Hvad et udtræk af hele filsystemet faktisk indeholder, og hvorfor det meste af det aldrig undersøges

Spørg nogen uden for feltet, hvad der er på en beslaglagt telefon, og de vil sige beskeder, fotos og kontakter. Spørg en analytiker, og vedkommende vil tøve, fordi det ærlige svar er, at ingen helt ved det, og at finde ud af det er opgaven.

Et udtræk af hele filsystemet er en kopi af enhedens filsystem, som operativsystemet ser det. Ikke en kurateret eksport, ikke den delmængde, en applikation indvilliger i at udlevere gennem en sikkerhedskopigrænseflade. Hele træet.

Det er værd at gennemgå, hvad der faktisk er der, fordi dataenes form forklarer næsten alt om, hvor undersøgelsestiden går hen.

Fire lag, i faldende rækkefølge efter opmærksomhed

Det lag, alle tænker på. Beskeder, opkaldslogge, kontakter, kamerarullen. Det er reelt vigtigt, det er det, sagen som regel står og falder med, og det er en lille brøkdel af udtrækket efter volumen. Det er også den del, hvert værktøj afkoder godt, fordi det er den del, hvert værktøj blev bygget til først.

Applikationslager. Hver installeret applikation holder sin egen tilstand: databaser med beskeder og deres metadata, caches af profilbilleder, kladder, notifikationshistorik, søgehistorik, positionsspor, synkroniseringstilstand. En telefon med tres applikationer på sig har tres af disse, i tres opbygninger, i flere formater, nogle af dem versionerede og nogle af dem ikke.

Dette lag er der, hvor det interessante bevismateriale i stigende grad ligger, og det er der, hvor dækningen er mest ujævn. En analytikers værktøj vil afkode lagringen for de applikationer, leverandøren har implementeret, og resten er en mappeliste.

Systemspor. Operativsystemet registrerer en bemærkelsesværdig mængde om sig selv i det almindelige arbejde: hvilke applikationer der kørte og hvornår, hvilke netværk enheden tilsluttede sig, hvornår den blev tændt, hvilke konti der er konfigureret, hvad der for nylig blev åbnet. Intet af det blev udformet som bevismateriale. Meget af det er meget godt bevismateriale, fordi det er vanskeligt at kuratere, og fordi det bekræfter eller modsiger den menneskelige beretning.

Sediment. Miniature-caches, midlertidige filer, write-ahead-logge, der stadig holder rækker slettet fra hoveddatabasen, ikke-allokeret plads med resterne af poster, der blev fjernet. Dette er det lag, hvor slettet indhold gendannes, og det er også der, analytikeren skal være mest omhyggelig, fordi en gendannet række og en levende række har forskellig bevismæssig vægt og aldrig må præsenteres, som om de var det samme.

Volumenproblemet er ikke rigtig et volumenproblem

En moderne flagskibstelefon vil frembringe et udtræk i titallene eller de lave hundreder af gigabyte. Men lagring er billig, og læsning er hurtig, så den rå størrelse er ikke begrænsningen.

Begrænsningen er, at det nyttige indhold er spredt over et stort antal formater, hvoraf de fleste er udokumenterede, hvoraf flere ændrer sig mellem udgivelser af den applikation, der skrev dem, og hvoraf ingen blev udformet til, at andre end applikationen selv skulle læse dem.

Derfor er det meningsfulde spørgsmål ikke, hvor stort et udtræk er. Det er, hvor stor en andel af det et hvilket som helst værktøj har en holdning til. Alt det øvrige er til stede, læsbart i princippet og ubrugeligt i praksis.

Hvor timerne går hen

Se en erfaren analytiker arbejde sig gennem et udtræk, og tidsfordelingen er ikke det, en udenforstående forventer.

Meget lidt af den er læsning af beskeder. En stor del af den går med at finde ud af, hvilke dele af udtrækket der overhovedet er værd at læse, og derefter med at bringe de dele i en tilstand, hvor det er muligt at læse dem. At åbne en ukendt database, finde ud af, hvad dens tabeller betyder, opdage at tidsstempler er gemt i en usædvanlig epoke, indse at beskedteksten ligger i én tabel og deltageren i en anden uden en tydelig sammenføjning. Det er arbejdet.

Det er også fagligt arbejde, der ikke frembringer noget holdbart. Den forståelse, en analytiker opbygger om én applikations lagringsopbygning om tirsdagen, lever i vedkommendes hoved eller i bedste fald i en personlig notefil, og den skal genopbygges af den næste person, der møder den samme applikation i en anden tjeneste seks måneder senere.

Den del, der aldrig bliver undersøgt

Hvert laboratorium har en uformel regel om, hvor langt man går. Den er sjældent skrevet ned, og den er som regel fornuftig: undersøg det, værktøjet afkodede, undersøg alt det, efterforskeren specifikt spurgte om, og notér resten som ikke analyseret.

Resultatet er en konsekvent, usynlig reduktion af omfanget. Ikke et svigt i omhu, og ikke noget, en sagsgennemgang ville markere, fordi rapporten korrekt beskriver, hvad der blev undersøgt. Men virkningen på tværs af en sagsmængde er, at en stor brøkdel af beslaglagte data aldrig bliver set af nogen, og brøkdelen er størst netop i de applikationer, en leverandør fandt kommercielt uinteressante.

Hvad der ville ændre billedet

Tre ting ville flytte dette, i rækkefølge efter hvor stor forskel de gør.

Den første er dækning, der ikke afhænger af en andens udgivelsesplan. Hvis en ukendt applikation kan struktureres den dag, sagen har brug for det, holder den uformelle omfangsregel op med at fjerne de samme kategorier af bevismateriale hver gang.

Den anden er søgning, der virker på betydning frem for kun på strenge. Det meste af et udtræk er ulæseligt, fordi ingen har en grund til at åbne det. Et spørgsmål stillet på tværs af hele forseglingen på én gang finder grunden.

Den tredje er verifikation, der er billig nok til faktisk at blive udført. En analytiker, der skal bruge en eftermiddag på at bekræfte, hvor et fund kom fra, vil bekræfte færre fund. En, der kan gøre det med ét klik, vil bekræfte dem alle, hvilket er det, retssalen har krav på.

Den sidste betyder mere, end det lyder til. At gøre gennemgang af bevismateriale hurtigere er kun nyttigt, hvis det ikke også gør den mere overfladisk, og det eneste værn mod det er at gøre kontrollen så billig, at det ikke sparer noget at springe den over.