KANDID Metadata - En forensisk analys av Exif A Marcus Larsson T UPPSA It-forensik och informationssäkerhet 180 HP , Halmstad TS

Transkript

1 KANDIDATUPPSATS

2 Metadata En forensisk analys av Exif Kandidatuppsats 2013/04 Författare: Marcus Larsson Handledare: Urban Bilstrup Examinator: Mattias Wecksten Sektionenförinformationsvetenskap,data3ochelektroteknik HögskolaniHalmstad Box823,30118HALMSTAD

3 CopyrightMarcusLarsson,2013.Allrightsreserved Kandidatuppsats Rapport Sektionenförinformationsvetenskap,data3ochelektroteknik HögskolaniHalmstad I

4 Förord JagvilltackaminhandledareUrbanBilstrupsamtminexaminatorMattiasWecksten förhjälpenmeddettaarbete. Vidarevilljagtackaminsamboförhennestålamodnärarbetetharkrävtsinasena kvällarsarbete. II

5 III

6 Abstrakt Ienbildtagenmedendigitalkamerakanmanåterfinnamängderavinformationom bildensursprungochinställningarikameran,någotsombenämnssomexif3data. Dettaärnågotsomkanvaraavabsolutintressevidforensiskaundersökningari syfteattknytabevismaterialtillengärningsman. IdettaarbeteskallettantalfrågeställningarbesvarassomkanvaraaktuellförenIT3 forensiker,medavseendepåbildertagnamedensmartphone. Kanmanstyrkaattenspecifikenhethartagitenspecifikbild?Hurtillförlitligärden GPS3informationsomkanlagrasienbild? GenomexperimentochgranskningaravExif3data,kommerdettaarbetegesvarpå dessafrågor.arbetetkommerocksågeexempelpåverktygföratttolkaexif3 informationen. VidarekommerarbetetäventaupphuruvidadenmobilaapplikationenWhatsApp väljerattraderaexif3datavidöverföringavbildermellansmartphones. Abstract Inapicturetakenwithadigitalcamera,youcanretrievealotofinformationabout theimage'soriginandsettingsofthecamera,whichisreferredtoasexifdata. Thisissomethingthatcanbeofabsoluteinterestinforensicinvestigationsinorder toestablishevidenceagainstanoffender. Inthisworkanumberofquestionswillbeansweredthatmayberelevantfora computerforensic,andwithprimaryfocusonpicturestakenwithasmartphone. Canyouprovethataspecificdevicehasaspecificimage?HowreliableistheGPS informationthatcanbestoredinsideapicture? ThroughexperimentsandsurveysofExifdata,thisworkwillprovideanswersto thosequestions.thisreportwillalsogiveexamplesoftoolsforparsingtheexif3 data. ThispaperwillalsolookatwhetherthemobileapplicationWhatsAppchooseto deletetheexifdatawhentransferringimagesbetweensmartphones IV

7 Innehåll 1 Introduktion Bakgrund Syfte Frågeställningar Teknisk+bakgrund Metadatans+historia+och+användningsområde JPEG+och+Exif+ur+ett+tekniskt+perspektiv Metod Förberedelser Tillvägagångssätt+för+laboration Resultatredovisning Laboration Experimentmetodik Bildinsamling Resultat TelefonA SamsungGalaxyS TelefonB GalaxyNexus TelefonC iphone WhatsApp Resultatanalys Slutsats Etisk+diskussion Referenser Bilagor I

8 II

9 Ordlista ID33information Metadatasomfrämstanvändsimp33filerförinformationom artist,albumodyl. Exif Exchangeableimagefileformat.Namnetpåmetadataibilderavtypenjpeg. OTT OverTheTopärnerladdningsbarameddelandeapplikationersommöjliggör direktkommunikationmellananvändareavsammaapplikation,exempelvis WhatsApp GPS3tagg/GPS3inbäddadinformation Informationompositiondärbildenstogs utifrånettkoordinatsystem. Vanilla3android GrundversionenavoperativsystemetAndroid. Altitude Positionihöjdläge. DD DecimalDegrees.Ettformatförattangepositionpåjordklotet. DMS Degrees,Minutes,Seconds,ettformatförattangepositionpåjordklotet. III

