Amikor kiszivárognak privát üzenetek, amelyekhez senkinek sem lenne szabad hozzáférnie, egy okostelefon szokatlan aktivitást mutat, vagy egy fontos kommunikáció hirtelen eltűnik, gyorsan felmerül a digitális behatolás gyanúja. Van azonban egy döntő különbség a gyanús megfigyelés és a technikailag igazolható jogosulatlan hozzáférés között.

Bayreuthi IT forenzikai szolgáltatásaink kifejezetten azoknak a magánszemélyeknek szólnak, akiknek tisztán kell látniuk okostelefonjaikon, számítógépeiken vagy digitális fiókjaikban végzett tevékenységeket. A feltételezések megerősítése helyett objektíven vizsgáljuk a rendelkezésre álló adatokat: Milyen digitális nyomok léteznek valójában? Mi rekonstruálható kronológiailag? Mely állítások technikailag megbízhatóak – és hol ér véget a rendelkezésre álló adatok bizonyító értéke?

Továbbá vállalatokat, ügyvédi irodákat és más ügyfeleket támogatunk digitális bizonyítékok biztosításában és elemzésében. Egy olyan egyetemi, kutatási és üzleti helyszínen, mint Bayreuth, ez nemcsak személyes eszközöket foglalhat magában, hanem kutatási információkat, üzleti kommunikációt, vállalati adatokat és műszaki know-how-t is.

Gyanítod, hogy illetéktelen hozzáférés történt az okostelefonodhoz?

Sok magánnyomozás nem egyetlen, egyértelmű technikai incidenssel kezdődik, hanem egy sor rendellenességgel. Valaki más ismeri a magánbeszélgetések tartalmát. Úgy tűnik, mintha elolvasták volna az üzeneteket. Egy ismeretlen eszköz jelenik meg egy felhasználói fiókban. Egy szakítás után felmerül a gyanú, hogy a volt partner továbbra is fogad információkat.

Az ilyen megfigyeléseket komolyan kell venni, de nem szabad elhamarkodottan értelmezni.

A jogosulatlan hozzáférés nem feltétlenül kell, hogy hagyományos kémprogram-alkalmazáson keresztül történjen. Lehetséges okok lehetnek az ismert bejelentkezési adatok, a bejelentkezve maradó eszközök, az összekapcsolt üzenetküldő-munkamenetek, a felhőalapú szinkronizálások vagy a korábban megadott engedélyek.

Egy kriminalisztikai vizsgálat ezért nemcsak a „Telepített-e kémprogram?” kérdést vizsgálja, hanem az általános technikai képet is.

Mobiltelefon-forenzika magánszemélyek számára Bayreuthból

Manapság az okostelefon gyakran a legfontosabb digitális bizonyíték egy magánszemély számára. A kommunikáció, a fényképek, az üzenetküldő alkalmazások, az e-mailek, a névjegyek, a felhasználói fiókok és számos egyéb személyes adat egyetlen eszközön található.

Egy vizsgálat hasznos lehet például, ha tisztázni szeretnéd:

• vannak-e jelek jogosulatlan hozzáférésre,
• hogy észlelhetők-e szokatlan alkalmazások vagy konfigurációk,
• hogy más eszközök csatlakoznak-e személyes fiókokhoz,
• hogy a WhatsApp vagy a Messenger adatai továbbra is elérhetők-e,
• hogy a törölt kommunikáció technikailag rekonstruálható-e,
• hogy a digitális hozzáférési útvonalak folytatódnak-e a szétválás után,
• hogy a releváns fényképek, üzenetek vagy dokumentumok menthetők-e,
• vagy hogy a digitális információkat jogi célokból dokumentálni kell-e.

Az, hogy mely adatokhoz lehet valójában hozzáférni, nagyban függ az okostelefon modelljétől, operációs rendszerétől, biztonsági állapotától, titkosításától és a technikailag megvalósítható kinyerési módszertől. Az alapokat a „ Mi az okostelefon-forenzika?” című cikkben ismertetjük.

Feltört telefon – mely nyomok igazán megbízhatóak?

