KANDIDATUPPSATS
Metadata En forensisk analys av Exif Kandidatuppsats 2013/04 Författare: Marcus Larsson Handledare: Urban Bilstrup Examinator: Mattias Wecksten Sektionenförinformationsvetenskap,data3ochelektroteknik HögskolaniHalmstad Box823,30118HALMSTAD
CopyrightMarcusLarsson,2013.Allrightsreserved Kandidatuppsats Rapport Sektionenförinformationsvetenskap,data3ochelektroteknik HögskolaniHalmstad I
Förord JagvilltackaminhandledareUrbanBilstrupsamtminexaminatorMattiasWecksten förhjälpenmeddettaarbete. Vidarevilljagtackaminsamboförhennestålamodnärarbetetharkrävtsinasena kvällarsarbete. II
III
Abstrakt Ienbildtagenmedendigitalkamerakanmanåterfinnamängderavinformationom bildensursprungochinställningarikameran,någotsombenämnssomexif3data. Dettaärnågotsomkanvaraavabsolutintressevidforensiskaundersökningari syfteattknytabevismaterialtillengärningsman. IdettaarbeteskallettantalfrågeställningarbesvarassomkanvaraaktuellförenIT3 forensiker,medavseendepåbildertagnamedensmartphone. Kanmanstyrkaattenspecifikenhethartagitenspecifikbild?Hurtillförlitligärden GPS3informationsomkanlagrasienbild? GenomexperimentochgranskningaravExif3data,kommerdettaarbetegesvarpå dessafrågor.arbetetkommerocksågeexempelpåverktygföratttolkaexif3 informationen. VidarekommerarbetetäventaupphuruvidadenmobilaapplikationenWhatsApp väljerattraderaexif3datavidöverföringavbildermellansmartphones. Abstract Inapicturetakenwithadigitalcamera,youcanretrievealotofinformationabout theimage'soriginandsettingsofthecamera,whichisreferredtoasexifdata. Thisissomethingthatcanbeofabsoluteinterestinforensicinvestigationsinorder toestablishevidenceagainstanoffender. Inthisworkanumberofquestionswillbeansweredthatmayberelevantfora computerforensic,andwithprimaryfocusonpicturestakenwithasmartphone. Canyouprovethataspecificdevicehasaspecificimage?HowreliableistheGPS informationthatcanbestoredinsideapicture? ThroughexperimentsandsurveysofExifdata,thisworkwillprovideanswersto thosequestions.thisreportwillalsogiveexamplesoftoolsforparsingtheexif3 data. ThispaperwillalsolookatwhetherthemobileapplicationWhatsAppchooseto deletetheexifdatawhentransferringimagesbetweensmartphones IV
Innehåll 1 Introduktion+...+1 1.1 Bakgrund+...+1 1.2 Syfte+...+2 1.3 Frågeställningar+...+2 2+++++Teknisk+bakgrund+...+4 2.1 Metadatans+historia+och+användningsområde+...+4 2.2 JPEG+och+Exif+ur+ett+tekniskt+perspektiv+...+4 3 Metod+...+7 3.1 Förberedelser+...+7 3.2 Tillvägagångssätt+för+laboration+...+7 3.3 Resultatredovisning+...+7 4 Laboration+...+9 4.1 Experimentmetodik+...+9 4.2 Bildinsamling+...+10 4.3 Resultat+...+12 4.3.1 TelefonA SamsungGalaxyS2...12 4.3.2 TelefonB GalaxyNexus...12 4.3.3 TelefonC iphone5...12 4.3.4 WhatsApp...12 5 Resultatanalys+...+14 6 Slutsats+...+16 6.1 Etisk+diskussion+...+17 7 Referenser+...+18 8 Bilagor+...+1 + + + I
II
Ordlista ID33information Metadatasomfrämstanvändsimp33filerförinformationom artist,albumodyl. Exif Exchangeableimagefileformat.Namnetpåmetadataibilderavtypenjpeg. OTT OverTheTopärnerladdningsbarameddelandeapplikationersommöjliggör direktkommunikationmellananvändareavsammaapplikation,exempelvis WhatsApp GPS3tagg/GPS3inbäddadinformation Informationompositiondärbildenstogs utifrånettkoordinatsystem. Vanilla3android GrundversionenavoperativsystemetAndroid. Altitude Positionihöjdläge. DD DecimalDegrees.Ettformatförattangepositionpåjordklotet. DMS Degrees,Minutes,Seconds,ettformatförattangepositionpåjordklotet. III
