doorslaggevend is of de data- en cryptografierelevante componenten de temperatuur hebben overleefd.
Mechanische vernieling
Gebroken of verbogen logicboards, afgerukte componenten, vernielde connectoren. In meerlaagse printplaten kunnen interne sporen breken zonder dat het van buitenaf zichtbaar is.
Fouten in de voeding
Kortsluiting op voedingslijnen (Power Rails) of defecte power-management-IC’s verhinderen dat het apparaat überhaupt opstart.
Defecte interfaces
Beschadigde USB-C- of Lightning-poorten, flexkabels of interface-IC’s: het apparaat start onder omstandigheden op, maar maakt geen dataverbinding met het extractiesysteem.
Waarom werkt eenvoudig „geheugen uitlezen” bij moderne smartphones vaak niet?
Actuele iPhones en Android-smartphones versleutelen de gebruikersgegevens standaard. De sleutels worden afgeleid uit apparaatgebonden sleutelmateriaal en – afhankelijk van de gegevensklasse – de toegangscode. Het apparaatgebonden materiaal is verankerd in een beveiligingsgebied van het systeem: bij Apple in de Secure Enclave, bij Android in een hardwarematig ondersteund sleutelbeheer.
Wordt het flashgeheugen uitgesoldeerd en buiten het apparaat uitgelezen, dan is er daarom in de regel alleen versleutelde inhoud. De sleutel die deze leesbaar zou maken, blijft in het originele systeem achter.
Welke rol speelt de originele hardware?
Omdat de toegang tot de gegevens aan het originele systeem is gebonden, is het behoud daarvan bij moderne smartphones meestal de voorwaarde voor elk verder werk. De data- en cryptografierelevante componenten – doorgaans de hoofdprocessor met zijn beveiligingsgebied en het flashgeheugen – moeten functioneel blijven en in hun oorspronkelijke samenstelling werken.
Het vervangen van het complete logicboard lost het probleem niet op: met het board zouden precies de componenten verdwijnen waaraan de gegevens gebonden zijn.
Vóór elke ingreep
Wat is Board-Level-reconstructie?
Board-Level-reconstructie staat voor het herstellen van de benodigde functies direct op de originele printplaat van het apparaat. Het doel is geen apparaat dat geschikt is voor dagelijks gebruik, maar een toestand waarin de originele hardware weer bereikbaar is voor een forensische extractie.
Diagnose
Microscopisch onderzoek en elektrische meting – kortsluitingen, voedingsspanningen, onderbroken verbindingen.
Reparatie van printsporen en soldeerverbindingen
Herstel van onderbroken verbindingen door Microsoldering.
Vervanging van niet-datarelevante componenten
Bijvoorbeeld in het gebied van de voeding of de interface – de data- en cryptografierelevante componenten blijven onaangeroerd.
BGA-rework
Uit- en weer insolderen van componenten waarvan de contacten als soldeerbolletjes onder de behuizing liggen.
Componenttransplantatie
Is de originele printplaat niet meer te redden, dan kunnen de data- en cryptografierelevante originele componenten – voor zover technisch mogelijk – worden overgebracht naar een intacte dragerprintplaat van hetzelfde model.
Wanneer komen Chip-Off, ISP of andere methoden in aanmerking?
Hardwarenabije methoden zoals Chip-Off, In-System Programming (ISP) of JTAG benaderen het geheugen of debug-interfaces rechtstreeks. Ze zijn gangbaar bij oudere of onversleutelde apparaten, eenvoudige mobiele telefoons, geheugenkaarten en embedded systemen.
Bij actuele, versleutelde smartphones leveren ze om de hierboven genoemde redenen meestal alleen versleutelde ruwe data op. Welke methode in een individueel geval in aanmerking komt, hangt af van apparaat, softwareversie en schadebeeld – een algemene aanbeveling bestaat niet.
Wat gebeurt er na een geslaagde reconstructie?
Is de benodigde functie hersteld – bijvoorbeeld het opstartvermogen of de datacommunicatie –, dan wordt het apparaat aan de forensische extractieworkflow overgedragen: in het lab van de opdrachtgever of, in overleg, in het reconstruerende lab.
Hardwarereconstructie en forensische extractie zijn verschillende werkstappen. Een geslaagde reconstructie garandeert geen toegang tot de gegevens: of apparaatvergrendelingen of versleuteling kunnen worden overwonnen, hangt af van model, besturingssysteemversie, toestand van het apparaat en de beschikbare forensische methoden.
De uitgevoerde hardware-ingrepen zouden per zaak moeten worden gedocumenteerd, zodat navolgbaar blijft in welke toestand het bewijsstuk is overgenomen, bewerkt en overgedragen.
Welke informatie heeft het lab nodig voor een eerste inschatting?
Apparaat
Fabrikant en model, voor zover bekend.
Schadebeeld
Vloeistof, brand, mechanische vernieling, elektrisch defect – en sinds wanneer.
Huidige toestand
Reageert het apparaat op stroom, toont het display iets, wordt het door de computer of het extractiesysteem herkend?
Eerdere maatregelen
Droog-, reparatie-, datarecovery- of extractiepogingen.
Foto’s
Van het apparaat en – als het al geopend is – van het board. Geen persoonsgebonden onderzoeksstukken, voor zover ze niet nodig zijn voor de technische inschatting.
Termijnen
Loopt er een termijn, dan hoort die in het eerste bericht.
Kort beantwoord.
Kan een smartphone met waterschade forensisch worden uitgelezen?
Vaak wel, vooral als hij snel in een lab terechtkomt. Corrosie schrijdt na contact met vloeistof verder voort, en pogingen om het apparaat in te schakelen of op te laden kunnen extra kortsluiting veroorzaken. Pas een Board-Level-diagnose laat zien of de voor de extractie benodigde functies kunnen worden hersteld.
Helpt het om het logicboard van een beschadigde smartphone te vervangen door een werkend exemplaar?
Nee. Bij moderne smartphones zijn de gegevens gebonden aan componenten van het originele board. Met een vervangend board start weliswaar weer een apparaat op, maar zonder toegang tot de oorspronkelijke gegevens.
Bronnen
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
- Apple: Apple Platform Security: Data Protection overview
- Android Open Source Project: File-based encryption
Sluit hierop aan.
Forensic Device Recovery
Board-Level-reconstructie van beschadigde mobiele apparaten voor de forensische extractie.
Meer wetenChip-Off in smartphoneforensiek
Mogelijkheden en grenzen van de methode bij versleutelde apparaten.
Meer wetenIT-forensiek & digitale bewijsvoering
Forensische veiligstelling en analyse van intacte gegevensdragers en mobiele apparaten.
Meer wetenWij beoordelen of het apparaat te reconstrueren is.
Voor een eerste technische inschatting volstaan enkele gegevens over het apparaat en het schadebeeld.
Wasserweg 8–10 · 60594 Frankfurt am Main