De praktiska delarna av den här rapporten i princip enbart fokuserat på utvinning och analys med hjälp av mjukvara som är allmänt tillgänglig, ett uppenbart
vidarearbete vore alltså att göra motsvarande försök med "professionell" mjukvara och att bredda perspektivet till andra typer av enheter, eller åtminstone
smartphones med andra operativsystem.
Därtill finns det en stor mängd tänkbara metoder som skulle vara riktigt intressanta ur det praktiska, forensiska perspektivet som att exempelvis undersöka telefoners SIM–kort och närmare undersöka de loggar enskilda applikationer kan lämna efter sig, eller djupare undersöka den roll operatörerna och externa parter kan spela i en undersökning.
Därtill har våra källor diskuterat mer avancerade metoder för i synnerhet GSM och Wi–Fi positionering, som kanske inte har en given roll i den här rapportens
perspektiv men som ändå skulle kunna vara av stort intresse ur ett breddat perspektiv på spårning.
40
Appendix A: Samsung svar om garantins giltighet vid rootning
"Rootar" du din telefon kommer mjukvaru–garantin att påverkas. Detta är med andra ord ingenting som vi rekommenderar. Vill du göra det gör du det på egen risk och skulle det eventuellt gå fel kan vi inte hjälpa dig med att åtgärda eventuella fel som uppstår. Vi tillhandahåller som du kanske förstår ingen rootning från Samsung just eftersom detta inte är något vi rekommenderar våra kunder att göra.
41
Appendix B: Enkät och svar till Försäkringsbolag
Vi ställde oss frågan vilket intresse som finns ute hos försäkringsbolagen varför vi skickade ut en enkät med några frågor till några av de större bolagen. Frågorna var följande
1. Använder Ni er av mobildata/operatörsdata vid utredningar där användning av mobilen kan vara av vikt för utfallet i försäkringsfrågan?
2. I så fall hur får ni tillgång till och arbetar med datat?
3. Om inte, är det något som vore intressant för er i framtiden?
4. Vilken typ av data är det som är relevant/intressant för er utredning? 5. Skulle Ni kunna ge exempel på hur datat har eventuellt använts tidigare,
givetvis avpersonifierad.
6. Vilka problem ser ni i dagsläget kring utvinning av informationen, inte enbart relaterad till själva processen, utan även juridiska och liknande problem?
Förutom svar på frågorna fick vi också följande kommentarer
– Bevisfrågor i försäkringsärenden är civilrättsliga i motsats till rättsväsendet som hanterar bevisning huvudsakligen som brottmål.
– I brottmål gäller bevisning för att ställa allt utom rimligt tvivel dvs. rättsväsendet skall bevisa.
– I civilmål skall den som påstår styrka sin sak. I ett försäkringsärende begär kunden ersättning för skada. Det är således försäkringstagaren som skall styrka
omständigheterna.
– Försäkringsbolaget överlåter alltså till kunden att styrka men kan t ex ge förslag om vad som kan ges in som bevisning.
Rent övergripande styr lagstiftaren mot myndigheter, vilket naturligt begränsar privat utredningsverksamhet på olika sätt.
Detta arbete anses dock som nödvändigt och viktigt för fortsatt utvecklingen av utredningsverksamheten.
42
Vi har sammanställt svaren från de bolag som haft möjlighet att svara, och enbart gjort smärre modifikationer till deras svar.
Mobildata används då det är relevant, så kallade Särskilda Utredningsärenden, dvs. oklara försäkringsfall och om behovet finns.
Man använder då den information som finns i digitala foton som fotodata m.m. och när det t.ex. gäller Smartphones möjligheten till positionering (var är fotot taget) i utredningar av oklara försäkringsfall om ett behov finns. IP–adresser m.m. är också en del i utredningen.
Det förekommer dessutom att fordon är utrustade med telefon–
teknik/spårningsutrustning, Att utrusta dyrare fordon med utrustning som denna är under ständig utveckling vilket innebär att de även jobbar i denna del för att återställa stulna fordon.