1 Introduktion 1.1 Bakgrund Metadata+ +En+forensisk+analys+av+Exif+ Användningsområdetförmetadataärstort.Justordetbetyderungefärdataom data,vilketocksåbeskriverganskavälvaddetinnebär.detkanexempelvisvara datasomlagrasinutienannanfil,såsomid33informationenienmp33filellerexif inutienbildfil. Närmananvänderendigitalkamerasåsparasivarjebild,förutomsjälvabilden, äveninformationomkameramodell,tidochdatum,kameransinställningarochen stormängdannandata.dennainformationärmycketlättåtkomligochkräveringa direktakunskaperförutomkännedomomdessexistens.ärmanexempelvisfotograf kanmaniefterhandstuderahurkameranvarinställdförenspecifikbild.ur forensisksynvinkelfinnsdetdockettflertalandraaspekter.förutominformationen nämndovanlagrasävenenheldelannandata,medvissarestriktioner,någotsom nämnsmernedan.kameransserienummerochobjektivetsserienummerärsådan informationsomfinnsattfinna,någotsomupptäcktesunderförarbetetfördetta arbete,ochdettaärnågotsomkananvändasförattknytaeneventuell gärningsmansutrustningtillbildermanharfunnit. Ommanharennyaremobiltelefonavsmartphone3modellharmanideflestafallen inbyggdkamera.omdennatelefonävenharinbyggdgps3mottagarekanmanfinna GPS3koordinaterövervarvarjebildharblivittagen,förutsattattfunktionenär påslagen.dettaärnågotsomkanvarahögintressantvidenforensiskanalys,dådet gerforensikernmöjlighetattstuderavargärningsmannenharbefunnitsig. EnligtendiskussionpådetforensiskaforumetForensicFocus[1]raderasmetadatai bl.a.bildernärdesändsmellanenhetermedhjälpavenapplikationvidnamn WhatsApp.WhatsAppärenmeddelandeapplikationsomfinnstillgängligpåalla befintligamobilplattformar,ochmöjliggörutbyteavtextmeddelanden,bilder,filmer m.m.alldataskickasviainternetvilketgörattmanslipperkostnadenförsmseller mms. Dennatypavapplikation,därteknikenkallasOTT,ärmycketpopulär,ochen undersökningfråninformafrånapril2013visarpåattdetskickadesisnitt19.1 miljardermeddelandenperdagpådettaviset,vilketkanjämförasmedca17.6 miljardervanligasmsomdagen,ochdettaunder2012.rapportenuppskattaräven attdessasiffrorkommerattvara41miljarderomdagenislutetav2013förott jämförtmed19.5miljarderförsms.[2] OmpåståendetattWhatsAppraderarmetadatanibildervisarsigstämmakandet varaenbesvärandeomständighetvidframtidautredningar. 1
1.2 Syfte Metadata+ +En+forensisk+analys+av+Exif+ SyftetmeddennarapportvarattfåenstörreförståelsefördenExif3information somskapasgenomanvändandetavsmartphones.genomattökaförståelsenkan maneventuelltstärkabevisföringeninförenrättegång,förattminskaeventuella riskerattbevisenintegårattanvändaiettsenareskede. EnrapportskrivenavenIT3forensikerinförenrättegångskall,enligtforensikervid poliseniumeå,varaformuleradsåattingatveksamheterellermöjlighettill feltolkningskallkunnaske,idenmåndetärmöjligt.ommanökarförståelsenhos denforensikersomutförarbetetkanmanocksåanvändasinkunskapattpåettmer lättförståeligtsättförmedlainformationentillenicketekniskkunnigpersonsåsom domareochnämndemän. 1.3 Frågeställningar Gårdetattknytabildertagnamedmobilkamerortillrespektiveenheter? o SkiljersigExif3informationenmellanolikamärkenochmodeller? o RaderasmetadatavidanvändandetavWhatsApp? o HurtillförlitligärGPS3informationenimetadatan? 2
3
2 Teknisk bakgrund 2.1 Metadatans historia och användningsområde Metadatasomtermbetyder,somtidigarenämnt,dataomdata.Syftetärattanvända metadatasomenbeskrivandedata,ellerinformation,omnågontingannat.uttrycket myntades1968irapporten Extensionofprogramminglanguageconcepts [3]och komattblividaanväntförattbeskrivadennatypavinformation. Denvanligastetypenkallasdeskriptivmetadata,ochkanenklastförklarassom dataomdatainnehåll isyfteattbeskrivainnehållochstrukturinomolika dataområden.beskrivningavinnehållkanvaraexempelvisvaraförfattare,titeleller nyckelordförsökning.enjämförelseutanfördendatatekniskavärldenkan exempelvisvaramanuellaregisteröverböckeriettbibliotek,därvarjebokeller tidsskriftfinnskortfattatbeskriveniettkartotek.idaganvändermansigavsamma principlagradeidatabaserförenklareochsnabbarehanteringochsökning. Andratyperavmetadataärstrukturellochadministrativmetadata,därden strukturellasyftartillatttalaomhurstrukturenpåettobjektskallvara,exempelvis etttextdokument,medandenadministrativakanbeskrivaenfilsläs3och skrivrättigheterochfiltyp.