Экспертиза телефона для суда: судебная экспертиза телефонов | Экспертная организация

При осуществлении судебной экспертизы, эксперт может определить, что мобильный телефон не был подвержен механическим повреждениям, но все же он не способен определять записанные данные.

В вышеописанном случае проводится тест на работоспособность телефона и определяется происхождение дефекта. Тест проводится с полностью заряженным и рабочим аккумулятором. Если теста ясно показывает, что есть нарушения работоспособности исследуемого устройства, то составляется соответствующее заключение экспертизы, в котором указывается, в результате чего мобильный телефон неисправен.

Повреждения механического характера с легкостью распознаются экспертами, профессионалами своего дела, во время первичного визуального осмотра телефона. Зачастую эти следы, недопустимые механические воздействия на корпус аппарата, попадание мобильного телефона, попадание на его микросхемы жидкостей или другие нарушения эксплуатации.

Большая часть телефонов обладает слабыми разъемами, невысоким запасом прочности корпуса. От падений и ударов, в особенности происходящих регулярно, в аппаратах образуются микротрещины, которые приводят к нарушению контактов. Эксперт, осуществляя судебную экспертизу телефона, также определяет характер имеющихся дефектов.

Следует не забывать, что у большей части устройств корпуса водопроницаемы и с легкостью пропускают воду. При попадании влаги на микросхемы, приводит к потере имеющихся данных , а также образованию очагов электрохимической коррозии, в случае если аппарат недостаточно просушили.

Если перечисленные выше механические повреждения при проведении экспертизы не были выявлены, то при помощи специальных приборов определяется причина образовавшихся дефектов и вероятность дальнейшего использования устройства.

Основные вопросы, решаемые судебной экспертизой телефона, могут быть сформулированы так:

• Есть ли «название телефона» «модель телефона***, IMEI телефона ***, заводской номер телефона» дефекты? Если дефекты присутствуют, то по какой причине они появились? Возможно ли их устранение? Тип дефектов, производственный или эксплуатационный?
• Вследствии чего появились дефекты в «название телефона» «модель телефона ***, заводской номер телефона***» (дефекта производства, длительный срок эксплуатации, иные причины)?
• Имел ли место ранее, ремонт телефона «название телефона» «модель телефона ***, заводской номер телефона***», если имел, то какой и что было в нем заменено?
• Какое техническое состояние имеет переданный на экспертизу телефон «название телефона» «модель телефона ***, заводской номер телефона ***». Возможно ли его дальнейшее использование?
• Отвечают ли технические характеристики, качество переданного на экспертизу телефона «название телефона» «модель телефона***, заводской номер телефона ***» требованиям ГОСТ ***, ТУ *** и тому подобного (необходимо указать ГОСТ)?
• Возможно ли использовать телефон «название телефона» «модель телефона ***, заводской номер телефона***, IMЕI телефона***» в тех или иных условиях (указать интересующие вас условия)?

Чтобы сократить срок производства и повысить качество судебной экспертизы, необходимо:

• предоставить всю имеющуюся у вас документацию на телефон, который проходит экспертизу;
• передать объект экспертизы для проведения исследований и экспертного осмотра в экспертную оценочную организацию, в которой будет проводиться экспертиза или обеспечить экспертный осмотр по месту, где находится объект экспертизы;
• если собираетесь назначить судебную экспертизу, обратитесь заранее в экспертное агентство за консультацией.

Экспертиза телефона занимает 5-7 рабочих дней.

Судебная экспертиза телефона – это друг всех потребителей, так как способен установить виновную сторону в появившихся дефектах и определить контрафактную продукцию, которая способна навредить не только вашему здоровью, но и здоровью ваших близких.

Цены

Экспертиза электробытовой техники
Предварительная диагностика	1 штука	бесплатно
Экспертиза мобильного телефона	стоимость от 5 000
Экспертиза смартфона	стоимость от 5 000
Экспертиза коммуникатора	стоимость от 5 000
Экспертиза планшета	стоимость от 5 000
Экспертиза компьютера	стоимость от 5 000
Экспертиза ноутбука	стоимость от 5 000
Экспертиза телевизора, в т. ч. ЖК, LED	стоимость от 5 000
Экспертиза микроволновой печи СВЧ	стоимость от 5 000
Экспертиза пылесоса	стоимость от 5 000
Экспертиза стиральной машины	стоимость от 5 000
Экспертиза холодильника, морозильной камеры	стоимость от 5 000
Экспертиза фото и видео камеры	стоимость от 5 000
Экспертиза музыкального центра	стоимость от 5 000
Экспертиза посудомоечных машин	стоимость от 5 000
Экспертиза видеомагнитофонов и плееров	стоимость от 5 000
Экспертиза гладильных и сушильных машин	стоимость от 5 000
Экспертиза кондиционеров	стоимость от 5 000

ПРИМЕЧАНИЕ:

Цена экспертизы электробытовой техники указана с учетом налогов. Транспортные расходы оплачиваются отдельно.

