Ibas forensics Mobila enheter Torbjörn Lofterud, Computer forensics analyst @ Ibas Kroll Ontrack Torbjorn.Lofterud@ibas.se 2013-02-19
Om Ibas Grundat 1978 Ägare: Kroll Ontrack Affärsområden - Data Recovery - Data Erasure - Computer Forensics Antal anställda i norden: 68 World wide (Kroll Ontrack) Global customer service: 24/7/365
Kroll Ontrack Worldwide Reach
Agenda Varför behövs IT-förensiska tjänster? IT-forensiska tjänster för mobila enheter Flash storage and flash management Låskoder och kryptering för mobila enheter
Företagshemlighet 1 information om affärs- eller driftförhållanden i en näringsidkares rörelse som näringsidkaren håller hemlig och vars röjande är ägnat att medföra skada för honom i konkurrenshänseende. Lag (1990:409) om skydd för företagshemligheter
Företagshemligheter Kundregister Affärsplaner Budgetar Ritningar Affärsunderlag Mallar / Kalkyler Policies Källkod Avtal med tredje part
Traditionell bevissäkring En spegelkopia görs av hårddisken från Original till arbets-kopia Checksummor skapas som visar överensstämmelse mellan original och kopia Ibas AS
Äldre mobiltelefoner Internminne (chip) SIM-kort
Telefontömning och chip-off SIM-kortet Telefonminnet Inkommande och utgående SMS Telefonbok Samtalslogg Sista basstationen man varit uppkopplad mot. Inkommande och utgående SMS Inkommande och utgående MMS Telefonbok Samtalslogg Datum och tidsstämplar
«Smartphones» Telefonminnet Inkommande och utgående SMS Inkommande och utgående MMS Telefonbok Samtalslogg Datum och tidsstämplar Bilder och video Röstmeddelanden E-post GPS-positioner Kalender Internethistorik Dropbox mm
Vad är en Smartphone? Hårdvara Minne CPU ROM SoC SoC NAND flash Batteri Touch display Extra hårdvara GSM-chip GPS / wifi / bluetooth Kamera nand
Telefontömning Manuell tömning Fotografera skärmen Logisk tömning Kopiera filer och konfiguration itunes-backup Synka med datorn Fysisk tömning Bit-by-bit-kopia av lagringsmedia Chip-off Löda loss kretsarna från telefonen
Låskoder och kryptering
Flashminne SLC Single level cell MLC Multi level cell Limitations Memory wear Read and write disturb Data read errors are common Need erase before writing Often delivered with bad blocks from factory Large block erase
NAND flash blocks and pages A flash page is commonly 4k or 8k A flash page is the smallest writable unit on the flash A flash block is 64 or 128 pages A flash block is the smallest ereasable unit on the flash
Flash managment software ios use software bases flash management Whimory FLT Flash translation layer VFL Virtual flash layer /dev/disk0 Flash translation layer (FTL) Virtual Flash Layer (VFL) NAND NAND NAND NAND
Flash managment software Metadata IMG_0005.JPG /dev/disk0 NAND NAND NAND NAND
Flash managment software Metadata IMG_0005.JPG /dev/disk0 NAND NAND NAND NAND
Flash managment software Metadata /dev/disk0 NAND NAND NAND
Flash managment software Metadata /dev/disk0 NAND NAND NAND Metadata page with IMG_0005.JPG Metadata page without IMG_0005.JPG
Låskoder och kryptering
iphone - ios iphone1 iphone 4 ramdisk Låskoder och kryptering iphone4s iphone 5 itunes-keys Passcode bypass ios-backup Jailbreak?
Android Ramdisk J-TAG USB-debug (ADB)? Google account Låskoder och kryptering
iphone - ios iphone1 iphone 3 Låskoder och kryptering Ingen kryptering alls iphone3gs & iphone 4 Kryptering aktiverad per default Endast epost-krypterad med nyckel som användaren kan påverka iphone4s & iphone 5 Kryptering aktiverad per default
Android Låskoder och kryptering Kryptering ej aktiverad per default LUKS Samma lösenord som låskod
Framtid inom forensik för mobila enheter Behovet av tydliga riktlinjer/policies ökar BYOD Större lagringsmängder Ipad 128gb Samsung Series 7 Business Slate 128GB Fler nättjänster och applikationer Cloud computing Dropbox VDI Anställda är mer medvetna om digitala avtryck Uppfattar utrustningen som sin egen Raderar digital information när de slutar en anställning
Tack! Torbjörn Lofterud, Computer forensics analyst @ Ibas Kroll Ontrack Frågor?