[4] DenofficielladefinitionenavmetadatakommerfrånNationalInformationStandards Organizationochlyder: Metadataärstruktureradinformationsombeskriver, förklarar,placerarellerpåannatsättgördetlättareatthämta,användaeller hanteraeninformationskälla. [5] Metadatakanfinnasplaceradbådeidenfildenhandlarom,menocksåfinnas lokaliseradidatabaserellerregister.beroendepåändamålethardetolikaför3och nackdelar.ommetadatanfinnsidenaktuellafilensåsäkerställerdetatt informationeninteförsvinner,ochskalldenuppdateraskandetskeperautomatik. Omdendäremotfinnslagradidatabaserkandetunderlättahanteringochsortering, ochlänkasdåtilldendatadentillhör. Metadatakanskapaspåolikasätt.Somifalletmedbildersågenererasmetadatan automatisktutavkameransmjukvaraberoendepåkamerainställningar,tidpunkt osv.ifalletmedbiblioteksregistrenskapasmedfördelmetadatanmanuellti exempelvisfördefinierademallar.[4] 2.2 JPEG och Exif ur ett tekniskt perspektiv JPEGärettfilformat,ochenvanligtanvändmetod,förattkomprimeradigitala bilder.enavfördelarnamedjpegärdessförmågaattkraftigtkomprimerabilderna utanstörrekvalitetsförlust,medandenintelämparsigförallatyperavbilder. NärmangranskarenJPEG3bildihex3vyfinnermanattvarjebildbörjarmed FFD8 sommarkerarsoi(startofimage),ochslutarmed FFD9 sommarkerareoi(end ofimage).däremellanärdatanuppdeladiolikasegment,varochenmedenegen markering.varjemarkörförettapplikationssegmentkallasförapplikationsmarkör ochliggerispannetmellanffe03ffefidethexadecimalaalfabetet.genomdenna 4
flexiblauppbyggnadharjpegsomformatutvecklatstillattkunnainnehållaandra filformatsåsomjfifochexif,samtidigtsomstandardenjpegigrundenbehålls.[6] SpecifikationernaförfilformatetExifutarbetadesavJEIDA(JapanElectronic IndustryDevelopmentAssociation)ochdensenasteversionen2.3komiapril2010. SyftetmedExifärattkunnainkluderainformationibilder,såsomtidigarenämnt, bl.a.tidsstämplarochkamerainställningar.[7] NärExif3informationfinnslagradibilderärdenrepresenteradunderdetförsta applikationssegmentetenligtovan,ochåterfinnsdirektefterbildenssoi FFD8 där segmentsmarkeringen,förexifkalladapp1,ärffe1.såledesbörjarenjpeg3bild medtillhörandeexif3datamed FFD8FFE1 ihex3vy.[6] DärefterföljerbildensExif3information.Dennaåterfinnsunderettantalolika Tag IDs ifilen.formatetpåvärdenaibildenkanskiljasigmellanexempelvisascii3 värdenochshort,beroendepåändamålet.somexempelsååterfinnerviden aktuellabildensimageuniqueidpåtagida420ihex,ochformatetärascii.image UniqueIDärenenhetsidentifikation,liktettserienummer,någotsomnämnsmer ingåendesenareirapporten. VarjedelavExif3informationensåsomdatum,tidochslutartidharsinegenposition ibildensfilformat.dessaunikatagid sgördetmöjligtförettprogramsomtolkar Exif3informationenattpresenteradenpåettkorrektsättutifrånettfördefinierat system,etts.k.schema.[7] EnbildsExif3informationkanvaramycketutförlig,ochinnehållaenmycketstor mängddata.kameratillverkarnaharingenskyldighetattutnyttjaallatillgängliga Tag3IDs,utanväljersjälvavilkeninformationsomskalllagras.Exifisigäretteget separatfilsystem,somanvändsikombinationmedbl.a.jpeg,ochdeninformation somåterfinnsiexifharingentingmedmotivetibildensomsådanattgöra.deär förvissosammanlänkadepåsåsättattexif3datangenererasnärbildenskapas,men ettbildprogramsomanvändsföratttittapå,ellerredigerabilder,använderinte Exif3datanförattkunnapresenterabilden.Deärsåledesindirektseparerade.[6] 5
6