Процесс мобильной криминалистики: этапы и типы

Введение: Важность мобильной криминалистики

Термин «мобильные устройства» охватывает широкий спектр гаджетов, от мобильных телефонов, смартфонов, планшетов и устройств GPS до носимых устройств и КПК. Их всех объединяет тот факт, что они могут содержать много пользовательской информации.

Мобильные устройства находятся в центре трех бурно развивающихся технологических тенденций: Интернета вещей, облачных вычислений и больших данных. Распространение мобильных технологий, возможно, является основной причиной или, по крайней мере, одной из основных причин возникновения этих тенденций. В 2015 году 377,9миллионов беспроводных абонентских подключений смартфонов, планшетов и обычных телефонов произошло в Соединенных Штатах.

В настоящее время использование мобильных устройств столь же распространено, сколь и полезно, особенно в контексте цифровой криминалистики, поскольку эти небольшие устройства ежедневно собирают огромное количество данных, которые можно извлечь для облегчения расследования. Будучи чем-то вроде цифрового расширения нас самих, эти машины позволяют экспертам-криминалистам собирать много информации.

Информация, хранящаяся на мобильных устройствах (неполный список):

• История входящих, исходящих и пропущенных вызовов
• Телефонная книга или списки контактов
• Текст SMS, содержимое приложений и мультимедийных сообщений
• Изображения, видео и аудиофайлы, а иногда и сообщения голосовой почты
• История просмотров в Интернете, контент, файлы cookie, история поиска, аналитическая информация
• Списки дел, заметки, записи календаря, мелодии
• Документы, электронные таблицы, файлы презентаций и другие данные, созданные пользователем
• Пароли, секретные коды, коды считывания, учетные данные пользователя
• Исторические данные геолокации, данные о местоположении вышек сотовой связи, информация о соединении Wi-Fi
• Содержимое пользовательского словаря
• Данные из различных установленных приложений
• Системные файлы, журналы использования, сообщения об ошибках
• Удалены данные из всего перечисленного

Источник:

Одним из хороших примеров реальной эффективности мобильной криминалистики являются журналы вызовов мобильных устройств и данные GPS, которые помогли раскрыть дело о попытке взрыва в 2010 году на Таймс-сквер, штат Нью-Йорк.

I. Что такое мобильный криминалистический процесс?

Преступления не происходят в отрыве от технологических тенденций; поэтому криминалистика мобильных устройств стала важной частью цифровой криминалистики.

Большинство людей не осознают, насколько сложным в действительности может быть процесс мобильной криминалистики. Поскольку мобильные устройства все больше тяготеют к профессиональному и личному использованию, потоки вливаемых в них данных также будут расти в геометрической прогрессии. Знаете ли вы, что 33 500 пачек бумаги эквивалентны 64 гигабайтам в распечатанном виде? Объем памяти 64 ГБ является обычным для современных смартфонов.

Процесс мобильной судебной экспертизы направлен на восстановление цифровых доказательств или соответствующих данных с мобильного устройства таким образом, чтобы сохранить доказательства в криминалистически обоснованном состоянии. Для этого в процессе мобильной судебной экспертизы должны быть установлены четкие правила, которые позволят безопасно изымать, изолировать, транспортировать, хранить для анализа и доказательства цифровые улики, полученные с мобильных устройств.

Обычно процесс мобильной криминалистики аналогичен процессам в других областях цифровой криминалистики. Тем не менее, следует знать, что процесс мобильной криминалистики имеет свои особенности, которые необходимо учитывать. Соблюдение правильной методологии и руководств является жизненно важным условием для получения хороших результатов проверки мобильных устройств.

Среди фигур, которым, скорее всего, будет доверено выполнение следующих задач, есть судебные эксперты, специалисты по ликвидации инцидентов и корпоративные следователи. В ходе расследования конкретного преступления, связанного с мобильными технологиями, лица, ответственные за процесс мобильной криминалистики, должны получить всю информацию, которая может им помочь позже, например, пароли устройств, шаблоны блокировки или PIN-коды.