10 1 Introduktion 1.1 Bakgrund Metadata+ +En+forensisk+analys+av+Exif+ Användningsområdetförmetadataärstort.Justordetbetyderungefärdataom data,vilketocksåbeskriverganskavälvaddetinnebär.detkanexempelvisvara datasomlagrasinutienannanfil,såsomid33informationenienmp33filellerexif inutienbildfil. Närmananvänderendigitalkamerasåsparasivarjebild,förutomsjälvabilden, äveninformationomkameramodell,tidochdatum,kameransinställningarochen stormängdannandata.dennainformationärmycketlättåtkomligochkräveringa direktakunskaperförutomkännedomomdessexistens.ärmanexempelvisfotograf kanmaniefterhandstuderahurkameranvarinställdförenspecifikbild.ur forensisksynvinkelfinnsdetdockettflertalandraaspekter.förutominformationen nämndovanlagrasävenenheldelannandata,medvissarestriktioner,någotsom nämnsmernedan.kameransserienummerochobjektivetsserienummerärsådan informationsomfinnsattfinna,någotsomupptäcktesunderförarbetetfördetta arbete,ochdettaärnågotsomkananvändasförattknytaeneventuell gärningsmansutrustningtillbildermanharfunnit. Ommanharennyaremobiltelefonavsmartphone3modellharmanideflestafallen inbyggdkamera.omdennatelefonävenharinbyggdgps3mottagarekanmanfinna GPS3koordinaterövervarvarjebildharblivittagen,förutsattattfunktionenär påslagen.dettaärnågotsomkanvarahögintressantvidenforensiskanalys,dådet gerforensikernmöjlighetattstuderavargärningsmannenharbefunnitsig. EnligtendiskussionpådetforensiskaforumetForensicFocus[1]raderasmetadatai bl.a.bildernärdesändsmellanenhetermedhjälpavenapplikationvidnamn WhatsApp.WhatsAppärenmeddelandeapplikationsomfinnstillgängligpåalla befintligamobilplattformar,ochmöjliggörutbyteavtextmeddelanden,bilder,filmer m.m.alldataskickasviainternetvilketgörattmanslipperkostnadenförsmseller mms. Dennatypavapplikation,därteknikenkallasOTT,ärmycketpopulär,ochen undersökningfråninformafrånapril2013visarpåattdetskickadesisnitt19.1 miljardermeddelandenperdagpådettaviset,vilketkanjämförasmedca17.6 miljardervanligasmsomdagen,ochdettaunder2012.rapportenuppskattaräven attdessasiffrorkommerattvara41miljarderomdagenislutetav2013förott jämförtmed19.5miljarderförsms.[2] OmpåståendetattWhatsAppraderarmetadatanibildervisarsigstämmakandet varaenbesvärandeomständighetvidframtidautredningar. 1

11 1.2 Syfte Metadata+ +En+forensisk+analys+av+Exif+ SyftetmeddennarapportvarattfåenstörreförståelsefördenExif3information somskapasgenomanvändandetavsmartphones.genomattökaförståelsenkan maneventuelltstärkabevisföringeninförenrättegång,förattminskaeventuella riskerattbevisenintegårattanvändaiettsenareskede. EnrapportskrivenavenIT3forensikerinförenrättegångskall,enligtforensikervid poliseniumeå,varaformuleradsåattingatveksamheterellermöjlighettill feltolkningskallkunnaske,idenmåndetärmöjligt.ommanökarförståelsenhos denforensikersomutförarbetetkanmanocksåanvändasinkunskapattpåettmer lättförståeligtsättförmedlainformationentillenicketekniskkunnigpersonsåsom domareochnämndemän. 1.3 Frågeställningar Gårdetattknytabildertagnamedmobilkamerortillrespektiveenheter? o SkiljersigExif3informationenmellanolikamärkenochmodeller? o RaderasmetadatavidanvändandetavWhatsApp? o HurtillförlitligärGPS3informationenimetadatan? 2