A gyorsan lemerülő akkumulátornak, a felmelegedett eszköznek, a magas adatforgalmnak vagy az alkalmankénti összeomlásoknak számos oka lehet. Ezen megfigyelések egyike sem bizonyítja, hogy kompromisszumot kellene kötni.

Nagyobb forenzikus érdeklődésre tartanak számot a technikai jellegű leletek és azok összefüggései. Az eszköztől függően alkalmazások, jogosultságok, fiókadatok, rendszeradatok és egyéb elérhető nyomok vizsgálhatók.

A negatív eredményt is helyesen kell értelmezni. Ha a vizsgált adatbázisban nem található megbízható bizonyíték, az nem jelenti automatikusan azt, hogy a hozzáférés nem történhetett volna meg korábban.

Egy megállapítás hatókörét mindig a ténylegesen rendelkezésre álló adatbázis korlátozza.

Digitális hozzáférés válás után

A különválás és a párkapcsolati konfliktusok a magánjellegű informatikai forenzika legérzékenyebb területei közé tartoznak. Gyakran felmerül a gyanú, hogy a volt partner továbbra is hozzáfér személyes kommunikációhoz, fényképekhez vagy egyéb információkhoz.

Azonban, különösen a hosszú távú kapcsolatokban, a digitális szolgáltatásokat gyakran közösen állították be. Ismerték a jelszavakat, megosztották a tableteket, aktiválták a családi funkciókat, vagy több eszközön jelentkeztek be a felhasználói fiókokba.

Ez lehetővé teszi az információkhoz való hozzáférést hagyományos kémprogramok telepítése nélkül.

A körülményektől függően az okostelefont ezért nem szabad elszigetelten vizsgálni. A felhasználói fiókok, a csatlakoztatott eszközök, a messenger-kapcsolatok és más technikailag elfogadható hozzáférési módok is relevánsak lehetnek.

WhatsApp, mint bizonyíték: több, mint egy képernyőkép

A WhatsAppon keresztüli kommunikáció gyakran központi szerepet játszik a magánéleti konfliktusokban, fenyegetésekben, csalási ügyekben és jogi vitákban.

Egy képernyőkép azonban csak a képernyőn megjelenített képet dokumentálja. Részletesebb technikai értékeléshez az eredeti adatforrás sokkal relevánsabb.

A rendelkezésre álló kinyerési lehetőségektől függően üzenetek, időinformációk, résztvevői hozzárendelések, médiatartalmak, dokumentumok, csoportinformációk és egyéb WhatsApp-összetevők vizsgálhatók.

A technikai lehetőségeket részletesebben a „WhatsApp üzenetek forenzikus elemzése” című részben ismertetjük.

Törölt WhatsApp üzenetek – mi más lehetséges?

A „törölt üzenet mindig véglegesen elveszett” kijelentés ugyanolyan képmutató, mint az az ígéret, hogy minden törölt üzenet visszaállítható.

A döntő tényező a konkrét adatszituáció.

Az eszköztől és az alkalmazástól függően adatbázisok, adathordozók, biztonsági mentések vagy más meglévő elemek lehetnek relevánsak. Egy régebbi biztonsági mentés olyan információkat is tartalmazhat, amelyek már nem láthatók az aktuális adatokban.

A modern okostelefonok azonban titkosítást és összetett tárolási mechanizmusokat használnak, ezért a teljes adat-helyreállítás soha nem garantálható.

Ha a törölt információk fontosak, az eszközt a lehető legkevesebbszer kell használni, és a WhatsAppot nem szabad idő előtt újratelepíteni.

Fotók, videók és dokumentumok igazságügyi szakértői vizsgálata

Nem mindig az üzenetküldő alkalmazásokról van szó. A magánjellegű viták fényképek, videók, dokumentumok vagy más fájlok körül is foroghatnak.

Az első lépés annak meghatározása, hogy a szóban forgó információkat eredetileg hol tárolták. Magán az okostelefonon kívül a biztonsági mentések, a szinkronizált adatok vagy más eszközök is relevánsak lehetnek.

Ugyanez vonatkozik a törölt fájlokra is: a helyreállítási lehetőségek a tárolási technológiától, a titkosítástól, a törlési folyamattól és a további felhasználástól függenek.

Az iPhone és az Android eszközök eltérő vizsgálati módszereket igényelnek.

