Chip-Off in de smartphoneforensiek: mogelijkheden en grenzen
Chip-Off is een van de bekendste hardwarematige methoden in de forensiek van mobiele apparaten. Bij actuele, versleutelde smartphones stuit het op een principiële grens: de geheugenchip bevat de gegevens, maar niet de sleutel.
Inhoudelijk gecontroleerd door Jan Petermann, Oprichter & directeur smartmodGepubliceerd op
Wat betekent Chip-Off?
Chip-Off staat voor het uitsolderen van de geheugencomponent – bij smartphones meestal eMMC of UFS – en het uitlezen van de ruwe inhoud met een extern leesapparaat. Het resultaat is een fysiek image van het geheugen, dat vervolgens wordt gedecodeerd en geanalyseerd.
De ingreep is invasief: na het uitsolderen kan het toestel in zijn oorspronkelijke toestand niet meer functioneren, zolang de component niet wordt teruggeplaatst.
Wanneer wordt Chip-Off ingezet?
Onversleuteld geheugen
Oudere smartphones en eenvoudige mobiele telefoons zonder doorlopende versleuteling.
Geheugenkaarten en embedded systemen
Geheugenkaarten, USB-sticks en apparaten waarvan het geheugen niet aan een beveiligingsgebied van de processor is gebonden.
Toestellen die niet meer te gebruiken zijn
Toestellen die zo zwaar beschadigd zijn dat ze niet meer kunnen functioneren – voor zover geen versleuteling het uitlezen in de weg staat.
Waarom volstaat Chip-Off bij moderne smartphones vaak niet?
Actuele iPhones en Android-toestellen versleutelen gebruikersgegevens standaard. Android gebruikt op actuele toestellen bestandsgebaseerde versleuteling (File-Based Encryption); Apple versleutelt via Data Protection met sleutels die door de Secure Enclave worden beheerd.
Een via Chip-Off verkregen image bevat in dat geval weliswaar de versleutelde gegevens, maar niet het toestelgebonden sleutelmateriaal. Zonder dat materiaal kan de inhoud niet worden ontsleuteld.
Versleuteling en binding aan originele componenten
De sleutels voor de ontsleuteling worden afgeleid van een in het toestel verankerde hardwaresleutel en – afhankelijk van de gegevensklasse – van de toegangscode. De hardwaresleutel is zo ontworpen dat hij het beveiligingsgebied van de processor niet verlaat en niet kan worden uitgelezen.
In de praktijk betekent dit: geheugen en processor vormen een eenheid. Alleen in samenspel van deze originele componenten kunnen de gegevens weer toegankelijk worden.
Verschil tussen Chip-Off en Board-Level-reconstructie
Chip-Off
Haalt het geheugen uit het systeem en leest het geïsoleerd uit. Resultaat: een ruw image – bij versleutelde toestellen versleutelde data.
Board-Level-reconstructie
Herstelt de benodigde functies van het originele systeem, zodat het toestel met zijn eigen sleutels werkt. Resultaat: een toestel dat weer in een forensische extractieworkflow kan worden ingebracht.
ISP, JTAG en andere hardwaregebaseerde methoden
Bij In-System Programming (ISP) wordt het geheugen rechtstreeks op de printplaat gecontacteerd, zonder het uit te solderen. JTAG gebruikt test- en debuginterfaces van de processor om toegang tot het geheugen te krijgen. Beide methoden zijn minder invasief dan Chip-Off, maar vereisen dat de betreffende interface toegankelijk is.
Voor de versleuteling geldt hetzelfde als bij Chip-Off: ook een via ISP of JTAG verkregen image van een versleuteld geheugen is zonder het sleutelmateriaal van het originele systeem niet leesbaar. Bij veel actuele smartphones zijn debuginterfaces bovendien in de fabriekstoestand uitgeschakeld.
Wanneer is reconstructie van de originele hardware zinvoller?
Telkens wanneer het toestel zijn gegevens versleutelt en de voor gegevens en cryptografie relevante componenten nog intact zijn. Het doel is dan niet het uitlezen van het geheugen, maar een werkend origineel systeem dat weer ter beschikking staat van een extractiesysteem.
Chip-Off kan in deze gevallen zelfs contraproductief zijn: wordt de geheugencomponent uitgesoldeerd, dan wordt de eenheid met de processor verbroken – een latere weg via het originele systeem wordt daardoor bemoeilijkt.
Conclusie
Chip-Off blijft een waardevolle methode voor onversleuteld geheugen, oudere toestellen en embedded systemen. Bij moderne, versleutelde smartphones is daarentegen in de regel het behoud van het originele systeem doorslaggevend: de Board-Level-reconstructie herstelt de benodigde functies, de extractie gebeurt vervolgens met gevestigde forensische methoden. Welke aanpak in een concreet geval de juiste is, wordt bepaald door een technische diagnose van het betreffende toestel.
Kort beantwoord.
Kan de geheugenchip van een iPhone worden uitgesoldeerd en uitgelezen?
Technisch wel, forensisch bruikbaar in de regel niet. De gegevens op actuele iPhones zijn versleuteld en het sleutelmateriaal is gebonden aan de Secure Enclave van de originele processor. Het uitgelezen image bevat daarom alleen versleutelde gegevens.
Wanneer is Chip-Off in de forensiek van mobiele apparaten nog zinvol?
Bij geheugen zonder toestelgebonden versleuteling – bijvoorbeeld bij oudere mobiele telefoons, geheugenkaarten en sommige embedded systemen. Of dat voor een concreet toestel geldt, hangt af van model en softwareversie.
Bronnen
- Apple: Apple Platform Security: Secure Enclave
- Android Open Source Project: File-based encryption
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
Sluit hierop aan.
Forensic Device Recovery
Board-Level-reconstructie van beschadigde mobiele apparaten voor forensische extractie.
Meer wetenBeschadigde smartphone forensisch uitlezen
Welke schade de extractie verhindert en wat dan mogelijk is.
Meer wetenVersleuteling en datarecovery
BitLocker, FileVault, smartphones en zelfversleutelende SSD’s.
Meer wetenWij beoordelen of het apparaat te reconstrueren is.
Voor een eerste technische inschatting volstaan enkele gegevens over het apparaat en het schadebeeld.
Wasserweg 8–10 · 60594 Frankfurt am Main