3 Metod 3.1 Förberedelser Dettaarbetekrävdeendelutrustning.Förändamåletvaldestreolikasmartphones fråntreolikatillverkareförattfåenbreddpåinformationen,därkravetpådeolika telefonernavarattdeskallhainbyggdkamerasamtmöjlighetenattaktivera möjlighetentillgps3positioneringknutentillbilden.medhjälpavdessatelefoner fotograferadesettantalbildermedolikakamerainställningar,därbildensmotivär förändamåletheltirrelevant,utandärfokusendastliggerpåeventuellexif3datai bilden.devaldaenheternaskulleocksåvarakompatiblamedvaldaapplikationer förtrådlösbildöverföringsåsomwhatsappsamtfacebook. Vidarekrävdesdetenmjukvaraellerannanapplikationsomkundeextraheraoch tolkadenbefintligametadatanurdevaldabilderna.detkravsomfannsvaratt programmetskullepresenterastörstamöjligamängdinformation,föratt möjlighetensedanskullefinnasattselekterautdetrelevantautifrånsyfteoch behov. 3.2 Tillvägagångssätt för laboration Förattbesvarafrågeställningarnaföllvaletpåattgöraettkvantitativtexperiment avupprepandekaraktär,därslutledningenskallbyggapåempiri.enempirisk slutledningkandefinierassomenbeskrivningavhurnågot är idenverkliga världeniställetförhurnågot kan vara.[8]enannanförklaringtillvaletavmetod urettkvantitativtempirisktsynsättär;genomattupprepadegångerutföraistörsta möjligamånsålikaexperimentsommöjligt,ochutifråndeolikaförutsättningarsom varjetelefonger,såförväntarjagmigkunnaselikheterochskillnadersomkanleda framtillenmöjliganalysutifråndeerfarenheterjagharskaffatmig.[8] 3.3 Resultatredovisning Resultatredovisasitextsamtreferensertillskärmavbilderiappendix.Resultatet presenterasmedhjälpavskärmavbilderförattpåettkonkretsättvisapåeventuella lik3ocholikheteridenextraherademetadatan,ochgeetttydligtsvarpå frågeställningarna.dåresultatetharvaritförhållandevislikavarandra,harett mindreantalskärmdumparfrånvarjeenhetvaltsutförreferens. 7
8
4 Laboration 4.1 Experimentmetodik Motivenpåbildernaharvaltsutendastavanledningenattinteriskeraattbilderna fallerunderupphovsrättslagen.idefallsombildernaintehartagitsavförfattaren, harfotografenfåtttydligainstruktionerförattsäkerställaattingaproblemuppstår. Bildernaharöverförtsfråndevaldaenheternaantingenmedhjälpavtelefonernas inbyggdaepost3klienter,ellermedhjälpavkabelanslutningtilldator.dessatvå metoderförändrarintebildernaskvalitéellerstorlek,någotsomutfördesiseparata testerförattsäkerställa.efteröverföringentilldatorhartidsstämplarnai respektivebildjämförtsmeddenfaktiskatidenförfotograferingen,någotsomockså lågtillgrundföranalysenavmetadataniettsenareskede. Bildernaharlagratsochsorteratseftervilkentelefonmodelldetillhör,förattinte riskeraattdeblandasihop. Detendafaktiskaingreppsomgjorts,ärattmärkavarjebild,dettaförattskiljadem åt.dettahargenomförtsgenomattläggatill X_X_ ibörjanpåvarjefilnamn,där första X representerarvilkentelefonbildenkommerifrån,ochandra X vilken bilddetäriordningen. Exempel: Före:IMG_20130427_164552.jpg Efter:A_1_IMG_20130427_164552.jpg Varjeskärmavbildärmärktmedavseendetillvilkenbilddenhörihopmedenligten modellmedtreteckenx.x.x.förstabokstavenavserenhet,andrasiffranvilket fotografiochtredjesiffranvilkenavbildiordningendetär.dettaförattinteriskera attblandaihopmetadatan. Desmartphonessomharanväntsvidexperimentetär: SamsungGalaxyS2,Androidversion4.1.2 GalaxyNexus,Androidversion4.2.1 iphone5,iosversion6.1.3 Valetföllpådessatreenheteravtreolikaanledningar.Dessamodellerkommerfrån någraavdestörstatillverkarnaidag,ochoperativsystemetskiljersigåtsinsemellan. iphonenanvändersigavapplesegetoperativsystemiosversionmedandeandra tvåigrundochbottenanvändersigavgooglesandroid.deskiljersigdockåtändå dågalaxynexuskörens.k.vanilla3versionavandroid,vilketinnebärattdetär Androidisittabsolutastandardutförande,ochSamsungsjälvaskaparsitteget gränssnittochsinaegnaapplikationerförsinamodeller,någotsomeventuelltkan geskillnaderislutändan.sistaanledningenärattdeallaharmöjlighetentillgps3 inbäddadinformationitagnabilder. Förattextraherametadatanurdevaldabilderna,valdestvåapplikationer.Dels användeshemsidanjeffrey sexifviewer[9]somärenwebbapplikation,samtden 9