II. Каковы этапы процесса мобильной криминалистики?

2.1 Конфискация

Ящик для улик мобильного телефона

Кредит: ящик для улик мобильного телефона, автор jon crel / (CC BY-ND 2. 0)

допустимо в судебном порядке. Некоторые юридические аспекты связаны с конфискацией мобильных устройств.

Существует два основных риска, связанных с этим этапом процесса судебной экспертизы мобильных устройств: активация блокировки (пользователем/подозреваемым/непреднамеренным третьим лицом) и подключение к сети/сотовой сети.

Изоляция сети всегда желательна, и это может быть достигнуто либо через 1) Режим полета + отключение Wi-Fi и точек доступа, либо 2) Клонирование SIM-карты устройства.

Режим полета

Мобильные устройства часто перехватывают во включенном состоянии; а поскольку цель их конфискации — сохранить улики, лучший способ их транспортировки — попытаться оставить их включенными, чтобы избежать отключения, которое неизбежно приведет к изменению файлов.

Глушитель телефона

Предоставлено: Купил себе устройство для подавления сотовых телефонов от Baishampayan Ghose / (CC BY-ND 2.0). В то время как первый представляет собой контейнер, специально разработанный для изоляции мобильных устройств от сетевых коммуникаций и в то же время для помощи в безопасной транспортировке улик в лабораторию, второй представляет собой источник питания, встроенный в коробку/мешок Фарадея. Прежде чем положить телефон в сумку Фарадея, отключите его от сети, отключите все сетевые соединения (Wi-Fi, GPS, Hotspots и т. д.) и активируйте режим полета для защиты целостности улик.

Мешок Фарадея

И последнее, но не менее важное: следователи должны остерегаться мобильных устройств, подключенных к неизвестным зажигательным устройствам, а также любых других мин-ловушек, установленных для причинения телесных повреждений или смерти кому-либо на месте преступления.

2.2 Получение

/Идентификация + извлечение/

Целью этого этапа является получение данных с мобильного устройства. Заблокированный экран можно разблокировать с помощью правильного PIN-кода, пароля, шаблона или биометрических данных (обратите внимание, что биометрические подходы, хотя и удобные, не всегда защищены пятой поправкой к Конституции США). Согласно постановлению Окружного суда Вирджинии, пароли защищены, а отпечатки пальцев — нет. Кроме того, аналогичные меры блокировки могут применяться к приложениям, изображениям, SMS или мессенджерам. Шифрование, с другой стороны, обеспечивает безопасность на программном и/или аппаратном уровне, которую часто невозможно обойти.

Трудно контролировать данные на мобильных устройствах, потому что данные тоже мобильны. Как только сообщения или файлы отправляются со смартфона, контроль теряется. Хотя существуют различные устройства, способные хранить значительные объемы данных, сами по себе данные могут физически находиться в другом месте. Например, синхронизация данных между устройствами и приложениями может происходить напрямую, а также через облако. Такие сервисы, как iCloud от Apple и One Drive от Microsoft, широко распространены среди пользователей мобильных устройств, что оставляет открытой возможность получения данных оттуда. По этой причине следователи должны внимательно относиться к любым признакам того, что данные могут выходить за пределы мобильного устройства как физического объекта, поскольку такое событие может повлиять на процесс сбора и даже сохранения.

Поскольку данные постоянно синхронизируются, аппаратное и программное обеспечение может восполнить пробел в данных. Рассмотрим Uber — у него есть и приложение, и полнофункциональный веб-сайт. Вся информация, к которой можно получить доступ через приложение Uber на телефоне, может быть получена с веб-сайта Uber или даже из программы Uber, установленной на компьютере.

Независимо от типа устройства определение местоположения данных может быть дополнительно затруднено из-за фрагментации операционных систем и спецификаций элементов. Одна только операционная система Android с открытым исходным кодом поставляется в нескольких разных версиях, и даже iOS от Apple может варьироваться от версии к версии.

Еще одна проблема, которую необходимо решить экспертам-криминалистам, — это изобилие и постоянно меняющийся ландшафт мобильных приложений. Создайте полный список всех установленных приложений. Некоторые приложения архивируют и резервируют данные.