12 3

13 2 Teknisk bakgrund 2.1 Metadatans historia och användningsområde Metadatasomtermbetyder,somtidigarenämnt,dataomdata.Syftetärattanvända metadatasomenbeskrivandedata,ellerinformation,omnågontingannat.uttrycket myntades1968irapporten Extensionofprogramminglanguageconcepts [3]och komattblividaanväntförattbeskrivadennatypavinformation. Denvanligastetypenkallasdeskriptivmetadata,ochkanenklastförklarassom dataomdatainnehåll isyfteattbeskrivainnehållochstrukturinomolika dataområden.beskrivningavinnehållkanvaraexempelvisvaraförfattare,titeleller nyckelordförsökning.enjämförelseutanfördendatatekniskavärldenkan exempelvisvaramanuellaregisteröverböckeriettbibliotek,därvarjebokeller tidsskriftfinnskortfattatbeskriveniettkartotek.idaganvändermansigavsamma principlagradeidatabaserförenklareochsnabbarehanteringochsökning. Andratyperavmetadataärstrukturellochadministrativmetadata,därden strukturellasyftartillatttalaomhurstrukturenpåettobjektskallvara,exempelvis etttextdokument,medandenadministrativakanbeskrivaenfilsläs3och skrivrättigheterochfiltyp.[4] DenofficielladefinitionenavmetadatakommerfrånNationalInformationStandards Organizationochlyder: Metadataärstruktureradinformationsombeskriver, förklarar,placerarellerpåannatsättgördetlättareatthämta,användaeller hanteraeninformationskälla. [5] Metadatakanfinnasplaceradbådeidenfildenhandlarom,menocksåfinnas lokaliseradidatabaserellerregister.beroendepåändamålethardetolikaför3och nackdelar.ommetadatanfinnsidenaktuellafilensåsäkerställerdetatt informationeninteförsvinner,ochskalldenuppdateraskandetskeperautomatik. Omdendäremotfinnslagradidatabaserkandetunderlättahanteringochsortering, ochlänkasdåtilldendatadentillhör. Metadatakanskapaspåolikasätt.Somifalletmedbildersågenererasmetadatan automatisktutavkameransmjukvaraberoendepåkamerainställningar,tidpunkt osv.ifalletmedbiblioteksregistrenskapasmedfördelmetadatanmanuellti exempelvisfördefinierademallar.[4] 2.2 JPEG och Exif ur ett tekniskt perspektiv JPEGärettfilformat,ochenvanligtanvändmetod,förattkomprimeradigitala bilder.enavfördelarnamedjpegärdessförmågaattkraftigtkomprimerabilderna utanstörrekvalitetsförlust,medandenintelämparsigförallatyperavbilder. NärmangranskarenJPEG3bildihex3vyfinnermanattvarjebildbörjarmed FFD8 sommarkerarsoi(startofimage),ochslutarmed FFD9 sommarkerareoi(end ofimage).däremellanärdatanuppdeladiolikasegment,varochenmedenegen markering.varjemarkörförettapplikationssegmentkallasförapplikationsmarkör ochliggerispannetmellanffe03ffefidethexadecimalaalfabetet.genomdenna 4

14 flexiblauppbyggnadharjpegsomformatutvecklatstillattkunnainnehållaandra filformatsåsomjfifochexif,samtidigtsomstandardenjpegigrundenbehålls.[6] SpecifikationernaförfilformatetExifutarbetadesavJEIDA(JapanElectronic IndustryDevelopmentAssociation)ochdensenasteversionen2.3komiapril2010. SyftetmedExifärattkunnainkluderainformationibilder,såsomtidigarenämnt, bl.a.tidsstämplarochkamerainställningar.[7] NärExif3informationfinnslagradibilderärdenrepresenteradunderdetförsta applikationssegmentetenligtovan,ochåterfinnsdirektefterbildenssoi FFD8 där segmentsmarkeringen,förexifkalladapp1,ärffe1.såledesbörjarenjpeg3bild medtillhörandeexif3datamed FFD8FFE1 ihex3vy.[6] DärefterföljerbildensExif3information.Dennaåterfinnsunderettantalolika Tag IDs ifilen.formatetpåvärdenaibildenkanskiljasigmellanexempelvisascii3 värdenochshort,beroendepåändamålet.somexempelsååterfinnerviden aktuellabildensimageuniqueidpåtagida420ihex,ochformatetärascii.image UniqueIDärenenhetsidentifikation,liktettserienummer,någotsomnämnsmer ingåendesenareirapporten. VarjedelavExif3informationensåsomdatum,tidochslutartidharsinegenposition ibildensfilformat.dessaunikatagid sgördetmöjligtförettprogramsomtolkar Exif3informationenattpresenteradenpåettkorrektsättutifrånettfördefinierat system,etts.k.schema.[7] EnbildsExif3informationkanvaramycketutförlig,ochinnehållaenmycketstor mängddata.kameratillverkarnaharingenskyldighetattutnyttjaallatillgängliga Tag3IDs,utanväljersjälvavilkeninformationsomskalllagras.Exifisigäretteget separatfilsystem,somanvändsikombinationmedbl.a.jpeg,ochdeninformation somåterfinnsiexifharingentingmedmotivetibildensomsådanattgöra.deär förvissosammanlänkadepåsåsättattexif3datangenererasnärbildenskapas,men ettbildprogramsomanvändsföratttittapå,ellerredigerabilder,använderinte Exif3datanförattkunnapresenterabilden.Deärsåledesindirektseparerade.[6] 5

