Ibas forensics Mobila enheter

Transkript

1 Ibas forensics Mobila enheter Torbjörn Lofterud, Computer forensics Ibas Kroll Ontrack Torbjorn.Lofterud@ibas.se

2 Om Ibas Grundat 1978 Ägare: Kroll Ontrack Affärsområden - Data Recovery - Data Erasure - Computer Forensics Antal anställda i norden: 68 World wide (Kroll Ontrack) Global customer service: 24/7/365

3 Kroll Ontrack Worldwide Reach

4 Agenda Varför behövs IT-förensiska tjänster? IT-forensiska tjänster för mobila enheter Flash storage and flash management Låskoder och kryptering för mobila enheter

5 Företagshemlighet 1 information om affärs- eller driftförhållanden i en näringsidkares rörelse som näringsidkaren håller hemlig och vars röjande är ägnat att medföra skada för honom i konkurrenshänseende. Lag (1990:409) om skydd för företagshemligheter

6 Företagshemligheter Kundregister Affärsplaner Budgetar Ritningar Affärsunderlag Mallar / Kalkyler Policies Källkod Avtal med tredje part

7 Traditionell bevissäkring En spegelkopia görs av hårddisken från Original till arbets-kopia Checksummor skapas som visar överensstämmelse mellan original och kopia Ibas AS

8 Äldre mobiltelefoner Internminne (chip) SIM-kort

9 Telefontömning och chip-off SIM-kortet Telefonminnet Inkommande och utgående SMS Telefonbok Samtalslogg Sista basstationen man varit uppkopplad mot. Inkommande och utgående SMS Inkommande och utgående MMS Telefonbok Samtalslogg Datum och tidsstämplar

10 «Smartphones» Telefonminnet Inkommande och utgående SMS Inkommande och utgående MMS Telefonbok Samtalslogg Datum och tidsstämplar Bilder och video Röstmeddelanden E-post GPS-positioner Kalender Internethistorik Dropbox mm

11 Vad är en Smartphone? Hårdvara Minne CPU ROM SoC SoC NAND flash Batteri Touch display Extra hårdvara GSM-chip GPS / wifi / bluetooth Kamera nand

12 Telefontömning Manuell tömning Fotografera skärmen Logisk tömning Kopiera filer och konfiguration itunes-backup Synka med datorn Fysisk tömning Bit-by-bit-kopia av lagringsmedia Chip-off Löda loss kretsarna från telefonen

13 Låskoder och kryptering

14 Flashminne SLC Single level cell MLC Multi level cell Limitations Memory wear Read and write disturb Data read errors are common Need erase before writing Often delivered with bad blocks from factory Large block erase

15 NAND flash blocks and pages A flash page is commonly 4k or 8k A flash page is the smallest writable unit on the flash A flash block is 64 or 128 pages A flash block is the smallest ereasable unit on the flash

16 Flash managment software ios use software bases flash management Whimory FLT Flash translation layer VFL Virtual flash layer /dev/disk0 Flash translation layer (FTL) Virtual Flash Layer (VFL) NAND NAND NAND NAND

17 Flash managment software Metadata IMG_0005.JPG /dev/disk0 NAND NAND NAND NAND

18 Flash managment software Metadata IMG_0005.JPG /dev/disk0 NAND NAND NAND NAND

19 Flash managment software Metadata /dev/disk0 NAND NAND NAND

20 Flash managment software Metadata /dev/disk0 NAND NAND NAND Metadata page with IMG_0005.JPG Metadata page without IMG_0005.JPG

21 Låskoder och kryptering

22 iphone - ios iphone1 iphone 4 ramdisk Låskoder och kryptering iphone4s iphone 5 itunes-keys Passcode bypass ios-backup Jailbreak?

23 Android Ramdisk J-TAG USB-debug (ADB)? Google account Låskoder och kryptering

24 iphone - ios iphone1 iphone 3 Låskoder och kryptering Ingen kryptering alls iphone3gs & iphone 4 Kryptering aktiverad per default Endast epost-krypterad med nyckel som användaren kan påverka iphone4s & iphone 5 Kryptering aktiverad per default

25 Android Låskoder och kryptering Kryptering ej aktiverad per default LUKS Samma lösenord som låskod

26 Framtid inom forensik för mobila enheter Behovet av tydliga riktlinjer/policies ökar BYOD Större lagringsmängder Ipad 128gb Samsung Series 7 Business Slate 128GB Fler nättjänster och applikationer Cloud computing Dropbox VDI Anställda är mer medvetna om digitala avtryck Uppfattar utrustningen som sin egen Raderar digital information när de slutar en anställning

27 Tack! Torbjörn Lofterud, Computer forensics Ibas Kroll Ontrack Frågor?