После определения источников данных следующим шагом является правильный сбор информации. Существуют определенные уникальные проблемы, связанные со сбором информации в контексте мобильных технологий. Многие мобильные устройства не могут быть собраны путем создания изображения, и вместо этого они должны пройти процесс, называемый сбором данных. Существуют различные протоколы для сбора данных с мобильных устройств, поскольку некоторые спецификации дизайна могут разрешать только один тип сбора данных.

Судебно-медицинский эксперт должен использовать воображение SIM-карты — процедуру, которая воссоздает копию изображения содержимого SIM-карты. Как и в случае с другими репликами, исходное свидетельство останется нетронутым, пока изображение реплики используется для анализа. Все файлы изображений должны быть хешированы, чтобы данные оставались точными и неизменными.

2.3 Экспертиза и анализ

Криминалистическая экспертиза Flasher Box. Использование ящика UFS для доступа к мобильному телефону

В качестве первого шага каждого цифрового расследования, связанного с мобильным устройством (устройствами), судебно-медицинский эксперт должен определить:

• Тип мобильного устройства (устройств) – например, GPS, смартфон, планшет и т. д.
• Тип сети – GSM, CDMA и TDMA
• Перевозчик
• Поставщик услуг (обратный просмотр)

Эксперту, возможно, потребуется использовать множество криминалистических инструментов для сбора и анализа данных, хранящихся в машине. Из-за огромного разнообразия мобильных устройств не существует универсального решения для мобильных криминалистических инструментов. Следовательно, целесообразно использовать более одного инструмента для исследования. AccessData, Sleuthkit и EnCase — некоторые популярные программные продукты для судебной экспертизы, обладающие аналитическими возможностями. В зависимости от типа и модели мобильного устройства выбирается наиболее подходящий инструмент(ы).

Хронология и анализ ссылок, доступные во многих мобильных криминалистических инструментах, могут связать каждое из наиболее значимых событий с точки зрения судебного аналитика.

Intel Computer Stick с изображениями и анализом

Вся информация, доказательства и другие выводы, извлеченные, проанализированные и задокументированные в ходе расследования, должны быть представлены любому другому судебному эксперту или суду в ясной, краткой и полной форме.

Новая цифровая реальность мобильной криминалистики            

“ 17 мая 2015 года в ресторане Twin Peaks недалеко от Уэйко, штат Техас, вспыхнула перестрелка банды байкеров, в результате которой девять человек погибли и десятки получили ранения. В результате инцидента было изъято более сотни мобильных телефонов, что положило начало одному из самых крупных и сложных расследований в штате на сегодняшний день.

События, развернувшиеся в ресторане «Твин Пикс», заставили правоохранительные органы округа Макленнан окунуться в новую неотложную реальность.

Через несколько дней после принятия решения о развертывании [ Новая аналитическая платформа Cellebrite UFED] следователи и прокуроры смогли импортировать и декодировать все извлеченные мобильные данные цифровой криминалистики из одного централизованного места для быстрого и эффективного анализа. . Записи звонков, текстовые сообщения, фотографии, видео и сообщения в социальных сетях могут быть отфильтрованы по ключевым словам и помечены для мгновенного просмотра другими членами следственной группы.

«… [решение] позволило нам вернуться назад и быстрее просмотреть данные, чтобы найти более подробные детали картины, необходимые нам для подтверждения мотивов, планов и целей этих мотоциклетных организаций []», — сказал прокурор округа Макленнан. . ”

Источник: Избавление от бремени поиска цифровых «доказательств»

Быстрый вопрос: Какую процедуру могли бы использовать правоохранительные органы округа Макленнан, чтобы немедленно сократить объем накопившихся преступлений на местах преступлений? цифровой криминалистики с самого начала (при условии, что у них есть эксперты для выполнения этой процедуры)?

Найдите ответ под списком литературы.

III. Какие еще модели есть?

IV.

Неинвазивная и инвазивная криминалистика

Независимо от того, какой метод мобильной судебной экспертизы вы используете, крайне важно создать политику или план ее выполнения и тщательно и в надлежащей последовательности выполнять все ее шаги. Несоблюдение протокола может повлечь за собой тяжелые последствия. Сначала следует начать с неинвазивных методов судебной экспертизы, поскольку они, как правило, в меньшей степени угрожают целостности устройства. Будьте осторожны со встроенными функциями безопасности — «[f] например, сбор физического образа до того, как логический образ на определенных устройствах может полностью стереть все данные с телефона, как и попытка доступа к заблокированному устройству и слишком много попыток ввода пароля. ». /Источник: Экспертиза мобильных устройств Скотта Полуса/

С юридической точки зрения критичен уровень взаимодействия между пользователем и устройством.