inbyggdaexif3applikationeniwindows7.valetföllpådessatvådådeärgratisatt använda,samtattdeeftertestharvisatsigpresenteradenmetadatasomär intressantförarbetet.valetattanvändatvåapplikationerärförattkunnajämföra informationeninteskiljersigfrånenapplikationtillenannan. Hemsidanfungerarpåtvåolikasätt.Mankanantingenextraherametadatauren bildviadesswebblänk,förutsattattbildenfinnspåinternet,ellersåkanmanladda uppbildentillhemsidanochdärefterfåmetadatanpresenterad.dåfotografierna harfunnitslokaltsparadehardetsenarealternativetanvänts.föratttittapå metadataniwindows7högerklickarmanpådenvaldafilen,väljer Egenskaper och fliken Detaljer. VarjestudieavExif3datanharbörjatmedenjämförarespektivebildiJeffrey sexif ViewerochiWindows7.Omdatanharvaritkonsekventochsaknatskillnader,har ingaåtgärdervidtagits.omdetdockvisadesigattdatanskiljdesigåtsinsemellan, togsskärmavbildsamtgenomfördesendokumentation. Därefterstuderadesvarjebildsmetadataförsig,skärmavbildtogspåden informationensomupplevdesrelevant,samtgjordesdokumenteringianteckningar vidsidanav.dettaförattkunnajämföradeolikabildernasinformationmot varandraochdärmedseskillnaderochlikheter. 4.2 Bildinsamling TelefonA3SamsungGalaxyS2 ExperimentetpåbörjadesmedGalaxyS2,därsammanlagtfyrabildertogs,sefig.A_1 A_4iappendix.DeförstatvåbildernafotograferadesutanGPS3funktionen påslagen,medandeandratvåtogsmedfunktionenpåslagen.funktionenförgps? taggåterfinnsikameransinställningar.övrigainställningarförkameranvar inställdapåautoistörstamöjligamån,blixtenvaravstängdsamthögstatänkbara bildkvalitetvarvald. FörattsenoggrannheteniGPS3informationentogsbildernapåtvåolikaplatser, medungefär100meteremellan. DärefteröverfördesbildernafråntelefonentillendatorviaUSB3kabeloch mjukvaranandroidsfilöverföring.[10] TelefonB GalaxyNexus Bildernafråndennaenhettogsavenutseddperson.Ävenhärtogsfyrabilder,där bildettochtrehadefunktionenförgps3taggpåslagen.(fig.b_1 B_4)Förattkunna jämföranoggrannhetenigps3informationenfotograferasbildernaävenhärmedett störreavståndemellan. Bildernaöverfördesfråntelefonentilldatormedhjälpavtelefonensinbyggdae3 postklienttille3post,därifråndesedannerladdades. TelefonC iphone5 Bildernafråndennaenhettogsavenutseddperson.Fyrabilderfotograferades(Fig. C_1 C_4),därdetvåsistabildernahadefunktionenförGPS3taggpåslagen.Ifallet meddennatelefonsåöverfördesförstbildernatillendator,förattsedansändasvia e3post. 10
WhatsApp FörattgranskaeneventuellförlustavmetadatavidanvändandetavWhatsApp, sändesfig.b_1frångalaxynexustillgalaxys2medhjälpavwhatsapp.därefter överfördesbildentilldatormedhjälpavusb3kabel. 11
4.3 Resultat Resultatsompresenterasnedankommerifråndenmetadatasomharextraheratsur respektivebild.detrefererasendasttilldenmetadatasomfinnsattsepå skärmdumpariappendixomingetannatbeskrivs. 4.3.1 Telefon A Samsung Galaxy S2 EnligtmetadatankommerdessabilderifrånenSamsungGt3I9000,vilket överensstämmermedspecifikationernaförenheten.äventidsstämplarnastämmer välöverensmeddeaktuellatiderna.deövrigainställningarnasåsomförisooch slutartidvaritelefoneninställdapåauto,ochingetstörrefokusläggsviddessa. Förexempel,sefig.A.3.1. Enligtfig.A.3.2kanmanutläsa ImageUniqueIDSCEF02,någotsomockså återfinnsimetadatanfördeövrigabildernafrångalaxys2. Ifig.A.3.3återfinnsGPS3koordinaterfördärbildentogs,någotsomframgår tydligareifig.a.3.4. 4.3.2 Telefon B Galaxy Nexus ImetadatanförGalaxyNexusvarinformationenangåendemodellnågotmer knapphändig,ävenomdetframgickatttelefonenäravrättmodell.dock överensstämmerävenhärtidsstämplarnamedtidpunktenförnärbildernatogs. ImetadatanfrånallabilderfråntelefonBfinnervi ImageUniqueIDOAEL01 ExempelavmetadatanfrånGalaxyNexusfinnerviifig.B.1.1,deninbäddadeGPS3 informationenåterfinnsifig.b.1.3samtitillhörandekartbildifig.b.1.4. 