15 6

16 3 Metod 3.1 Förberedelser Dettaarbetekrävdeendelutrustning.Förändamåletvaldestreolikasmartphones fråntreolikatillverkareförattfåenbreddpåinformationen,därkravetpådeolika telefonernavarattdeskallhainbyggdkamerasamtmöjlighetenattaktivera möjlighetentillgps3positioneringknutentillbilden.medhjälpavdessatelefoner fotograferadesettantalbildermedolikakamerainställningar,därbildensmotivär förändamåletheltirrelevant,utandärfokusendastliggerpåeventuellexif3datai bilden.devaldaenheternaskulleocksåvarakompatiblamedvaldaapplikationer förtrådlösbildöverföringsåsomwhatsappsamtfacebook. Vidarekrävdesdetenmjukvaraellerannanapplikationsomkundeextraheraoch tolkadenbefintligametadatanurdevaldabilderna.detkravsomfannsvaratt programmetskullepresenterastörstamöjligamängdinformation,föratt möjlighetensedanskullefinnasattselekterautdetrelevantautifrånsyfteoch behov. 3.2 Tillvägagångssätt för laboration Förattbesvarafrågeställningarnaföllvaletpåattgöraettkvantitativtexperiment avupprepandekaraktär,därslutledningenskallbyggapåempiri.enempirisk slutledningkandefinierassomenbeskrivningavhurnågot är idenverkliga världeniställetförhurnågot kan vara.[8]enannanförklaringtillvaletavmetod urettkvantitativtempirisktsynsättär;genomattupprepadegångerutföraistörsta möjligamånsålikaexperimentsommöjligt,ochutifråndeolikaförutsättningarsom varjetelefonger,såförväntarjagmigkunnaselikheterochskillnadersomkanleda framtillenmöjliganalysutifråndeerfarenheterjagharskaffatmig.[8] 3.3 Resultatredovisning Resultatredovisasitextsamtreferensertillskärmavbilderiappendix.Resultatet presenterasmedhjälpavskärmavbilderförattpåettkonkretsättvisapåeventuella lik3ocholikheteridenextraherademetadatan,ochgeetttydligtsvarpå frågeställningarna.dåresultatetharvaritförhållandevislikavarandra,harett mindreantalskärmdumparfrånvarjeenhetvaltsutförreferens. 7

17 8

18 4 Laboration 4.1 Experimentmetodik Motivenpåbildernaharvaltsutendastavanledningenattinteriskeraattbilderna fallerunderupphovsrättslagen.idefallsombildernaintehartagitsavförfattaren, harfotografenfåtttydligainstruktionerförattsäkerställaattingaproblemuppstår. Bildernaharöverförtsfråndevaldaenheternaantingenmedhjälpavtelefonernas inbyggdaepost3klienter,ellermedhjälpavkabelanslutningtilldator.dessatvå metoderförändrarintebildernaskvalitéellerstorlek,någotsomutfördesiseparata testerförattsäkerställa.efteröverföringentilldatorhartidsstämplarnai respektivebildjämförtsmeddenfaktiskatidenförfotograferingen,någotsomockså lågtillgrundföranalysenavmetadataniettsenareskede. Bildernaharlagratsochsorteratseftervilkentelefonmodelldetillhör,förattinte riskeraattdeblandasihop. Detendafaktiskaingreppsomgjorts,ärattmärkavarjebild,dettaförattskiljadem åt.dettahargenomförtsgenomattläggatill X_X_ ibörjanpåvarjefilnamn,där första X representerarvilkentelefonbildenkommerifrån,ochandra X vilken bilddetäriordningen. Exempel: Före:IMG_ _ jpg Efter:A_1_IMG_ _ jpg Varjeskärmavbildärmärktmedavseendetillvilkenbilddenhörihopmedenligten modellmedtreteckenx.x.x.förstabokstavenavserenhet,andrasiffranvilket fotografiochtredjesiffranvilkenavbildiordningendetär.dettaförattinteriskera attblandaihopmetadatan. Desmartphonessomharanväntsvidexperimentetär: SamsungGalaxyS2,Androidversion4.1.2 GalaxyNexus,Androidversion4.2.1 iphone5,iosversion6.1.3 Valetföllpådessatreenheteravtreolikaanledningar.Dessamodellerkommerfrån någraavdestörstatillverkarnaidag,ochoperativsystemetskiljersigåtsinsemellan. iphonenanvändersigavapplesegetoperativsystemiosversionmedandeandra tvåigrundochbottenanvändersigavgooglesandroid.deskiljersigdockåtändå dågalaxynexuskörens.k.vanilla3versionavandroid,vilketinnebärattdetär Androidisittabsolutastandardutförande,ochSamsungsjälvaskaparsitteget gränssnittochsinaegnaapplikationerförsinamodeller,någotsomeventuelltkan geskillnaderislutändan.sistaanledningenärattdeallaharmöjlighetentillgps3 inbäddadinformationitagnabilder. Förattextraherametadatanurdevaldabilderna,valdestvåapplikationer.Dels användeshemsidanjeffrey sexifviewer[9]somärenwebbapplikation,samtden 9