Мобильная криминалистика – пирамида классификации инструментов

4.

1 Неинвазивные методы

Неинвазивные методы могут решать другие задачи, такие как разблокировка SIM-карты и/или блокировки оператора, обновление операционной системы , изменение номера IMEI и т.д. Эти приемы практически неприменимы в случаях, когда устройство получило серьезные физические повреждения. Видов неинвазивных мобильных криминалистических методов:

• Ручное извлечение

Судмедэксперт просто просматривает данные с помощью сенсорного экрана или клавиатуры мобильного устройства. Интересующая информация, обнаруженная в телефоне, документируется фотографией. Этот процесс ручного извлечения прост и применим почти к каждому телефону. Хотя есть некоторые инструменты, предназначенные для облегчения этого процесса, однако восстановить удаленные данные таким образом невозможно.

• Логическое извлечение

Этот подход включает в себя установление соединения между мобильным устройством и судебной рабочей станцией с помощью кабеля USB, Bluetooth, инфракрасного порта или кабеля RJ-45. После соединительной части компьютер отправляет запросы команд на устройство, а устройство отправляет обратно данные из своей памяти. Большинство криминалистических инструментов поддерживают логическое извлечение, а сам процесс требует краткосрочного обучения. Однако с другой стороны, этот метод может добавить данные на мобильное устройство и может изменить целостность доказательств. Кроме того, удаленные данные редко доступны.

• Метод JTAG

JTAG — это неинвазивная форма физического сбора данных, позволяющая извлекать данные с мобильного устройства, даже если доступ к данным с помощью программного обеспечения затруднен из-за повреждения, блокировки или шифрования устройства. Устройство, однако, должно быть хотя бы частично исправным (незначительные повреждения этому способу не помешают).

Процесс включает в себя подключение к тестовым портам доступа (TAP) на устройстве и указание процессору передавать необработанные данные, хранящиеся на подключенных микросхемах памяти. Это стандартная функция, с которой можно столкнуться во многих моделях мобильных телефонов, которая обеспечивает производство мобильных телефонов низкоуровневым интерфейсом вне операционной системы. Цифровые криминалисты проявляют интерес к JTAG, поскольку теоретически он может обеспечить прямой доступ к памяти мобильного устройства, не подвергая ее опасности. Несмотря на это, это трудоемкая, длительная процедура, требующая предварительных знаний (не только JTAG для исследуемой модели телефона, но и того, как заново оформить полученный бинарник, составленный из структур памяти телефона). ).

• Шестигранник

Подобно JTAG, шестнадцатеричный дамп — это еще один метод физического извлечения необработанной информации, хранящейся во флэш-памяти. Это выполняется путем подключения судебной рабочей станции к устройству, а затем туннелирования неподписанного кода или загрузчика в устройство, каждый из которых будет нести инструкции по дампу памяти с телефона на компьютер. Полученное изображение достаточно техническое — в бинарном формате — и для его анализа требуется человек с техническим образованием. Кроме того, эксперт получает большое количество данных, поскольку удаленные данные можно восстановить, и, кроме того, весь процесс стоит недорого.

4.2 Инвазивные методы

Как правило, они длиннее и сложнее. В случаях, когда устройство полностью не работает из-за серьезного повреждения, весьма вероятно, что единственным способом извлечения данных с устройства может быть ручное удаление и создание образа микросхем флэш-памяти устройства. Даже если устройство или предмет находятся в хорошем состоянии, обстоятельства могут потребовать от судебно-медицинского эксперта физического извлечения содержимого чипа.

• Отщеп

Процесс получения данных непосредственно из микросхемы памяти мобильного устройства. В соответствии с подготовкой, относящейся к этому уровню, чип отсоединяется от устройства, и для извлечения данных, хранящихся на исследуемом устройстве, используется считыватель чипов или второй телефон. Следует отметить, что этот метод технически сложен из-за большого разнообразия типов микросхем, существующих на рынке мобильных устройств. Кроме того, процесс снятия чипа является дорогостоящим, требуется обучение, и эксперт должен приобрести специальное оборудование для проведения распайки и нагрева чипа памяти. Биты и байты необработанной информации, извлеченной из памяти, еще предстоит проанализировать, декодировать и интерпретировать. Даже малейшая ошибка может привести к повреждению микросхемы памяти, что фактически приведет к безвозвратной потере данных. Следовательно, специалисты советуют прибегать к чип-оффу, когда: а) уже испробованы другие способы извлечения, б) важно сохранить текущее состояние памяти устройства, в) микросхема памяти — единственный элемент в мобильном устройстве, который не сломан.

