Извлечение информационных улик из телефонов, смартфонов и КПК (C) Oxygen Software, 2000-2009 - презентация

1 Извлечение информационных улик из телефонов, смартфонов и КПК (C) Oxygen Software,

2 (C) Oxygen Software, Цели исследования телефонов Извлечение максимально полной и неизменённой информации из сотовых телефонов, смартфонов и КПК. Анализ информации и нахождения улик. Подготовка отчётов, которые могут служить доказательством в суде. Гарантия подлинности извлечённых данных.

3 Рост рынка смартфонов (C) Oxygen Software, Источник: Canalys estimates, © canalys.com ltd, 2008

4 Nokia 5110 Сейчас Список контактовБыстрые наборы История звонков SMS сообщения Мелодии вызова Общая информация Список контактов Календарь Список дел Заметки Группы абонентов Быстрые наборы Журнал событий Режимы Галерея и файлы Приложения и игры Java Множественные однотипные поля контакта Персональные настройки контакта Сообщения Папки сообщений Общая информация LifeBlog GPS (C) Oxygen Software, лет назад Современный смартфон Эволюция сотовых телефонов

5 2009 (C) Oxygen Software, Эволюция коммуникационных протоколов AT+ Контакты (простые), звонки, SMS, файлы*, настройки* Очень медленный Зависит от реализации Синхронизация Nokia FBUS Почти вся информация Не документирован Не для смартфонов Зависит от реализации Синхронизация OBEX Контакты, календарь, файлы Зависит от реализации Обмен файлами и объектами SyncML Контакты, календарь, настройки, сообщения* Зависит от реализации Синхронизация Все стандартные протоколы были разработаны для синхронизации!

6 На текущий день возможности современных смартфонов по части хранения данных сильно превосходят возможности стандартных протоколов по части их извлечения. (C) Oxygen Software, Список контактов Календарь Список дел Заметки Группы абонентов Быстрые наборы Журнал событий Режимы Галерея и файлы Приложения и игры Java Множественные однотипные поля Персональные настройки контактов Сообщения Нестандартные папки сообщений Стандартные папки сообщений Общая информация Активность LifeBlog Информация об удалённых сообщения Полный дамп памяти Смартфоны и стандартные протоколы

7 Есть два стандартных способа извлечения информации из смартфонов: логический анализ и физический анализ (C) Oxygen Software, Способы извлечения данных Физический анализ Извлечение всех данных Сложно выполнить Очень сложно анализировать Требуется дорогое ПО и специальноежелезо Логический анализ Извлечение ничтожно малого количества данных Легко выполнить Легко анализировать Недорогое ПО, не требуется специальноежелезо

8 Мы в Oxygen Software придумали третий способ извлечения данных – с помощью специальной программы-агента, загружаемой непосредственно в смартфон (C) Oxygen Software, Как извлечь все данные? Физический анализ Извлечение всех данных Сложно выполнить Очень сложно анализировать Требуется дорогое ПО и специальноежелезо Анализ с помощьюАгента Извлечение почти всех данных Легко выполнить Легко анализировать Недорогое ПО, не требуется специальноежелезо Логический анализ Извлечение ничтожно малого количества данных Легко выполнить Легко анализировать Недорогое ПО, не требуется специальное железо

9 Программа-агент работает внутри аппарата, соответственно она может извлечь всю информацию, которая доступна для приложений ОС смартфона (C) Oxygen Software, Список контактов Календарь Список дел Заметки Группы абонентов Быстрые наборы Журнал событий Режимы Галерея и файлы Приложения и игры Java Множественные однотипные поля контактов Персональные настройки контактов Сообщения Нестандартные папки сообщений Стандартные папки сообщений Общая информация Активность LifeBlog Информация об удалённых сообщениях Полный дамп памяти Использование программы-агента

10 (C) Oxygen Software, Запись в телефон? Изменяется ли персональная информация в телефоне при записи агента? Нет. Смартфоны имеют разделённые области памяти для программ и данных. Область программ Приложение КонтактыПриложение КалендарьПриложение ЖурналПриложение SMS…Приложение #1…Приложение #N Область данных БД КонтактыБД КалендарьБД ЖурналБД SMS…БД Приложения #1…БД Приложения #N Противоречит ли такой метод принципу исследования без вмешательства? Теоретически - да. Но это оправдано объёмом и полнотой извлекаемых данных.

11 (C) Oxygen Software, Главные преимущества использования Агента Доступ к журналу LifeBlog смартфонов на платформе Symbian S60 LifeBlog – это предустановленное приложение, которое ведёт журнал отправки и приёма SMS, фотоснимков и других событий, сохраняя их географические координаты (MCC, MNC, LAC, Cell ID). На текущий момент только Мобильный Криминалист способен читать эту информацию. Чтение SMS, MMS и сообщений из пользовательских папок Пользователи часто создают отдельные папки для хранения определённых сообщений (например, от конкретного абонента). Стандартные протоколы тут бессильны. Чтение журнала событий Смартфоны хранят не только историю звонков, но и историю сообщений, а также журнал GPRS и Wi-Fi сессий. Извлечение информации об удалённых сообщениях Многие программы декларируют возможность чтения удалённых сообщений с SIM-карты. Но эта функция бесполезна для смартфонов. Мобильный Криминалист – единственный, кто умеет читать удалённые SMS из встроенной памяти телефона. Сочетание преимуществ логического и физического анализаМобильный Криминалист вычитывает практически все данные, не требуя дорогого оборудования, и при этом представляет их в читаемом и удобном для анализа виде.

12 (C) Oxygen Software, Журнал LifeBlog: список событий

13 (C) Oxygen Software, Журнал LifeBlog: определение положения

14 (C) Oxygen Software, Чтение сообщений из папок пользователя

15 (C) Oxygen Software, Журнал событий

16 (C) Oxygen Software, Список телефонов

17 (C) Oxygen Software, Телефонная книга

18 (C) Oxygen Software, Календарь

19 (C) Oxygen Software, Галерея телефона

20 (C) Oxygen Software, Поиск данных по нескольким телефонам

21 (C) Oxygen Software, Частые вопросы и ответы на них Какие способы соединения с телефоном поддерживает OxyAgent? Кабель, Bluetooth, ИК – обычно любые методы, поддерживаемые самим телефоном. Используется ли Microsoft ActiveSync для чтения данных их устройств на платформе Windows Mobile? Нет. ActiveSync – это приложение для синхронизации, которое способно внести изменения в данные телефона. Поэтому мы используем прямую связь через Bluetooth. Может ли Криминалист считать информацию из заблокированного с помощью ПИН-кода телефона? К сожалению, ни одна программа не может преодолеть блокировку ПИН-кодом. Какая информация может быть прочитана Агентом? Вся информация, которая доступна приложениям для ОС смартфона. Работает ли Мобильный Криминалист с обычными телефонами? Конечно. На данный момент он поддерживает более 1000 моделей. Нужен ли Агент для анализа обычных телефонов (например Nokia 6500)? Нет. Агент нужен только для смартфонов. Для обычных телефонов Криминалист использует комбинацию из стандартных низкоуровневых протоколов.

22 ЗАО Оксиджен Софтвер Россия, , Москва, ул. Феодосийская, 1 Телефоны: (Россия) +1 (877) 9-OXYGEN (USA) (UK) www. oxygensoftware.ru www. oxygen-forensic.com (C) Oxygen Software, О нас