4.3.3 Telefon C iphone 5 ImetadatanförtelefonCfinnerviiprincipsammainformationsomtidigare. Telefonmodellenochtelefonensoperativsystempresenteras,ochtidsstämplarna stämmeröverensmeddetaktuellatillfälletförfotograferingen.docksaknas Image UniqueID imetadatanfördennaenhet.däremotåterfinnervigps3informationen enligtfig.c.3.2. 4.3.4 WhatsApp IfalletmedbildensomöversändesmellantelefonBtilltelefonAärmetadatani principtom.viåterfinnerbaratrivialinformationsåsomfilensstorlekipixlaroch datamängd.sefig.d.1.1 12
13
5 Resultatanalys Somtidigarenämntssåstämmertidsstämplarnamycketvälöverensmedden aktuellatidendåbildentogs.detärviktigtattkommaihågatttidenärberoendeav deinställningarmangjortpåtelefonen,stämmerintedenbliräventidsstämpelnfel. TittarmanpåImageUniqueIDsermanattdebildersomärtagnamedsamma smartphoneocksåharsammaid,någotsomdåbesvararfrågeställningenangående ifallmankanknytaenbildmedenenhet,någotsomkräverattmanhartillgångtill ensmartphoneattjämföramed. IfalletmedtelefonC,eniPhone5,såsaknasinformationenomImageUniqueIDi allafyrabilderna.besluttogsförattundersökaomdettavarnågotspecifiktförjust dentelefonensomanvändesiexperimentet,ochytterligareenbildtogsmeden annaniphone5,sefig.e_1.imetadatanfördennabildfig.e.1.1framgickdetattäven idettafalletsaknasimageuniqueid.huruvidadettaärnågotspecifiktföralla modellerfrånapple,ellerbarasaknasiiphone5gårdockejattbesvaraidetta arbete. AllatelefonernaharvisatsigkompetentanärdetgällerGPS3data.Vissaavvikelser harfunnitsmedavseendepådenfaktiskautgångspunktenförfotograferandetoch denpositionsomsedanharpresenterats,mengenerelltharresultatetvaritgott. DenfrämstaavvikelsenharvaritfrånGalaxyNexus.Enligtfig.B.1.4befannsig fotografenimartinlutherskyrka,närfotografenisjälvaverketbefannsigcirka170 meteråtväster.ifalletmedfig.b_3befannsigfotografenienlokaldrygt500meter norromdenegentligapunktenförfotograferingen.vilkafaktorersomharpåverkat dettagårbaraattspekulerai,dådetkanvaraettflertalolika.exempelviskan mottagningenförgps3satellitervaritbristfällig,ochdåanvändsiställetenmetodför attberäknaettungefärligtavståndtilltelefonmaster,någotsominteärlikasäkert somanvändandetavsatelliter.dockärdetmestrelevantaattdetkanfinnasen felmarginalsomkanvaraförhållandevisstor,någotsomärmycketviktigtattha mediberäkningarnavidenforensiskundersökning. VidenjämförelsemellanGalaxyS2ochiPhone5kanviocksåseattiS2 sfallså saknasdataföraltitud,dvshöjdläge.jagkandockinteuttalamigomhurexakt dennametadataärförhållandetillverkligheten,mendetärintressantattdenfinns där. VidanvändandetavJeffrey sexifviewersåpresenterasgps3koordinaternapåtvå olikasätt.somviexempelviskanseifig.a.3.3presenteraskoordinaternaenligt formatet DD somstårfördecimaldegreeochifig.a.3.4enligtformatetdms. Viktigtattkännatillärattdessatvåformatbetecknarsammasak,ochmanräknarut DMSutifrånDD. Informationenmellanmodellernaharskillnader,mendeärrelativtsmå.Vid jämförelsemellangalaxynexusmotgalaxys2ochiphone5såärmetadatani GalaxyNexusnågotmeravskaladiavseendetillmermodellspecifikinformation såsommjukvaraochtillverkare,samtvissannandata.dockfinnsdetmestrelevanta såsomtidsstämplar,imageuniqueidochgps3taggar(idetfallendenäraktiverad). 14
Somvikanseimetadatan(fig.D.1.1)frånbildensomöversändesmedhjälpav applikationenwhatsappfrångalaxynexustillgalaxys2saknasallmetadataoch ävenfilnamnetharförändratsjämförtmedoriginalet.ommanöppnardetvåfilerna ienapplikationsomkanvisafilernaihexadecimalkodsåkanman,ifalletmed original3filen,seattdetpåöverstaradenstår Exif,menattdetsaknasiden överfördafilen.enligtstandardenförexifskalldennainformationfinnasibildfilens headeromexif3dataskallfinnasibilden,någotsombeskrivsnärmareidentekniska bakgrundenovan.[6] Närmanvidarejämföroriginalbildenmotdenbildsomextraheradesefter överförandetsåkonstaterasocksåattfilensstorlekharförändratsdrastiskt.från 1.8MBtill61kB. 15
