Akıllı telefon adli bilişiminde Chip-Off: olanaklar ve sınırlar
Chip-Off, mobil cihaz adli bilişiminin en bilinen donanıma yakın yöntemlerinden biridir. Güncel, şifreli akıllı telefonlarda ise temel bir sınıra dayanır: Bellek yongası verileri içerir, ama anahtarı içermez.
Teknik açıdan inceleyen Jan Petermann, smartmod kurucusu ve genel müdürüYayın tarihi
Chip-Off ne demektir?
Chip-Off, bellek bileşeninin – akıllı telefonlarda çoğunlukla eMMC ya da UFS – lehiminin sökülmesi ve ham içeriğinin harici bir okuyucuyla okunması anlamına gelir. Sonuç, belleğin fiziksel bir görüntüsüdür; bu görüntü ardından çözümlenir ve değerlendirilir.
Müdahale invazivdir: Lehimi söküldükten sonra bileşen yerine takılmadığı sürece cihaz özgün durumunda artık çalışamaz.
Chip-Off ne zaman kullanılır?
Şifrelenmemiş bellekler
Kesintisiz şifrelemesi olmayan eski akıllı telefonlar ve basit cep telefonları.
Bellek kartları ve gömülü sistemler
Bellek kartları, USB bellekler ve belleği işlemcinin bir güvenlik alanına bağlı olmayan cihazlar.
Artık çalıştırılamayan cihazlar
Artık çalıştırılamayacak kadar tahrip olmuş cihazlar – okumanın önünde bir şifreleme engeli bulunmadığı sürece.
Chip-Off modern akıllı telefonlarda neden çoğu zaman yeterli değildir?
Güncel iPhone ve Android cihazlar kullanıcı verilerini varsayılan olarak şifreler. Android güncel cihazlarda dosya tabanlı şifreleme (File-Based Encryption) kullanır; Apple ise Secure Enclave tarafından yönetilen anahtarlarla Data Protection üzerinden şifreler.
Bu durumda Chip-Off ile elde edilen bir görüntü şifreli verileri içerir, ancak cihaza bağlı anahtar malzemesini içermez. Bu malzeme olmadan içeriğin şifresi çözülemez.
Şifreleme ve özgün bileşenlere bağlılık
Şifre çözme anahtarları, cihazda sabitlenmiş bir donanım anahtarından ve – veri sınıfına göre – kilit kodundan türetilir. Donanım anahtarı, işlemcinin güvenlik alanından çıkmayacak ve okunamayacak şekilde tasarlanmıştır.
Pratikte bunun anlamı şudur: Bellek ve işlemci bir bütün oluşturur. Veriler ancak bu özgün bileşenlerin birlikte çalışmasıyla yeniden erişilebilir hâle gelebilir.
Chip-Off ile Board-Level yeniden yapılandırma arasındaki fark
Chip-Off
Belleği sistemden çıkarır ve yalıtılmış olarak okur. Sonuç: ham bir görüntü – şifreli cihazlarda şifreli metin.
Board-Level yeniden yapılandırma
Özgün sistemin gerekli işlevlerini yeniden sağlar; böylece cihaz kendi anahtarlarıyla çalışır. Sonuç: yeniden bir adli veri çıkarma iş akışına aktarılabilecek bir cihaz.
ISP, JTAG ve diğer donanım tabanlı yöntemler
In-System Programming (ISP) yönteminde bellek, lehimi sökülmeden doğrudan kart üzerinde temas edilir. JTAG, belleğe erişmek için işlemcinin test ve hata ayıklama arayüzlerini kullanır. Her iki yöntem de Chip-Off'tan daha az invazivdir, ancak ilgili arayüzün erişilebilir olmasını gerektirir.
Şifreleme açısından Chip-Off için geçerli olan burada da geçerlidir: ISP ya da JTAG ile elde edilen şifreli bir bellek görüntüsü de özgün sistemin anahtar malzemesi olmadan okunamaz. Birçok güncel akıllı telefonda ayrıca hata ayıklama arayüzleri teslimat durumunda devre dışıdır.
Özgün donanımın yeniden yapılandırılması ne zaman daha uygundur?
Cihaz verilerini şifreliyorsa ve veri ile kriptografi açısından önemli bileşenler hâlâ sağlamsa her zaman. Bu durumda hedef belleğin okunması değil, bir veri çıkarma sistemine yeniden sunulabilecek, çalışır durumda bir özgün sistemdir.
Chip-Off bu durumlarda ters etki bile yaratabilir: Bellek bileşeninin lehimi söküldüğünde işlemciyle olan bütünlük bozulur – bu da daha sonra özgün sistem üzerinden izlenecek bir yolu zorlaştırır.
Sonuç
Chip-Off, şifrelenmemiş bellekler, eski cihazlar ve gömülü sistemler için değerli bir yöntem olmaya devam eder. Modern, şifreli akıllı telefonlarda ise kural olarak özgün sistemin korunması belirleyicidir: Board-Level yeniden yapılandırma gerekli işlevleri yeniden sağlar, veri çıkarma ardından yerleşik adli yöntemlerle yapılır. Tek tek vakada hangi yaklaşımın doğru olduğunu, ilgili cihazın teknik teşhisi belirler.
Kısaca yanıtlandı.
Bir iPhone'un bellek yongasının lehimi söküp okunabilir mi?
Teknik olarak evet, ancak kural olarak adli açıdan kullanılabilir biçimde değil. Güncel iPhone'lardaki veriler şifrelidir ve anahtar malzemesi özgün işlemcinin Secure Enclave'ine bağlıdır. Okunan görüntü bu nedenle yalnızca şifreli veriler içerir.
Mobil cihaz adli bilişiminde Chip-Off ne zaman hâlâ anlamlıdır?
Cihaza bağlı şifrelemesi olmayan belleklerde – örneğin eski cep telefonlarında, bellek kartlarında ve bazı gömülü sistemlerde. Bunun belirli bir cihaz için geçerli olup olmadığı modele ve yazılım sürümüne bağlıdır.
Kaynaklar
- Apple: Apple Platform Security: Secure Enclave
- Android Open Source Project: File-based encryption
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
Buna uyanlar.
Forensic Device Recovery
Adli veri çıkarma için hasarlı mobil cihazların Board-Level yeniden yapılandırılması.
Daha fazla bilgiHasarlı akıllı telefondan adli veri çıkarma
Hangi hasarlar veri çıkarmayı engeller ve o durumda neler mümkündür.
Daha fazla bilgiŞifreleme ve veri kurtarma
BitLocker, FileVault, akıllı telefonlar ve kendi kendini şifreleyen SSD’ler.
Daha fazla bilgiCihazın rekonstrüksiyonunun mümkün olup olmadığını inceliyoruz.
İlk teknik değerlendirme için cihaz ve hasar tablosu hakkında birkaç bilgi yeterlidir.
Wasserweg 8–10 · 60594 Frankfurt am Main