Egy modern iPhone-t nem lehet úgy vizsgálni, mint egy hagyományos merevlemezt. Ugyanez vonatkozik a modern Androidos okostelefonokra is.

Apple eszközökön olyan tényezők befolyásolják az elérhető opciókat, mint a modell, az iOS verziója, az eszköz állapota és a biztonsági konfiguráció. Az Android-eszközök a gyártótól, a lapkakészlettől, az Android verziójától és a biztonsági javítástól is jelentősen eltérnek.

Ezért minden eszköz esetében először meghatározzák, hogy technikailag milyen típusú adatmentés vagy -kinyerés érhető el, és van értelme az adott kérdés szempontjából.

További információkat az iPhone-vizsgálatról és az Android-vizsgálatról szóló szakcikkeinkben talál.

Számítógépes forenzika magánügyekben

Bizonyos digitális folyamatok nem érthetők meg kizárólag okostelefonon keresztül. A Windows PC-k, Mac-ek és laptopok további nyomokat is tartalmazhatnak.

A rendszertől függően többek között a felhasználói tevékenység, a fájlrendszer-információk, a böngészőadatok, a csatlakoztatott eszközök és a telepített programok is vizsgálhatók.

Ez például akkor lehet releváns, ha a számítógépen üzenetküldőket is használtak, egy felhasználói fiókba több eszközön is bejelentkeztek, vagy fájlokat vittek át különböző rendszerek között.

További technikai háttérinformációkat a Mi a számítógépes forenzika ? című részben talál .

Adathalászat, online csalás és feltört felhasználói fiókok

Adathalászat vagy csalás után gyakran felmerül az aggodalom, hogy az egész okostelefon veszélybe került. Technikailag ez nem feltétlenül van így.

Egy érdemi vizsgálathoz először rekonstruálni kell, hogy mi is történt valójában: Megnyitottak egy linket? Megadták a bejelentkezési adatokat? Letöltöttek egy fájlt? Történt-e bármilyen szokatlan fióktevékenység a későbbiekben?

A körülményektől függően az üzenetek, e-mailek, böngészőinformációk, letöltések és egyéb technikai nyomok relevánsak lehetnek.

Egy forenzikus vizsgálat segíthet a digitális folyamat dokumentálásában. Azonban nem képes automatikusan azonosítani a csalárd szerver, telefonszám vagy felhasználói fiók mögött álló természetes személyt.

Digitális bizonyítékok ügyvédek és jogi viták számára

Magánjellegű vitákban gyakran nem elég pusztán egy információ megtalálása. A forrás és a megszerzésének módja később kulcsfontosságú lehet.

Ezért különbséget teszünk az egyszerű vizuális ellenőrzés és az ellenőrizhető igazságügyi szakértői vizsgálat között.

A bizonyítékokkal kapcsolatos adatok esetében dokumentálják, hogy melyik vizsgálati tárgy volt jelen, milyen rögzítési módszert alkalmaztak, és milyen adatalapon végezték a későbbi elemzést.

Megfelelő adathalmazok esetén a hash értékek segítségével ellenőrizhető azok folyamatos integritása. A digitális bizonyítékok integritásáról szóló cikkünk elmagyarázza, hogy mire képesek – és mire nem – a hash értékek.

Milyen forenzikus szoftvert használjunk?

Az okostelefonok, számítógépek és adattároló eszközök műszaki specifikációikban jelentősen eltérnek egymástól. Ezért nem egyetlen univerzális megoldással dolgozunk, hanem több specializált forenzikus rendszerrel.

Cellebrite Inseyets

A Cellebrite Inseyets-et különösen a mobil forenzika területén használják. Az eszköztől és a rendelkezésre álló kinyerési technikáktól függően az okostelefon-adatok strukturált módon elemezhetők, és a releváns műtermékek kiértékelhetők az adott kutatási kérdés szempontjából.

Cellebrite digitális gyűjtő és ellenőr

Számítógépes és adathordozó-vizsgálatokhoz speciális eszközök, például a Cellebrite Digital Collector és Inspector állnak rendelkezésre az adatgyűjtéshez és a digitális adatkészletek későbbi vizsgálatához.

