BireyselKurumsal ve kamu
Gönder
Adli bilişim · Hasarlı mobil cihazlar

Hasarlı akıllı telefondan adli veri çıkarımı: Hangi olanaklar var?

Fiziksel olarak hasar görmüş bir akıllı telefon, kayıtlı verilerin kendisi hâlâ mevcut olsa bile adli veri çıkarımını engelleyebilir. Verilerin yeniden erişilebilir hale gelip gelmeyeceğini çoğunlukla bellek çipi değil, orijinal donanımın geri kalanının durumu belirler.

Teknik açıdan inceleyen Jan Petermann, smartmod kurucusu ve genel müdürüYayın tarihi

Donanım adli bilişim için ne zaman sorun haline gelir?

Adli veri çıkarım sistemleri; açılan, arayüzü üzerinden iletişim kuran ve – yönteme göre – belirli bir çalışma moduna alınabilen bir cihaz gerektirir. Bu ön koşullardan biri sağlanamazsa veri çıkarımı daha başlamadan başarısız olur.

Bu durumda sorun, veri çıkarım sisteminin yazılımında değil, delilin donanımındadır. Veriler eksiksiz olarak mevcut olabilir – yalnızca olağan yoldan erişilemezler.

Hangi hasarlar olağan bir veri çıkarımını engeller?

  • Sıvı

    İçeri giren sıvı kısa devrelere yol açar ve kuruduktan sonra da ilerlemeye devam eden korozyonu başlatır – özellikle tuzlu su veya kirli sıvılarda.

  • Korozyon

    Korozyon iletken yolları ve lehim noktalarını keser; bu çoğu zaman dışarıdan görünmeyen yerlerde, ekranlama kapaklarının ve bileşenlerin altında olur.

  • Yangın ve ısı

    Isı; bileşenlere, lehim bağlantılarına ve devre kartının kendisine zarar verir. Belirleyici olan, veri ve kriptografi açısından önemli bileşenlerin bu sıcaklığa dayanıp dayanmadığıdır.

  • Mekanik tahribat

    Kırılmış veya bükülmüş logic board’lar, kopmuş bileşenler, tahrip olmuş konnektörler. Çok katmanlı kartlarda iç iletken yollar, dışarıdan görünmeden kopabilir.

  • Güç beslemesindeki arızalar

    Besleme hatlarındaki (Power Rails) kısa devreler veya arızalı güç yönetimi entegreleri, cihazın hiç açılmamasına yol açar.

  • Arızalı arayüzler

    Hasarlı USB-C veya Lightning girişleri, flex kablolar ya da arayüz entegreleri: Cihaz duruma göre açılabilir, ancak veri çıkarım sistemiyle veri bağlantısı kurmaz.

Modern akıllı telefonlarda basit bir “belleği okuma” neden çoğu zaman işe yaramaz?

Güncel iPhone’lar ve Android akıllı telefonlar kullanıcı verilerini varsayılan olarak şifreler. Anahtarlar, cihaza bağlı anahtar malzemesinden ve – veri sınıfına göre – kilit kodundan türetilir. Cihaza bağlı malzeme, sistemin bir güvenlik alanında sabitlenmiştir: Apple’da Secure Enclave’de, Android’de donanım destekli bir anahtar yönetiminde.

Flash bellek sökülüp cihazın dışında okunursa, bu nedenle genellikle yalnızca şifreli içerik elde edilir. Onu okunabilir hale getirecek anahtar ise orijinal sistemde kalır.

Orijinal donanım nasıl bir rol oynar?

Veri erişimi orijinal sisteme bağlı olduğundan, modern akıllı telefonlarda bu sistemin korunması çoğunlukla sonraki her çalışmanın ön koşuludur. Veri ve kriptografi açısından önemli bileşenler – tipik olarak güvenlik alanıyla birlikte ana işlemci ve flash bellek – çalışır durumda kalmalı ve orijinal bütünlükleri içinde çalışmalıdır.

Logic board’un tamamen değiştirilmesi sorunu çözmez: Board ile birlikte tam da verilerin bağlı olduğu bileşenler de gitmiş olur.

Her müdahaleden önce

Sıvı veya yangın hasarlı cihazları şarj etmeyin ve açmayın. Hasarlı bir board üzerinden geçen her akım başka bileşenleri de tahrip edebilir – veri erişimi için belirleyici olanlar dahil.

Board-Level rekonstrüksiyonu nedir?

Board-Level rekonstrüksiyonu, gerekli işlevlerin doğrudan orijinal cihaz kartı üzerinde yeniden sağlanmasını ifade eder. Amaç, günlük kullanıma uygun bir cihaz değil; orijinal donanımın adli veri çıkarımı için yeniden erişilebilir olduğu bir durumdur.

  • Teşhis

    Mikroskop altında inceleme ve elektriksel ölçüm – kısa devreler, besleme gerilimleri, kopuk bağlantılar.

  • İletken yol ve lehim noktası onarımı

    Kopuk bağlantıların Microsoldering ile yeniden sağlanması.