19 inbyggdaexif3applikationeniwindows7.valetföllpådessatvådådeärgratisatt använda,samtattdeeftertestharvisatsigpresenteradenmetadatasomär intressantförarbetet.valetattanvändatvåapplikationerärförattkunnajämföra informationeninteskiljersigfrånenapplikationtillenannan. Hemsidanfungerarpåtvåolikasätt.Mankanantingenextraherametadatauren bildviadesswebblänk,förutsattattbildenfinnspåinternet,ellersåkanmanladda uppbildentillhemsidanochdärefterfåmetadatanpresenterad.dåfotografierna harfunnitslokaltsparadehardetsenarealternativetanvänts.föratttittapå metadataniwindows7högerklickarmanpådenvaldafilen,väljer Egenskaper och fliken Detaljer. VarjestudieavExif3datanharbörjatmedenjämförarespektivebildiJeffrey sexif ViewerochiWindows7.Omdatanharvaritkonsekventochsaknatskillnader,har ingaåtgärdervidtagits.omdetdockvisadesigattdatanskiljdesigåtsinsemellan, togsskärmavbildsamtgenomfördesendokumentation. Därefterstuderadesvarjebildsmetadataförsig,skärmavbildtogspåden informationensomupplevdesrelevant,samtgjordesdokumenteringianteckningar vidsidanav.dettaförattkunnajämföradeolikabildernasinformationmot varandraochdärmedseskillnaderochlikheter. 4.2 Bildinsamling TelefonA3SamsungGalaxyS2 ExperimentetpåbörjadesmedGalaxyS2,därsammanlagtfyrabildertogs,sefig.A_1 A_4iappendix.DeförstatvåbildernafotograferadesutanGPS3funktionen påslagen,medandeandratvåtogsmedfunktionenpåslagen.funktionenförgps? taggåterfinnsikameransinställningar.övrigainställningarförkameranvar inställdapåautoistörstamöjligamån,blixtenvaravstängdsamthögstatänkbara bildkvalitetvarvald. FörattsenoggrannheteniGPS3informationentogsbildernapåtvåolikaplatser, medungefär100meteremellan. DärefteröverfördesbildernafråntelefonentillendatorviaUSB3kabeloch mjukvaranandroidsfilöverföring.[10] TelefonB GalaxyNexus Bildernafråndennaenhettogsavenutseddperson.Ävenhärtogsfyrabilder,där bildettochtrehadefunktionenförgps3taggpåslagen.(fig.b_1 B_4)Förattkunna jämföranoggrannhetenigps3informationenfotograferasbildernaävenhärmedett störreavståndemellan. Bildernaöverfördesfråntelefonentilldatormedhjälpavtelefonensinbyggdae3 postklienttille3post,därifråndesedannerladdades. TelefonC iphone5 Bildernafråndennaenhettogsavenutseddperson.Fyrabilderfotograferades(Fig. C_1 C_4),därdetvåsistabildernahadefunktionenförGPS3taggpåslagen.Ifallet meddennatelefonsåöverfördesförstbildernatillendator,förattsedansändasvia e3post. 10

20 WhatsApp FörattgranskaeneventuellförlustavmetadatavidanvändandetavWhatsApp, sändesfig.b_1frångalaxynexustillgalaxys2medhjälpavwhatsapp.därefter överfördesbildentilldatormedhjälpavusb3kabel. 11