X-Ways Forensics

Az X-Ways Forensics lehetővé teszi a fájlrendszerek, adathordozók, partíciók és egyéb számítógépes forenzikus struktúrák mélyreható vizsgálatát. Ez különösen fontos lehet a részletes fájlrendszer-elemzéseknél.

MOBILedit Forensic és MEFF 3 Pro

A MOBILedit Forensic és a MEFF 3 Pro kiegészítik a mobil nyomozások lehetőségeit, és további elemzési lehetőségeket nyithatnak meg az eszköztől és a feladattól függően.

A használt szoftver önmagában azonban nem határozza meg az eredmény minőségét. Az automatikusan generált találatokat szakmailag felül kell vizsgálni és értékelni kell a technikai kontextusukban. Ezért egy szoftverjelentés nem automatikusan szakértői vélemény.

Bayreuth: Egyetemi város, kutatóhely és Felső-Frankföld gazdasági központja

Bayreuth saját, digitális forenzikus vizsgálatokra szakosodott struktúrával rendelkezik. Regionális központként betöltött szerepe mellett a várost egyeteme, kutatóintézetei, közintézményei, egészségügyi szektora, szolgáltatásai, valamint gyártó- és technológiaorientált vállalatai jellemzik.

A tudomány és az üzleti élet közötti kapcsolat azt jelenti, hogy a digitális információknak nagyon eltérő jelentése lehet. A hagyományos vállalati adatok mellett a kutatási dokumentumok, a projektinformációk, a műszaki dokumentációk, a fejlesztési állapotok és egyéb know-how is védelemre érdemesek lehetnek.

Egy forenzikus vizsgálat esetében ez azt jelenti, hogy a cél nem a lehető legtöbb adat összegyűjtése. A döntő tényező azon eszközök és adatforrások azonosítása, amelyek valóban relevánsak egy adott kérdés szempontjából.

IT forenzika vállalatok és intézmények számára Bayreuthban

Az üzleti megbízások más kérdésekre összpontosítanak, mint egy privát okostelefon-teszt.

Tipikus alkalmak lehetnek többek között:

• Bizalmas információk kiszivárgásának gyanúja,
• szokatlan fájltevékenység a munkavállaló távozása előtt,
• Külső USB-tárolóeszközök használata esetén,
• törölt vagy módosított üzleti adatok,
• feltört felhasználói fiókok vagy számítógépek,
• belső biztonsági incidensek,
• Kibertámadások
• vagy az elektronikus bizonyítékok biztosítása.

Különösen érzékeny vállalati vagy kutatási adatok kezelésekor a vizsgálat hatókörét pontosan meg kell határozni. Egy célzott elemzés informatívabb lehet, mint a nagy adathalmazok differenciálatlan értékelése.

USB-kulcsot találtak – ez bizonyítja az adatlopást?

Nem. Ez jó példa arra, hogy miért kell gondosan megfogalmazni a műszaki megállapításokat.

Bizonyos körülmények között egy számítógépes rendszer dokumentálni tudja, hogy egy adott USB-eszközt csatlakoztattak. Ez azonban nem jelenti automatikusan azt, hogy bizalmas fájlokat másoltak az eszközre.

Az alaposabb értékeléshez további bizonyítékokat kell figyelembe venni. Csak több tárgy kölcsönhatása támaszthat alá potenciálisan egy konkrétabb eseménysorozatot.

Kiberincidens: Először reagáljunk, vagy először szerezzük be a bizonyítékokat?

Mindkettőt össze kell hangolni.

Folyamatos biztonsági incidens esetén a kárelhárítás élvez elsőbbséget. Ugyanakkor a nem koordinált új telepítések vagy törlési intézkedések megszüntethetik a digitális nyomokat, amelyekre később szükség van a kiváltó ok elemzéséhez.

Ezért a lehető leghamarabb döntéseket kell hozni arról, hogy mely rendszereket kell elkülöníteni, mely adatokról kell biztonsági másolatot készíteni, és mely intézkedéseket kell dokumentálni.

Ellenőrizhető minőség az automatizált szoftverjelentések helyett

Az LB Detektive GmbH a TÜV NORD által DIN EN ISO 9001 szabvány szerint tanúsított minőségirányítási rendszerrel rendelkezik, amelynek hatálya kiterjed az IT forenzikára is. Ezenkívül a szakértő DIN EN ISO/IEC 17024 szabvány szerinti tanúsítvánnyal rendelkezik.