I vissa utredningar kan telefonlistor vara behjälpliga som i så fall begärs in via försäkringstagaren eller genom fullmakt.
2. Samtalslista kan bekräfta kundens samtal till polis, bärgare, kompis etc.
dessutom vilken tid.
Med begärd mastpositionering kan även utläsas om personen befunnit sig i området som denne påstår.
Man erkänner dock att mycket av inhämtningen sker fortfarande på ett amatörmässigt sätt.
3. Försäkringsbolaget ber kunden inkomma med uppgift alt. har fullmakt att
inhämta uppgiften.
Teleoperatörerna lämnar dessvärre inte alltid ut material. Uppgifter då kontantkort använts lämnas inte ut ens till kund, bara till polis.
I framtiden skulle en stulen Iphone/data möjligen kunna spåras till plats/bostad om den används av gärningsmannen.
Området är ett ständigt utvecklingsområde och det är naturligt för bolagen att försöka ”hänga med” i utvecklingen. Med nuvarande regelverk gör att de är naturligt begränsade och området är därför f.n. mest intressant för de rättsvårdande
43
myndigheterna som sedan minst 15 år tillbaka använder sig av olika typer av information kopplat till ämnesområdet i sina förundersökningar. Att positionera, ta reda på vem man har kontakt med över mobiltelefon och inventera datatrafik i övrigt är en vardagslunk vid dessa myndigheter.
4. Särskilt samtal till eller från vilket nummer, tidpunkt, position.
Rent teoretiskt kan naturligtvis en mängd data vara intressant för en utredning av ett oklart försäkringsfall. Olika typer av mastpositioneringar eller liknande, kontaktytor via telefon och dator m.m. Lagstiftningen styr dock detta informationsflöde.
5. Exempel finns. Fallen är dock få.
– Ett historiskt fall bestod i att en kund anmälde sin bil stulen i en stad i Halland medan bilägaren/kunden var på annan ort. Bilen hittades krockad och föraren hade avvikit från platsen. Bilen saknade spår av stöld och var troligen nyckelkörd.
Samtalslista begärdes för att kunden via samtal skulle styrka vistelsen på annan ort. Samtalslistan (mastpositioneringen) visade att ägaren rest tillbaks (med taxi) till sin hemstad. Ärendet avböjdes. Sannolikt rattfyllerikörning och inte styrkt bilstöld. – Information från foto tagna med Iphone avseende såväl information i fotot som positionering samt spårsökning av dyrare fordon har använts.
6. Lagstiftningen begränsar förutsättningar som bolagen har att inhämta data.
– Teleoperatörerna hänvisar till regelverk och ovan nämnda lagar som inte kan förbises.
– Möjligheterna operatörerna har att bistå med uppgifter, lagringstid, kostnader etc. är ofta obekanta.
– De kan begära uppgifterna av kunden men kunden själv har i många fall inte möjlighet att få ut informationen, se kontantkort ovan.
– Av etiska skäl begär man endast uppgifterna under relevant tid med hänsyn till personlig integritet mm.
– Svårigheter att ”hänga med” i teknikutvecklingen inom ämnesområdet. – Kräver såväl resurser som tid för att se och förstå utvecklingen, ev. nya användningsområden m.m. då utvecklingen är omfattande och snabb.
44
Appendix C: Cache.cell
Cache.cell från experimenttelefon, med cell-id i klartext.