21 4.3 Resultat Resultatsompresenterasnedankommerifråndenmetadatasomharextraheratsur respektivebild.detrefererasendasttilldenmetadatasomfinnsattsepå skärmdumpariappendixomingetannatbeskrivs Telefon A Samsung Galaxy S2 EnligtmetadatankommerdessabilderifrånenSamsungGt3I9000,vilket överensstämmermedspecifikationernaförenheten.äventidsstämplarnastämmer välöverensmeddeaktuellatiderna.deövrigainställningarnasåsomförisooch slutartidvaritelefoneninställdapåauto,ochingetstörrefokusläggsviddessa. Förexempel,sefig.A.3.1. Enligtfig.A.3.2kanmanutläsa ImageUniqueIDSCEF02,någotsomockså återfinnsimetadatanfördeövrigabildernafrångalaxys2. Ifig.A.3.3återfinnsGPS3koordinaterfördärbildentogs,någotsomframgår tydligareifig.a Telefon B Galaxy Nexus ImetadatanförGalaxyNexusvarinformationenangåendemodellnågotmer knapphändig,ävenomdetframgickatttelefonenäravrättmodell.dock överensstämmerävenhärtidsstämplarnamedtidpunktenförnärbildernatogs. ImetadatanfrånallabilderfråntelefonBfinnervi ImageUniqueIDOAEL01 ExempelavmetadatanfrånGalaxyNexusfinnerviifig.B.1.1,deninbäddadeGPS3 informationenåterfinnsifig.b.1.3samtitillhörandekartbildifig.b Telefon C iphone 5 ImetadatanförtelefonCfinnerviiprincipsammainformationsomtidigare. Telefonmodellenochtelefonensoperativsystempresenteras,ochtidsstämplarna stämmeröverensmeddetaktuellatillfälletförfotograferingen.docksaknas Image UniqueID imetadatanfördennaenhet.däremotåterfinnervigps3informationen enligtfig.c WhatsApp IfalletmedbildensomöversändesmellantelefonBtilltelefonAärmetadatani principtom.viåterfinnerbaratrivialinformationsåsomfilensstorlekipixlaroch datamängd.sefig.d

22 13

23 5 Resultatanalys Somtidigarenämntssåstämmertidsstämplarnamycketvälöverensmedden aktuellatidendåbildentogs.detärviktigtattkommaihågatttidenärberoendeav deinställningarmangjortpåtelefonen,stämmerintedenbliräventidsstämpelnfel. TittarmanpåImageUniqueIDsermanattdebildersomärtagnamedsamma smartphoneocksåharsammaid,någotsomdåbesvararfrågeställningenangående ifallmankanknytaenbildmedenenhet,någotsomkräverattmanhartillgångtill ensmartphoneattjämföramed. IfalletmedtelefonC,eniPhone5,såsaknasinformationenomImageUniqueIDi allafyrabilderna.besluttogsförattundersökaomdettavarnågotspecifiktförjust dentelefonensomanvändesiexperimentet,ochytterligareenbildtogsmeden annaniphone5,sefig.e_1.imetadatanfördennabildfig.e.1.1framgickdetattäven idettafalletsaknasimageuniqueid.huruvidadettaärnågotspecifiktföralla modellerfrånapple,ellerbarasaknasiiphone5gårdockejattbesvaraidetta arbete. AllatelefonernaharvisatsigkompetentanärdetgällerGPS3data.Vissaavvikelser harfunnitsmedavseendepådenfaktiskautgångspunktenförfotograferandetoch denpositionsomsedanharpresenterats,mengenerelltharresultatetvaritgott. DenfrämstaavvikelsenharvaritfrånGalaxyNexus.Enligtfig.B.1.4befannsig fotografenimartinlutherskyrka,närfotografenisjälvaverketbefannsigcirka170 meteråtväster.ifalletmedfig.b_3befannsigfotografenienlokaldrygt500meter norromdenegentligapunktenförfotograferingen.vilkafaktorersomharpåverkat dettagårbaraattspekulerai,dådetkanvaraettflertalolika.exempelviskan mottagningenförgps3satellitervaritbristfällig,ochdåanvändsiställetenmetodför attberäknaettungefärligtavståndtilltelefonmaster,någotsominteärlikasäkert somanvändandetavsatelliter.dockärdetmestrelevantaattdetkanfinnasen felmarginalsomkanvaraförhållandevisstor,någotsomärmycketviktigtattha mediberäkningarnavidenforensiskundersökning. VidenjämförelsemellanGalaxyS2ochiPhone5kanviocksåseattiS2 sfallså saknasdataföraltitud,dvshöjdläge.jagkandockinteuttalamigomhurexakt dennametadataärförhållandetillverkligheten,mendetärintressantattdenfinns där. VidanvändandetavJeffrey sexifviewersåpresenterasgps3koordinaternapåtvå olikasätt.somviexempelviskanseifig.a.3.3presenteraskoordinaternaenligt formatet DD somstårfördecimaldegreeochifig.a.3.4enligtformatetdms. Viktigtattkännatillärattdessatvåformatbetecknarsammasak,ochmanräknarut DMSutifrånDD. Informationenmellanmodellernaharskillnader,mendeärrelativtsmå.Vid jämförelsemellangalaxynexusmotgalaxys2ochiphone5såärmetadatani GalaxyNexusnågotmeravskaladiavseendetillmermodellspecifikinformation såsommjukvaraochtillverkare,samtvissannandata.dockfinnsdetmestrelevanta såsomtidsstämplar,imageuniqueidochgps3taggar(idetfallendenäraktiverad). 14