Весь процесс состоит из пяти этапов:

1. Определить типологию чипа памяти устройства
2. Физическое извлечение чипа (например, путем его отваривания)
3. Интерфейс чипа с помощью программного обеспечения для чтения/программирования
4. Чтение и передача данных с чипа на ПК
5. Интерпретация полученных данных (с использованием обратного проектирования)

Последние два этапа совпадают с этапами неинвазивных методов. Тем не менее, фазы физического извлечения и сопряжения имеют решающее значение для результатов инвазивного анализа.

• Микрочтение

Этот метод относится к ручному круговому обзору через линзы электронного микроскопа и анализу данных, видимых на микросхеме памяти, в частности, физических ворот на микросхеме. Короче говоря, микрочтение — это метод, требующий высочайшего уровня знаний, дорогостоящий и трудоемкий, и предназначенный для серьезных кризисов национальной безопасности.

Подробнее статей о мобильной криминалистике:

Общие инструменты и методы мобильной криминалистики

Процесс мобильной криминалистики: этапы и типы

Вакансии в области компьютерной криминалистики Перспективы: Станьте экспертом в этой области

Источники:

Стоимость мобильного устройства (мобильного телефона) Расследование

Введение в мобильную криминалистику

Обзор цифровых криминалистических моделей мобильных устройств .

Компьютерная криминалистика следит за хлебными крошками, оставленными преступником с.

Фервица мобильного телефона

Службы судебной экспертизы

JTAG Services

Мобильные судно

ВВЕДЕНИЕ TO MOBILENSICCS

.

Мобильная криминалистика. Как они это делают. Часть первая

Мобильная криминалистика. Как они это делают. Часть вторая

Криминалистика мобильных устройств0141 .

Цифровые криминалистические компьютеры Криминалистические модели Информационные технологии Эссе .

Википедия Экспертиза мобильных устройств .

Экспертиза мобильных устройств

Руководство по экспертизе мобильных устройств,

Как эксперты извлекают данные из телефонов?

1

Выберите фокус Уголовное правосудиеCSI + расследованияКибер + цифровые технологииСудебная бухгалтерияСудебная психологияСудебная медицинаFocus требуется

2

Select Your Edu LevelIn High School / Some HSHigh School DiplomaSome CollegeAssociateBachelor’sMaster’sEdu Level is required

3

Select Your State- Outside of U. S.AlabamaAlaskaArizonaArkansasCaliforniaColoradoConnecticutDelawareDistrict of ColumbiaFloridaGeorgiaHawaiiIdahoIllinoisIndianaIowaKansasKentuckyLouisianaMaineMarylandMassachusettsMichiganMinnesotaMississippiMissouriMontanaNebraskaNevadaNew HampshireNew JerseyNew MexicoNew YorkNorth CarolinaNorth DakotaOhioOklahomaOregonPennsylvaniaPuerto RicoRhode IslandSouth CarolinaSouth DakotaTennesseeTexasUtahVermontVirginiaWashingtonWest VirginiaWisconsinWyomingState is required

Это захватывающая карьера, и очень полезно работать за кулисами. Для тех, кто разбирается в технологиях, а также хочет изменить жизнь к лучшему в повседневной жизни и для жертв преступлений, это отличный и развивающийся вариант карьеры.

Марио Мерендон, председатель Международной ассоциации специалистов по компьютерным расследованиям (IACIS) по экспертизе мобильных устройств

Возможно, ничто так не изменило современные следственные процедуры, как мобильная криминалистика. Подмножество цифровой криминалистики, мобильная криминалистика, включает в себя извлечение данных с мобильного устройства, как правило, с мобильного телефона или планшета, но потенциально с умных часов, камеры, устройства GPS или дрона. Сегодня, когда в Соединенных Штатах насчитывается более 400 миллионов абонентов мобильной сотовой связи, в настоящее время необычно, чтобы современное расследование каким-либо образом не привлекало мобильную криминалистику.