2 240:5:105:2309033 Í K@L<¯•] @)ê•z[æ± 6óXVì 240:5:35:2305411 — K@LUi …• @)ÂÔüF7 7§[ê 240:5:35:2305414 õ K@LUT é„“@)ÃÚøßzN 7åøŒ 240:5:35:2315681 ê K@LU0Ä#@)Á=SG¥± 7 Üõ 240:5:35:2315684 £ K@LU#d‰•@)Áb“së 7¸ùX 240:1:1015:41460 ü K@L:@¢‡~å@)Ø}YÇò 7úê 240:1:1015:49732 Î K@L6mú¯^'@)ô1ËT&É 7–1 240:5:35:6895165 Ø K@L7¦•Kaþ@)ßæÿë 7‹Az 240:5:105:2309036 ’ K@L<XŒ‰ß@*VœÄÇE 7•‘M 240:1:35:2309046 = K@L8¹©™è@)çD›:ƒŠ 7v 240:1:1015:41260
K@LC*A*@*ms ጠ7‰8A 240:1:35:2309323 ¯ K@L@Âùt7@*bm³a 7Ì²Ö 240:5:1015:46181 K@L@Ÿ5ºÌð@* ŒÑ4:š 7ìüë 240:5:35:46181 â K@L@Øú¹>@*e,ª‚ö 7ïÆM 240:1:1015:46391 x K@LBË×ÚG @*7€ŸÍ• 7ô±© 240:5:35:41262 \ K@LA?—Å„@*( eCQ 7˜ r 240:5:1015:41261 ý K@L>Îð“{r@*!´d ; 7•€ 240:1:1015:41261 å K@L?®ÆQˆ‰@*’ŸªTÓ 7ô±© 240:5:35:41261 R K@L>¢èÍ´S@*IsçXi 7‰ó 240:1:1015:41262 K@LA•mºî@*|iÝê, 7‰8A 240:5:1015:41262 ² K@LAF)¯ü²@*Øâ„Äö 7•¥ê 240:1:1015:46181 ¡ K@L@‘t1*D@*¡ñ&H 7ô±© 240:5:35:2309326 ´ K@L@ný Ý8@*E]Ø"k 7ŽÀµ 240:5:35:2309323 « K@L@˜¾¨FÜ@*côœ¯ 7…§• 240:5:105:2319171 Ï K@L<l¦òG±@)ãy1DEª 7+‚5 240:1:1015:49981 ] K@L;bGõ@)Ô×OÝ•å 71|—¨ 240:5:1015:46121 o K@L6›9¬Éø@)åVå¿âÙ 71ç 3 240:5:105:2309046 ë K@L8Õ€Ðtø@)æŠIš}Å 7B@"ƒ 240:5:105:6895167 À K@L90#´:/@)àmî$n 7Aéó 240:5:105:6895165
Ò K@L7µgUy¯@)àW¶ :ž 7Eúò& 240:5:35:2309272 Ö K@L@M½"4Þ@)ëAyG» 7Fõîj 240:5:105:6895161 X K@L9Ì4!@)ä û 7JSR} 240:5:35:6895161 Y K@L9$o†@)ä›\xÎ 7^ÿ‹5 240:5:35:2309046 ë K@L8É{ßto@)ætN†uÐ 7_ãµ 240:1:1015:49982 Œ K@L>Ébµ þ@)ãœp ¯ 7_6=Ð 240:1:1015:46182 é K@L@ÝR@)è•¢ëQó 7_6=Ð 240:1:1015:41490 § K@L5qõæ¡Š@*=<ó¦U 7_6=Ð 240:1:1015:46120 G K@L=N8r7U@*6ö6R¢ 7_6=Ð 240:1:1015:2319171 K@L;c)›ý@)éc2Õ 7aR\; 240:1:35:2319171 K@L;c°©€—@)èí=…œ• 7E÷ó³ 240:5:35:2309036 \