24 Somvikanseimetadatan(fig.D.1.1)frånbildensomöversändesmedhjälpav applikationenwhatsappfrångalaxynexustillgalaxys2saknasallmetadataoch ävenfilnamnetharförändratsjämförtmedoriginalet.ommanöppnardetvåfilerna ienapplikationsomkanvisafilernaihexadecimalkodsåkanman,ifalletmed original3filen,seattdetpåöverstaradenstår Exif,menattdetsaknasiden överfördafilen.enligtstandardenförexifskalldennainformationfinnasibildfilens headeromexif3dataskallfinnasibilden,någotsombeskrivsnärmareidentekniska bakgrundenovan.[6] Närmanvidarejämföroriginalbildenmotdenbildsomextraheradesefter överförandetsåkonstaterasocksåattfilensstorlekharförändratsdrastiskt.från 1.8MBtill61kB. 15

25 6 Slutsats Utifrånderesultatsomexperimentethargett,gårdettillstordelattbesvarade aktuellafrågeställningarna.denstorahuvudfrågan,gårdetattknytabildertagna medenmobiltelefontillenenhet,harförvissointeettraktsvar.idebildersomtogs medtelefonerbaseradepåandroidharfrågangettettkonkretsvar,detärmöjligt.i falletmedtelefoneniphone5hardetdessvärreintevaritlikaenkeltdå informationenförimageuniqueidharsaknats.vidreplikeringenavexperimentet saknadesävendådennainformation,vilketgörattdendragnaslutsatsenbliratt dennainformationsaknasitelefoneravdennamodell.huruvidadettaär gemensamtförallatelefonerfrånappleärnaturligtvisovisst,någotsomisåfall måsteundersökasiettsenarearbete. Detärdockklartattidefallendennainformationfinnssåärdetettmycket användbartsättförattknytasammanenbildtillentelefon,underförutsättningatt manhartillgångtilltelefonen.detfinnsexempelvisonline3tjänstersomdrarnytta avsådaninformationförattlokaliserabilderuppladdadepånätet,därbildernaär tagnaavstulnakameror.[11] ÄvenGPS3informationenharvisatsigvaraavgenerelltsettgodkvalité.Somtidigare nämntkandetfinnasavvikelser,någotsommanmåstetaibeaktning,menatt överhuvudtagetkunnafåenfingervisningövervarbildentogskanförmodligenvara tillstorhjälpvidvissautredningar.ettexempelpådettaärfalletmedskaparenav anti3virusprogrammetmcafee.johnmcafeedelademedsigavbilderpåsigsjälvnär hanvarpåflyktundanrättvisanochgenomenanalysavexif3datanidessabilder kundemanspårahonomtillguatemala.[12] SlutsatsennärdetgällerexperimentetmedWhatsAppärattWhatsAppisig förändrarbildendrastiskt,ochdetärdärförmetadatansaknas.förutomfilnamnet såharocksåfilstorlekenförändrats,ochfilenärdärmedintedensammasominnan överföringen.somvikansebeskrivetidentekniskabakgrundenförarbetetfinns Exif3datanlagradsomettseparatfilsystemibilden.Förändrasbilden,exempelvis förminskas,såförändrasocksåfilstrukturen,ochdärmedocksåexif3datan. Anledningentillförminskningenavfilenärförmodligenförattöverföringenavfilen skallgåfortare,specielltommanäranslutentilllångsammarenät.förattbättre kunnabesvaradennafrågeställningtogsdetkontaktmedföretagetbakom WhatsApp,någotsomtyvärrvarresultatlöst. HuruvidapolisenidaganvändersigavExif3dataibilderisyfteattknytaenbildtill entelefon,ellerförattfåenindikationpåvarpersonenbefannsigmedhjälpavgps3 koordinateräroklart,menpotentialenochmöjligheternaärstora,förutsattattman harbehovetavdessa. 16