«Когда дело доходит до расследований, эти устройства играют ключевую роль», — говорит Марио Мерендон, эксперт по компьютерной экспертизе прокуратуры округа Дентон и председатель Международной ассоциации специалистов по компьютерным расследованиям (IACIS) по судебной экспертизе мобильных устройств. «Тип информации, которую хранят эти устройства, помогает нам составить хронологию событий. Эта временная шкала может дать нам полную картину разговора. Это может дать нам мотив преступления. Это может дать нам данные о местоположении. По сравнению с тем, что было доступно для помощи в раскрытии преступлений десять лет назад, сейчас эти мобильные устройства содержат огромное количество информации».

Мобильная криминалистика — сложная дисциплина. Современные мобильные криминалисты должны быть обучены передовым методам мобильной криминалистики и следственных действий, но им также необходимо быть в курсе изменений и особенностей передовых технологий.

«Одна из самых больших проблем, с которыми мы сталкиваемся сейчас, — это различные типы шифрования, которые есть в каждом телефоне, — говорит Мерендон. «Разное программное обеспечение и разные операционные системы используют разные способы шифрования, будь то полное шифрование диска, шифрование на основе файлов или защищенные паролем устройства. Если мы сталкиваемся с препятствием такого типа, нам нужно исследовать разные маршруты, чтобы извлечь эти данные».

Сложность дисциплины выходит за рамки шифрования. Надлежащая процедура исследования телефона Android может отличаться от процедуры исследования телефона Apple, и во время расследования мобильной судебной экспертизы необходимо учитывать различия в исправлениях программного обеспечения и сетевом подключении. Два разных телефона, изъятых в два разных дня, могут иметь одно и то же приложение, но уровень доступа следователя к информации в этом приложении может быть совершенно разным.

«Что нам нужно сделать, так это научиться не зависеть исключительно от одного криминалистического инструмента, потому что он будет отставать в декодировании определенных приложений», — говорит Мерендон. «Чем больше мы тренируемся в том, чтобы распознавать за кулисами, как работает телефон и как создаются и объединяются базы данных, [тем больше] мы можем копаться и получать информацию, не полагаясь исключительно на декодирование конкретного судебный инструмент».

Не существует универсального подхода к мобильной криминалистике, поскольку каждое расследование будет иметь свои уникальные характеристики, поэтому программы обучения в IACIS сосредоточены на навыках, не зависящих от инструментов. Тем не менее, существует несколько стандартный процесс для мобильной криминалистики: данные должны быть изъяты, извлечены и проанализированы с точки зрения криминалистики. Это гарантирует, что доказательства собираются таким образом, чтобы обеспечить процессы цепочки доказательств и избежать изменения или уничтожения рассматриваемых данных.

Мобильная криминалистика, этап 1: изъятие

Когда мобильное устройство изымается, его обычно необходимо изолировать от сети, чтобы входящие данные не перезаписывали старые данные. Затем его можно транспортировать в клетке Фарадея или в специальном мешке Фарадея. Изъятое устройство также можно перевести в авиарежим (с отключенным Wi-Fi) или клонировать SIM-карту, в зависимости от обстоятельств.

В идеале устройство должно быть изъято в бодрствующем состоянии и разблокировано, а также постоянно оставаться включенным. В случае с заблокированным устройством важно помнить, что в то время как PIN-коды защищены 5-й поправкой, отпечатки пальцев могут быть не защищены.

Мобильная криминалистика, этап 2: сбор данных

После изъятия устройства оно готово для сбора данных. Мобильные данные делятся на три основных типа: внутренняя память, внешняя память и системные журналы. Внутренняя память обычно хранится на самом телефоне, а внешняя память обычно хранится на SD-картах или картах памяти. Системные журналы могут поступать от поставщика услуг связи и беспроводных сетей, которые использует телефон.

Данные смартфона, представляющие интерес для мобильных криминалистов, могут включать информацию GPS, данные социальных сетей, историю просмотров, контакты, текстовые сообщения, данные изображений, теги геолокации, электронные письма (отправленные, полученные и находящиеся в черновиках) и личные заметки. Это большой объем данных, которые необходимо просеять, и следователям часто требуется техническая помощь в виде сторонних инструментов, большинство из которых представляют собой автоматизированные коммерческие решения, которые могут иметь как аппаратный, так и программный компонент.

Существует четыре основных формы сбора данных: ручной сбор, логический сбор, физический сбор и сбор методом грубой силы.