K@L?ï-45 Iå&@)÷rúÉ_Z 7a_ò$ 240:5:35:2309033 \ K@L>Œ0ûJ•@)í¬Éø6 7cËV 240:5:35:46121 á K@L5AsgÖ©@)ä=˜çà 7diY¡ 240:1:1015:41110 ¦ K@L6½Ó4ÅÚ@)º4ƒ•KV 7gˆ5ƒ 240:1:1015:46121 Y K@L5••×@)ä _$RÆ 7gˆ5ƒ 240:5:-1:-1ÿÿÿÿ 7g›Q_ 240:5:35:2319174 Ï K@L<iÂ;yS@)ã}Ÿh´ 7fó*ëA240:5:35:2319177ÿÿÿÿ hpz 240:5:35:2309043 Ñ K@L8ËI?3@)æ!.Mñ% 7g›Q\ 240:5:35:2319171 à K@L<q¡šð@)㕾ý q 7hç d
46
Appendix D: Cache.wifi
Cache.wifi från experimenttelefon, med MAC-adresser i klartext. ac:a0:16:52:1c:a2 < \@LTñ•vu¨@)ÂB!ã•— 7åøŒ 1c:17:d3:cb:f3:a2 < \@LTø¼>à@)Âv¾£>^ 7åøŒ 1c:17:d3:17:d1:50 F \@LTüÈ=@)Â03¤r; 7åøŒ ac:a0:16:52:1c:a0 < \@LTñ[øN[@)ÂFÓ#(# 7åøŒ 1c:17:d3:cb:f3:a0 < \@LTøPV@)Âr$àŠ 7¦çH 1c:17:d3:17:d1:52 F \@LTüŠ)º@)ÂJð¿] 7åøŒ 5c:0e:8b:c3:ac:71 < \@LTì3ša@@)À¤ÉÒG 7 Üõ 00:23:68:5b:62:c1 š W@LTêÄ.˜š@)Àé3¬ 7 Üõ 1c:17:d3:cb:b8:70 < \@LTæ[ê ¢@)ÂNð(¨ 7 Üõ 00:23:68:5b:62:c0 œ W@LTëC,¥@)Àì1"• 7 Üõ 1c:17:d3:cb:b8:72 < \@LTç†w~@)ÂBš¯CO 7 Üõ 1c:17:d3:17:e8:82 K \@LTâE@)²r® 7 Üõ 1c:17:d3:17:e8:80 I \@LTä) ä…@)šv8 7 Üõ 00:23:68:5b:05:b4 £ W@LTé…j7¬@)Á/DÀ# 7 Üõ 00:23:68:5b:05:b5 ¦ W@LTê8î^@)Á.ÐÍãM 7 Üõ 00:26:5a:fe:91:52 e \@L@Û„´Ñ@*楻æË 7‰ó b8:a3:86:20:2d:32 K W@L@åw¾}•@*Àgn 7ïÆM 00:22:75:0a:0b:5e : \@L@àЕÏì@*.oÜ 7‰ó 00:26:5a:44:b4:74 @ \@L@àˇRo@*Dœè³ 7‰ó 00:26:5a:44:b4:75 @ \@L@âÜʶ@*G5H·) 7‰ó 00:1b:2f:fb:59:0e K W@L@æâ!Ȩ@*T|Yó 7‰ó 34:21:09:01:8f:68 U \@L@á“-nÎ@*\ºëù¹ 7‰ó 00:1c:f0:83:e7:aa D
\@L@Þ½•ç@*G`ç¡d 7ìüë 00:1f:9f:86:38:8f L \@L@ÜÁ6–•@*P$Qï 7˜ r
00:1c:10:aa:b1:18 K W@L9ú¦ú«,@)çÞgÿÚ 7hpw c0:3f:0e:7b:3b:97 K W@L:0'}ó@)ê-DéN 7hç d
48
Referenser
1.