  • Veri açısından önemli olmayan bileşenlerin değiştirilmesi

    Örneğin güç beslemesi veya arayüz bölgesinde – veri ve kriptografi açısından önemli bileşenlere dokunulmaz.

  • BGA rework

    Kontakları gövdenin altında lehim bilyeleri olarak bulunan bileşenlerin sökülmesi ve yeniden lehimlenmesi.

  • Bileşen transplantasyonu

    Orijinal kart artık kurtarılamıyorsa, veri ve kriptografi açısından önemli orijinal bileşenler – teknik olarak mümkün olduğu ölçüde – aynı modele ait sağlam bir taşıyıcı karta aktarılabilir.

Chip-Off, ISP veya başka yöntemler ne zaman söz konusu olur?

Chip-Off, In-System Programming (ISP) veya JTAG gibi donanıma yakın yöntemler doğrudan belleğe ya da hata ayıklama arayüzlerine erişir. Bu yöntemler eski veya şifrelenmemiş cihazlarda, basit cep telefonlarında, hafıza kartlarında ve gömülü sistemlerde yerleşiktir.

Güncel, şifreli akıllı telefonlarda ise yukarıda belirtilen nedenlerle çoğunlukla yalnızca şifreli ham veri sağlarlar. Somut durumda hangi yöntemin uygun olduğu cihaza, yazılım sürümüne ve hasar tablosuna bağlıdır – genel geçer bir öneri yoktur.

Başarılı bir rekonstrüksiyondan sonra ne olur?

Gerekli işlev – örneğin açılabilirlik veya veri iletişimi – yeniden sağlandığında cihaz adli veri çıkarım iş akışına aktarılır: işi veren tarafın laboratuvarında ya da mutabakat halinde rekonstrüksiyonu yapan laboratuvarda.

Donanım rekonstrüksiyonu ve adli veri çıkarımı ayrı çalışma adımlarıdır. Başarılı bir rekonstrüksiyon veri erişimini garanti etmez: Cihaz kilitlerinin veya şifrelemenin aşılıp aşılamayacağı modele, işletim sistemi sürümüne, cihazın durumuna ve mevcut adli yöntemlere bağlıdır.

Yapılan donanım müdahaleleri vaka bazında belgelenmelidir; böylece delilin hangi durumda teslim alındığı, işlendiği ve teslim edildiği izlenebilir kalır.

Laboratuvar bir ilk değerlendirme için hangi bilgilere ihtiyaç duyar?

  • Cihaz

    Bilindiği kadarıyla üretici ve model.

  • Hasar tablosu

    Sıvı, yangın, mekanik tahribat, elektriksel arıza – ve ne zamandan beri.

  • Mevcut durum

    Cihaz akıma tepki veriyor mu, ekranda bir şey görünüyor mu, bilgisayar veya veri çıkarım sistemi tarafından tanınıyor mu?

  • Şimdiye kadarki önlemler

    Kurutma, onarım, veri kurtarma veya veri çıkarımı denemeleri.

  • Fotoğraflar

    Cihazın ve – daha önce açılmışsa – board’un. Teknik değerlendirme için gerekli olmadıkça kişisel veri içeren soruşturma belgeleri göndermeyin.

  • Süreler

    İşleyen bir süre varsa, ilk mesajda belirtilmelidir.

Sık sorulanlar

Kısaca yanıtlandı.

Su hasarlı bir akıllı telefondan adli veri çıkarımı yapılabilir mi?

Çoğu zaman evet, özellikle cihaz hızla bir laboratuvara ulaşırsa. Korozyon sıvıyla temastan sonra ilerlemeye devam eder; açma veya şarj etme denemeleri ek kısa devrelere yol açabilir. Veri çıkarımı için gereken işlevlerin yeniden sağlanıp sağlanamayacağını ancak bir Board-Level teşhisi gösterir.

Hasarlı bir akıllı telefonun logic board’unu çalışan bir kartla değiştirmek işe yarar mı?

Hayır. Modern akıllı telefonlarda veriler orijinal kartın bileşenlerine bağlıdır. Yedek bir kartla cihaz yeniden açılır, ancak orijinal verilere erişim olmaz.

Kaynaklar

  1. NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
  2. Apple: Apple Platform Security: Data Protection overview
  3. Android Open Source Project: File-based encryption
Devamını okuyun

Buna uyanlar.

Forensic Device Recovery

Adli veri çıkarımı için hasarlı mobil cihazların Board-Level rekonstrüksiyonu.

Daha fazla bilgi

Akıllı telefon adli bilişiminde Chip-Off

Yöntemin şifreli cihazlardaki olanakları ve sınırları.

Daha fazla bilgi

BT adli bilişimi ve dijital delil güvenliği

Sağlam veri taşıyıcılarının ve mobil cihazların adli güvenceye alınması ve analizi.

Daha fazla bilgi
Hasarlı delil mi?

Cihazın rekonstrüksiyonunun mümkün olup olmadığını inceliyoruz.

İlk teknik değerlendirme için cihaz ve hasar tablosu hakkında birkaç bilgi yeterlidir.

Hasarlı delili incelettirin →← Veri kurtarma

Wasserweg 8–10 · 60594 Frankfurt am Main