26 EnviktigfaktoratthaiåtankeärmöjligheternaattmanipuleraExif3dataisyfteatt förvillaochförvirra.medsammaprogramvarasomkananvändasföratttolka metadatankanmanävengöraförändringarsåsomförändringaravgps3koordinater, förändratidsstämplarochävenimageuniqueid.omenindividvillgömmasigeller försvåraettutredningsarbetesåfinnsallamöjligheterattgöraså,ochmöjligheterna attavgöraomförändringarhargjortsimetadatankanvarasvåraattavgöra.[13] Detfinnsdockexempelpåhurman,utifrånsolensplaceringpåbilden,placeringför fotograferingenutifrångps3koordinaterochtidsstämplar,gjortexperimentföratt avgöraomtidsstämplarnaharblivitmanipulerade.[14] Smartphonesblirenalltstörredelavvårvardag,ochomvisomforensikerkan användadennaenhet,somisigärenkällatillenindividsprivatliv,påettkorrekt sätt,ärminförhoppningochkänslaattmångabrottiframtidenkanblilösta. EnforensiskanalysavExif3datakanförmodligenintegeallapusselbitarsombehövs förattbindaengärningsmantillettbrottellerplats,mendetforensiskaarbetet beståravettflertalmoment,därvarjedelärviktig.enbildanalysikombinationmed samtalsloggar,smsochkanskespårfrånsocialamedierpåinternetkanbidratillen tydligarebild,någotsomiförlängningenkanvaradirektellerindirektavgörande videnrättegång,oavsettomdenmisstänkteärskyldigellerinte. 6.1 Etisk diskussion MöjlighetenkringanvändandetavExif3datahartvåsidor.Fördelarnatalarsitt tydligaspråk;möjlighetenattiefterhandgranskainställningarnaförvarjebild,att skapaettfotoalbumutifrånvarmanharbefunnitsigsamtmöjlighetenattspåra bilderpåinternetsomhartagitsmedenstulenkameraärallaexempelpåklara fördelar. Detärdockviktigtatthafördelarnasbaksidoriåtanke.Ommansomanvändareinte ärmedvetenomattenspositionkanlagrasibildermantarochdelarmedsig,finns riskenattmanofrivilligttalaromvarmanbefunnitsig.förgemenemanbehöver dettaintevaraettproblem,dåbehovetavattgömmasigiregelärlitet,menatt omedvetetdelamedsigavsinpositionärförmodligenintealltiduppskattat. Omenmisstänktgärningsmaninteärmedvetenomdettaärdetenklarfördelvid arbetetmedeventuelltbevismaterial,ochminpersonligaåsiktärattdetkan innebäraviktigapusselbitariarbetetmedattknytautrustningochpositionertill denmisstänkte,likavälsomdetkanfriadenmisstänktefrånbrott. 17

27 7 Referenser [1]ForensicFocus.2013.ForensicsonWhatsApp. 26) [2]Informa Telecoms&Media twice3the3volume3of3p2p3sms3traffic3by3end32013/(hämtad ) [3]Bagley,P.1968.Extensionofprogramminglanguageconcepts. [4]NISOPress.2004.UnderstandingMetadata ) [5]Franks,P.Kunde,N.2006.WhyMetadatamatters [6]TechnologyPathways.2004.ExchangeableImageFileFormat(ExIF). [7]Cipa.2012.Exchangeableimagefileformatfordigitalstillcameras:Exifversion (Hämtad ) [8]Sakumolson,S.Fundamentalsofquantitativeresearch.ChulalongkornUniversity ) [9]Jeffrey sexifviewer. [10]AndroidFileTransfer. [11]Stolencamerafinder [12]Weitzernkorn,B.2012.McAfee srookiemistakegivesawayhislocation. TechnewsDaily ) [13]Gloe,T.ForensicAnalysisofOrderedDataStructuresontheExampleofJPEG Files.InstituteofSystemsArchitecture,Dresden,Germany. 18

28 ) [14]Kaka,P.Sudha,N.2012.AuthenticatingImageMetadataElementsusing Geolocation.InformationandSunDirectionEstimation.InstituteforMedia Innovation,NanyangTechnologicalUniversity,Singapore ) 19

29 8 Bilagor Fig. A_1 Fig. A_2 Fig. A_3 Fig. A_4 Fig. A.3.1 Fig. A.3.2 Fig. A.3.3 Fig. A.3.4 1

30 Fig. B_1 Fig. B_2 Fig. B_3 Fig. B_4 Fig. B.1.1 Fig. B.1.2 Fig. B.1.3 Fig. B.1.4 2

31 Fig. C_1 Fig. C_2 Fig. C_3 Fig. C_4 Fig. C.3.1 Fig. C.3.2 Fig. C.3.3 3

32 Fig. D_1 Fig. D.1.1 Fig. E_1 Fig. E.1.1 För åtkomst till alla skärmdumpar, vänligen besök länken nedan. 4

33 Presentation av författaren Marcus Larsson Är28årgammalochdettaärminkandidatuppsatsfördatateknikmedinriktningIT3 forensikochinformationssäkerhet. 5

34 HÖGSKOLAN I HALMSTAD Box Halmstad

35 HALMSTAD UNIVERSITY PO Box Halmstad, Sweden