Получение вручную

При ручном сборе данных эксперт по мобильной криминалистике перемещается по пользовательскому интерфейсу телефона вручную, попутно захватывая изображения экрана. Это не сильно отличается от простого использования телефона, за исключением того, что цель расследования. Сбор вручную — это трудоемкий процесс, и его объем ограничен данными, доступными в настоящее время в операционной системе.

Логический сбор данных

При логическом сборе данных мобильный криминалист копирует файловую систему телефона на отдельное устройство. Это похоже на синхронизацию телефона с ноутбуком, когда данные телефона передаются в разветвленных логических структурах, которые легче организовать и легче ориентироваться. Для некоторых операционных систем телефонов извлеченные данные могут включать файлы, помеченные для удаления, но еще не перезаписанные.

Физическое приобретение

При физическом приобретении эксперты-криминалисты «прошивают» все содержимое телефона на отдельное устройство. Это побитовая копия флэш-памяти мобильного устройства, которая может позволить исследователю просмотреть удаленные или частично удаленные данные. Однако большинство телефонов привязаны к определенному оператору беспроводной связи и защищают от доступа к флэш-памяти. Чтобы обойти это, некоторые эксперты по мобильной криминалистике могут обратиться к загрузчикам и другим инструментам криминалистики, чтобы обойти блокировку.

Получение методом грубой силы

Для обхода экранов блокировки и паролей некоторые следователи могут применять грубую силу, которая опять же обычно использует сторонние инструменты. Эти инструменты в своих самых ранних формах физически пытались ввести все возможные итерации числового PIN-кода на телефон. Более новые экраны блокировки и лучшие системы безопасности сделали этот метод относительно примитивным; сегодняшние инструменты для сбора методом грубой силы более сложны, чем следует из названия.

Мобильная криминалистика, этап 3: анализ

После того, как данные будут получены, мобильным криминалистам потребуется их проанализировать. Но типичный смартфон имеет 64 ГБ встроенной памяти, что составляет примерно 33 500 пачек бумаги. В этом астрономическом объеме данных ключевая улика может быть крошечной и безобидной: пропущенные звонки могут быть такими же важными, как отправленные текстовые сообщения, отвергнутые черновики электронных писем — такими же важными, как селфи.

«В зависимости от типа дела нас может интересовать только определенная категория данных», — говорит Мерендон. «Например, в случаях жестокого обращения с детьми нас очень интересуют истории веб-поиска и фотографии. Когда мы смотрим только на определенные категории, мы можем отфильтровать другие вещи, на которые нам не нужно смотреть».

Однако в крупных случаях, когда потенциально представляют интерес многие различные категории данных — чаты, изображения, контакты — процесс может занять гораздо больше времени. Для борьбы с этим болотом данных требуется множество технических решений.

Каждый криминалистический инструмент поставляется с различными аналитическими функциями, некоторые из которых представлены в форме просмотра временной шкалы и анализа ссылок, чтобы помочь судебному следователю визуализировать данные. Дальнейший поиск по ключевым словам и целевая фильтрация могут сделать мутные воды анализа данных немного более прозрачными и немного более мелкими.

В любом случае мобильный криминалист, скорее всего, должен владеть более чем одним аналитическим инструментом и хорошо обучен сохранению надлежащей цепочки улик.

Будущее мобильной криминалистики

Мобильная криминалистика — это быстро развивающаяся область, которая должна идти в ногу с инновациями технологической отрасли в целом. Рыночная доля определенного оборудования, а также определенных операционных систем может значительно колебаться в течение короткого промежутка времени, меняя инструменты и процедуры, которые мобильные криминалисты должны использовать для сбора и анализа данных смартфона.

Дополнительные меры безопасности, такие как двухфакторная аутентификация для данных, хранящихся в облаке, и повышенный уровень шифрования базового уровня, усложняют работу. Новые поколения наборов аналитических инструментов и перекрывающиеся законы в разных юрисдикциях требуют от современного мобильного криминалиста профессиональной подготовки.

«Сейчас многие колледжи предлагают степени бакалавра и магистра в области компьютерной криминалистики, — говорит Мерендон. «Некоторые из наших экзаменаторов имеют отраслевые сертификаты, а также дипломы колледжей. Другие приходят из правоохранительных органов. Все это связано вместе — навыки расследования и компьютерная сертификация — чтобы помочь точно определить тип информации, которая нам нужна для раскрытия преступлений».