Ez két különböző szint: a minőségirányítás a meghatározott szervezeti folyamatokat érinti; a személyzeti tanúsítás a tanúsított személy bizonyított kompetenciájára vonatkozik.

Az ügyfél számára a legfontosabb tényezők az átlátható vizsgálati eljárások, az adatok ellenőrzött kezelése, valamint a technikai megállapítások és a szakmai értelmezés egyértelmű szétválasztása.

Három tipikus helyzet a vizsgagyakorlatunkból

A privát kommunikáció már nem tűnik privátnak.

Egy szakítás után egy másik személy olyan tartalmakhoz fér hozzá, amelyeknek csak a felhasználó okostelefonján kellene lenniük. Ahelyett, hogy azonnal kémprogramot feltételeznének, leszűkítik a lehetséges technikai hozzáférési pontokat, majd szisztematikusan megvizsgálják a rendelkezésre álló adatokat.

A törölt üzenetek jogi vitákban válnak fontossá.

Egy adott kommunikációs előzmény már nem teljesen látható. Először is megvizsgálják, hogy mely adatforrások állnak még rendelkezésre. Csak ezután lehet felmérni, hogy van-e technikai esélye a rekonstrukciónak a sikerre.

A céges adatok kiszivároghattak, mielőtt egy alkalmazott elhagyta a céget.

Szokatlan fájltevékenység történik egy szűken meghatározott időszakon belül. Ahelyett, hogy azonnal arra a következtetésre jutnánk, hogy adatlopásról van szó, összehasonlítjuk a releváns számítógépes rendszereket, külső adattároló eszközöket és egyéb technikai nyomokat.

Így kezdődik egy igazságügyi nyomozás.

1. Mit kell tisztázni?

Nem szoftverrel kezdődik, hanem egy konkrét kérdéssel. Ez lehetővé teszi számunkra, hogy meghatározzuk, mely digitális nyomok lehetnek relevánsak.

2. Mely adatforrások alkalmasak?

Az esettől függően az okostelefonok, számítógépek, adattároló eszközök, biztonsági mentések vagy más hozzáférhető adattárak fontosak lehetnek.

3. Melyik biztonsági módszer a megfelelő?

Az eljárás az eszköztől, az operációs rendszertől, a titkosítástól és a vizsgálat céljától függ. Azonos bitenkénti biztonsági mentés nem lehetséges a modern okostelefonok minden technikai konfigurációjában.

4. Mely bizonyítékok támasztják alá vagy cáfolják meg a kezdeti feltételezést?

Az adatokat nem csak egyedi kulcsszavakra keresik. A releváns elemeket technikailag és időrendileg osztályozzák, és ahol ez értelmes, összefüggésbe hozzák egymással.

5. Milyen következtetéseket lehet ebből levonni?

Az eredményeket oly módon dokumentálják, hogy különbséget lehessen tenni a megállapított technikai tények, a szakértői értelmezések és a megválaszolhatatlan kérdések között.

A vizsgálat előtt: Ezek a hibák megváltoztathatják a digitális nyomokat

• Ne állítsa alaphelyzetbe idő előtt a gyanús okostelefont.
• Ne töröljön saját kezűleg gyanús kémprogramokat.
• Ne telepítsen ismeretlen elemző vagy tisztító programokat.
• Ne telepítse újra a WhatsAppot, ha fontos üzeneteket törölt.
• Ne írja felül feleslegesen a meglévő biztonsági mentéseket.
• Használjon olyan eszközt, amelyről a lehető legkevesebb releváns adatot törölte.
• Dokumentáljon minden szokatlan jelentést, időpontot és megfigyelést.

IT forenzika Bayreuthban és Felső-Frankföldön

Szolgáltatásaink magánszemélyek, vállalatok és ügyvédi irodák számára elérhetőek Bayreuthban és a környező felső-frankföldi régióban. Ide tartozik többek között Kulmbach, Hof, Coburg, Forchheim, Bamberg és a környék más települései.