6 Slutsats Utifrånderesultatsomexperimentethargett,gårdettillstordelattbesvarade aktuellafrågeställningarna.denstorahuvudfrågan,gårdetattknytabildertagna medenmobiltelefontillenenhet,harförvissointeettraktsvar.idebildersomtogs medtelefonerbaseradepåandroidharfrågangettettkonkretsvar,detärmöjligt.i falletmedtelefoneniphone5hardetdessvärreintevaritlikaenkeltdå informationenförimageuniqueidharsaknats.vidreplikeringenavexperimentet saknadesävendådennainformation,vilketgörattdendragnaslutsatsenbliratt dennainformationsaknasitelefoneravdennamodell.huruvidadettaär gemensamtförallatelefonerfrånappleärnaturligtvisovisst,någotsomisåfall måsteundersökasiettsenarearbete. Detärdockklartattidefallendennainformationfinnssåärdetettmycket användbartsättförattknytasammanenbildtillentelefon,underförutsättningatt manhartillgångtilltelefonen.detfinnsexempelvisonline3tjänstersomdrarnytta avsådaninformationförattlokaliserabilderuppladdadepånätet,därbildernaär tagnaavstulnakameror.[11] ÄvenGPS3informationenharvisatsigvaraavgenerelltsettgodkvalité.Somtidigare nämntkandetfinnasavvikelser,någotsommanmåstetaibeaktning,menatt överhuvudtagetkunnafåenfingervisningövervarbildentogskanförmodligenvara tillstorhjälpvidvissautredningar.ettexempelpådettaärfalletmedskaparenav anti3virusprogrammetmcafee.johnmcafeedelademedsigavbilderpåsigsjälvnär hanvarpåflyktundanrättvisanochgenomenanalysavexif3datanidessabilder kundemanspårahonomtillguatemala.[12] SlutsatsennärdetgällerexperimentetmedWhatsAppärattWhatsAppisig förändrarbildendrastiskt,ochdetärdärförmetadatansaknas.förutomfilnamnet såharocksåfilstorlekenförändrats,ochfilenärdärmedintedensammasominnan överföringen.somvikansebeskrivetidentekniskabakgrundenförarbetetfinns Exif3datanlagradsomettseparatfilsystemibilden.Förändrasbilden,exempelvis förminskas,såförändrasocksåfilstrukturen,ochdärmedocksåexif3datan. Anledningentillförminskningenavfilenärförmodligenförattöverföringenavfilen skallgåfortare,specielltommanäranslutentilllångsammarenät.förattbättre kunnabesvaradennafrågeställningtogsdetkontaktmedföretagetbakom WhatsApp,någotsomtyvärrvarresultatlöst. HuruvidapolisenidaganvändersigavExif3dataibilderisyfteattknytaenbildtill entelefon,ellerförattfåenindikationpåvarpersonenbefannsigmedhjälpavgps3 koordinateräroklart,menpotentialenochmöjligheternaärstora,förutsattattman harbehovetavdessa. 16
EnviktigfaktoratthaiåtankeärmöjligheternaattmanipuleraExif3dataisyfteatt förvillaochförvirra.medsammaprogramvarasomkananvändasföratttolka metadatankanmanävengöraförändringarsåsomförändringaravgps3koordinater, förändratidsstämplarochävenimageuniqueid.omenindividvillgömmasigeller försvåraettutredningsarbetesåfinnsallamöjligheterattgöraså,ochmöjligheterna attavgöraomförändringarhargjortsimetadatankanvarasvåraattavgöra.[13] Detfinnsdockexempelpåhurman,utifrånsolensplaceringpåbilden,placeringför fotograferingenutifrångps3koordinaterochtidsstämplar,gjortexperimentföratt avgöraomtidsstämplarnaharblivitmanipulerade.[14] Smartphonesblirenalltstörredelavvårvardag,ochomvisomforensikerkan användadennaenhet,somisigärenkällatillenindividsprivatliv,påettkorrekt sätt,ärminförhoppningochkänslaattmångabrottiframtidenkanblilösta. EnforensiskanalysavExif3datakanförmodligenintegeallapusselbitarsombehövs förattbindaengärningsmantillettbrottellerplats,mendetforensiskaarbetet beståravettflertalmoment,därvarjedelärviktig.enbildanalysikombinationmed samtalsloggar,smsochkanskespårfrånsocialamedierpåinternetkanbidratillen tydligarebild,någotsomiförlängningenkanvaradirektellerindirektavgörande videnrättegång,oavsettomdenmisstänkteärskyldigellerinte. 