http://www.correctionalnews.com/articles/2011/04/1/cell-phone-forensics-recovery-and-preservation (2012–05–11)
2. Jansen, Ayers. “Gudelines on Cell Phone Forensics” (2007)
3. Asthana, Ankit & Ashtama. R. “IOS 5, Android 4.0 and Windows 8 – A Review” 4. EN 62684:2010
5. http://www.faradaybag.com/ (2012–05–11)
6. http://web.me.com/wperrymac1/styledfdf-3/index.html (2012–06–05)
7. Scientific Working Group on Digital Evidence (SWGDE). “Best Practices for Computer Forensics” (2006, v2.1)
8. Hoog, Andrew. “Android Forensics Investigation, Analysis and Mobile Security for Google Android” (2011)
9. Lessard, Jeff & Kessler Gary C. “Android Forensics: Simplifying Cell Phone Examinations”. Small Scale Digital Device Forensics Journal (vol 4 2010) 10. Horesh, Nadav. “Android Physical Extraction - FAQ” (2012)
11. http://standards.ieee.org/findstds/standard/1149.1-2001.html
12. http://www.cellebrite.com/mobile-forensics-products/forensics-products.html
(2012–05–11)
13. Schwieger, Volker. “Positioning within the GSM Network” (2007)
14. Alvarez, Paul. “Using Extended File Information (EXIF) File Headers in Digital Evidence Analysis”. International Journal of Digital Evidence (2004).
15. Cohen, Kevin. “Digital Still Camera Forensics”. Small Scale Digital Device Forensics Journal (vol 1 2007)
16. http://www.gsma.com (2012–06–06)
17. Lag 2003:389, 6:e kap 8§
18. Huber, Dennis. “Background Positioning for Mobile Devices –Android vs. iPhone”
49
20. Cheng, Yu-Chung mfl. “Accuracy Characterization for Metropolitan–scale Wi–Fi Localization”. Intel Reaserch (2005)
21. Svahn, Clas. “Googles avlyssning var känd av chefterna”. Dagens Nyheters webbupplaga (2012–04–30)
22. http://www.lociloci.com/se/about/ (2012–05–11)
23. http://www.androidlost.com/ (2012–05–11)
24.Oliver, de Vel mfl. “Multi–Topic E–mail Authorship Attribution Forensics” (2001)
25. http://en.wikipedia.org/wiki/Stylometrics (2012–05–11)
26. Chaski, Carole E. “Who’s At The Keyboard? Authorship Attribution in Digital Evidence Investigations”. International Journal of Digital Evidence (2005).
27. http://www.opensource.org/ (2012–06–07) 28. http://xda-developers.com/ (2012–05–09) 29. http://www.androidpolice.com/2011/12/30/exclusive-tacoroot-by-justin-case-and-reid-holland-a-new-temporary-root-exploit-for-all-htc-devices/ (2012-05–09) 30. http://developer.android.com/sdk/index.html (2012–05–09) 31. https://viaforensics.com/products/tools/sleuth-kit-yaffs2/ (2012–05–07) 32. http://en.wikipedia.org/wiki/File:IPad_in_Black_Case.jpg (2012–05–07)
Presentation av författarna
Författarna kommer ur kraftigt skiftande utbildnings- och arbetsbakgrunder som inkluderar allt från elprogram och byggarbete till IT-administration och nätverk, vilket gett upphov till ett väldigt brett spektrum av erfarenheter och infallsvinklar. Det de har gemensamt är att de ägnat de senaste 3 åren (2009-2012) åt att studera IT-Forensik och informationssäkerhet på Halmstad Högskola, där de tillsammans gjort ett flertal arbeten.
Johan Bergholm
johan.bergholm@gmail.com
Johan Bergholm, född 1987, är utbildad IT-tekniker som jobbat inom digital signage och har praktisk erfarenhet inom byggnads, el och service yrken.
Sascha Gallardo
sascha.gallardo@spray.se
Sascha Gallardo, född 1959, är en datatekniker som varit i branschen sedan 1984 och som arbetat med i huvudsak administration av nätverk. Sascha har därtill ett stort antal certifieringar spridda över ett brett område.
Jonny Svensson
jonny.svensson@reax.nu
Jonny Svensson är född 1986 och har en yrkesbakgrund som innefattar allt från industriarbeten till byggnadsarbete, men samtidigt uppvuxen med ett mycket brett intresse för det mesta inom IT och IT-säkerhet .