A nürnbergi nagyvárosi régióval kapcsolatos esetekhez a nürnbergi regionális IT forenzikai oldalunk is elérhető.

Gyakran ismételt kérdések az IT forenzikával kapcsolatban Bayreuthban

Azt hiszem, valaki figyeli a telefonomat. Mit tegyek először?

Kerülje az eszköz elhamarkodott módosítását. Jegyezze fel vagy dokumentálja az esetleges rendellenességeket, és először ellenőriztesse, hogy melyik vizsgálat a megfelelő az Ön eszköze és a szóban forgó kérdés alapján.

Lehetséges magánszemélyek számára, hogy megvizsgáltassák a mobiltelefonjukat?

Igen. A jogosulatlan hozzáférés, a kémprogram-gyanús esetek, a törölt kommunikáció, a fiókproblémák és a válás utáni digitális konfliktusok tipikus okai a magánnyomozásoknak.

Meg lehet állapítani, hogy a volt partnerem hozzáfér-e az adataimhoz?

A körülményektől függően technikai hozzáférési útvonalakat lehet vizsgálni. Ezek nemcsak az okostelefont, hanem a csatlakoztatott fiókokat és eszközöket is magukban foglalhatják. Az, hogy egy adott hozzáférés bizonyítható-e, a rendelkezésre álló bizonyítékoktól függ.

Minden kémprogram észlelhető?

Nem. Egy ilyen garancia technikailag nem lenne megalapozott. A bizonyítási lehetőségek többek között az eszköztől, az operációs rendszertől, a lehetséges támadástól, a támadás időpontjától és a rendelkezésre álló adatoktól függenek.

A törölt WhatsApp üzenetek véglegesen elvesznek?

Nem feltétlenül. Bizonyos körülmények között adatok vagy más releváns tárgyak továbbra is jelen lehetnek. A teljes helyreállítás azonban nem garantálható.

Lehetséges ellenőrizni egy WhatsApp képernyőkép eredetiségét?

Magának a képernyőképnek korlátozott az értéke. Ha rendelkezésre áll az eredeti okostelefon vagy egy megfelelő adatkivonat, az alapul szolgáló kommunikációs adatok lényegesen informatívabbak lehetnek.

Mac vagy Windows számítógépet is lehet vizsgálni?

Igen. A konkrét eljárás a hardvertől, az operációs rendszertől, a titkosítástól, az eszköz állapotától és a megválaszolandó kérdéstől függ.

Meg tudja állapítani egy vállalat, hogy az adatokat lemásolták-e?

Megfelelő körülmények között megvizsgálhatók a fájlaktivitás, a külső tárolóeszközök és más rendszerhibák. Azt, hogy egy adott másolási művelet ellenőrizhető-e, a rendelkezésre álló nyomok teljes száma alapján kell felmérni.

Elegendő egy forenzikus program egy nyomozáshoz?

A szoftver képes adatokat kinyerni és műtermékeket megjeleníteni. A szakértői értelmezés, a korrelációk ellenőrzése és az eredmények jelentőségének értékelése továbbra is a kutató felelőssége.

Hogyan határozzák meg a vizsgálat terjedelmét?

A kiindulópont az eszköz, a megfigyelt konkrét rendellenesség, a vonatkozó időszak és a kívánt vizsgálati cél. Ebből levezethető, hogy milyen biztonsági intézkedésekre és elemzésekre van valójában szükség.

Bizalmas kezdeti értékelés egy bayreuthi ügyben

Ha jogosulatlan hozzáférésre gyanakszik okostelefonjához, törölt kommunikációra van szüksége, vagy digitális információkat szeretne védeni egy vita esetén, kezdetben néhány részlet kulcsfontosságú: Melyik eszközt érinti az eset? Pontosan mit vett észre? Mióta gyanakszik? Azóta alaphelyzetbe állították, frissítették vagy más módon módosították az eszközt?

Vállalati esetekben a releváns időszak, az érintett rendszerek és a konkrét gyanú is fontos. Csak ezután döntik el, hogy melyik biztonsági és vizsgálati módszer a technikailag megfelelő.

További érthető magyarázatokat az okostelefonok, számítógépek és messengerek forenzikájáról, valamint a digitális bizonyítékok megőrzéséről tudásbázisunkban talál.