6.1 Etisk diskussion MöjlighetenkringanvändandetavExif3datahartvåsidor.Fördelarnatalarsitt tydligaspråk;möjlighetenattiefterhandgranskainställningarnaförvarjebild,att skapaettfotoalbumutifrånvarmanharbefunnitsigsamtmöjlighetenattspåra bilderpåinternetsomhartagitsmedenstulenkameraärallaexempelpåklara fördelar. Detärdockviktigtatthafördelarnasbaksidoriåtanke.Ommansomanvändareinte ärmedvetenomattenspositionkanlagrasibildermantarochdelarmedsig,finns riskenattmanofrivilligttalaromvarmanbefunnitsig.förgemenemanbehöver dettaintevaraettproblem,dåbehovetavattgömmasigiregelärlitet,menatt omedvetetdelamedsigavsinpositionärförmodligenintealltiduppskattat. Omenmisstänktgärningsmaninteärmedvetenomdettaärdetenklarfördelvid arbetetmedeventuelltbevismaterial,ochminpersonligaåsiktärattdetkan innebäraviktigapusselbitariarbetetmedattknytautrustningochpositionertill denmisstänkte,likavälsomdetkanfriadenmisstänktefrånbrott. 17
7 Referenser [1]ForensicFocus.2013.ForensicsonWhatsApp. http://www.forensicfocus.com/forums/viewtopic/p=6565493/(hämtad20133043 26) [2]Informa Telecoms&Media.2013. http://blogs.informatandm.com/12861/news3release3ott3messaging3traffic3will3be3 twice3the3volume3of3p2p3sms3traffic3by3end32013/(hämtad2013305303) [3]Bagley,P.1968.Extensionofprogramminglanguageconcepts. http://www.dtic.mil/dtic/tr/fulltext/u2/680815.pdf(hämtad2013306301) [4]NISOPress.2004.UnderstandingMetadata. http://www.niso.org/publications/press/understandingmetadata.pdf(hämtad 2013305328) [5]Franks,P.Kunde,N.2006.WhyMetadatamatters http://www.arma.org/bookstore/files/franks3kunde1.pdf(hämtad2013305318) [6]TechnologyPathways.2004.ExchangeableImageFileFormat(ExIF). http://www.techpathways.com/uploads/exif.pdf(hämtad2013304328) [7]Cipa.2012.Exchangeableimagefileformatfordigitalstillcameras:Exifversion 2.3.http://www.cipa.jp/english/hyoujunka/kikaku/pdf/DC300832012_E.pdf (Hämtad2013306305) [8]Sakumolson,S.Fundamentalsofquantitativeresearch.ChulalongkornUniversity. http://www.culi.chula.ac.th/e3journal/bod/suphat%20sukamolson.pdf(hämtad 2013305312) [9]Jeffrey sexifviewer. http://regex.info/exif.cgi(hämtad2013304326) [10]AndroidFileTransfer. http://www.android.com/filetransfer/(hämtad2013304318) [11]Stolencamerafinder.2013. http://www.stolencamerafinder.com(hämtad2013305307) [12]Weitzernkorn,B.2012.McAfee srookiemistakegivesawayhislocation. TechnewsDaily. http://www.technewsdaily.com/157683mcafee3rookie3mistake.html(hämtad 2013305306) [13]Gloe,T.ForensicAnalysisofOrderedDataStructuresontheExampleofJPEG Files.InstituteofSystemsArchitecture,Dresden,Germany. 18
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=6412639(hämtad 2013305313) [14]Kaka,P.Sudha,N.2012.AuthenticatingImageMetadataElementsusing Geolocation.InformationandSunDirectionEstimation.InstituteforMedia Innovation,NanyangTechnologicalUniversity,Singapore. http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=6298404(hämtad 2013305313) 19
8 Bilagor Fig. A_1 Fig. A_2 Fig. A_3 Fig. A_4 Fig. A.3.1 Fig. A.3.2 Fig. A.3.3 Fig. A.3.4 1
Fig. B_1 Fig. B_2 Fig. B_3 Fig. B_4 Fig. B.1.1 Fig. B.1.2 Fig. B.1.3 Fig. B.1.4 2
Fig. C_1 Fig. C_2 Fig. C_3 Fig. C_4 Fig. C.3.1 Fig. C.3.2 Fig. C.3.3 3
Fig. D_1 Fig. D.1.1 Fig. E_1 Fig. E.1.1 För åtkomst till alla skärmdumpar, vänligen besök länken nedan. https://www.dropbox.com/sh/9jknxoqm6c554hq/mljusjalua 4
Presentation av författaren Marcus Larsson Är28årgammalochdettaärminkandidatuppsatsfördatateknikmedinriktningIT3 forensikochinformationssäkerhet. 5
HÖGSKOLAN I HALMSTAD Box 823 301 18 Halmstad
HALMSTAD UNIVERSITY PO Box 823 301 18 Halmstad, Sweden