Τι περιέχει πράγματι μια εξαγωγή πλήρους συστήματος αρχείων, και γιατί το μεγαλύτερο μέρος της δεν εξετάζεται ποτέ

Ρωτήστε κάποιον έξω από το πεδίο τι υπάρχει σε ένα κατασχεμένο τηλέφωνο και θα πει μηνύματα, φωτογραφίες και επαφές. Ρωτήστε έναν εξεταστή και θα σταματήσει, γιατί η ειλικρινής απάντηση είναι ότι κανείς δεν γνωρίζει πλήρως, και το να το βρει είναι η δουλειά.

Μια εξαγωγή πλήρους συστήματος αρχείων είναι αντίγραφο του συστήματος αρχείων της συσκευής όπως το βλέπει το λειτουργικό σύστημα. Όχι μια επιμελημένη εξαγωγή, όχι το υποσύνολο που μια εφαρμογή δέχεται να παραδώσει μέσω μιας διεπαφής αντιγράφου ασφαλείας. Ολόκληρο το δέντρο.

Αξίζει να διατρέξει κανείς τι υπάρχει πράγματι εκεί, γιατί το σχήμα των δεδομένων εξηγεί σχεδόν τα πάντα για το πού πηγαίνει ο χρόνος εξέτασης.

Τέσσερα επίπεδα, σε φθίνουσα σειρά προσοχής

Το επίπεδο που σκέφτονται όλοι. Μηνύματα, αρχεία κλήσεων, επαφές, οι φωτογραφίες της κάμερας. Είναι πράγματι σημαντικό, είναι αυτό στο οποίο στηρίζεται συνήθως η υπόθεση, και είναι μικρό κλάσμα της εξαγωγής σε όγκο. Είναι επίσης το μέρος που κάθε εργαλείο αποκωδικοποιεί καλά, γιατί είναι το μέρος για το οποίο χτίστηκε πρώτα κάθε εργαλείο.

Αποθήκευση εφαρμογών. Κάθε εγκατεστημένη εφαρμογή κρατά τη δική της κατάσταση: βάσεις δεδομένων μηνυμάτων και των μεταδεδομένων τους, προσωρινές μνήμες φωτογραφιών προφίλ, πρόχειρα, ιστορικό ειδοποιήσεων, ιστορικό αναζήτησης, ίχνη τοποθεσίας, κατάσταση συγχρονισμού. Ένα τηλέφωνο με εξήντα εφαρμογές έχει εξήντα από αυτά, σε εξήντα διατάξεις, σε αρκετές μορφές, ορισμένες με εκδόσεις και ορισμένες χωρίς.

Σε αυτό το επίπεδο βρίσκονται όλο και περισσότερο τα ενδιαφέροντα τεκμήρια, και εκεί η κάλυψη είναι πιο άνιση. Το εργαλείο ενός εξεταστή θα αποκωδικοποιήσει την αποθήκευση των εφαρμογών που υλοποίησε ο προμηθευτής, και τα υπόλοιπα είναι μια λίστα καταλόγου.

Ίχνη συστήματος. Το λειτουργικό σύστημα καταγράφει αξιοσημείωτη ποσότητα για τον εαυτό του στην κανονική πορεία της λειτουργίας του: ποιες εφαρμογές έτρεξαν και πότε, σε ποια δίκτυα συνδέθηκε η συσκευή, πότε ενεργοποιήθηκε, ποιοι λογαριασμοί είναι ρυθμισμένοι, τι άνοιξε πρόσφατα. Τίποτα από αυτά δεν σχεδιάστηκε ως τεκμήριο. Μεγάλο μέρος τους είναι πολύ καλό τεκμήριο, γιατί είναι δύσκολο να επιμεληθεί και επιβεβαιώνει ή αναιρεί την ανθρώπινη αφήγηση.

Ίζημα. Προσωρινές μνήμες μικρογραφιών, προσωρινά αρχεία, ημερολόγια προεγγραφής που κρατούν ακόμη γραμμές διαγραμμένες από την κύρια βάση δεδομένων, μη εκχωρημένος χώρος με τα υπολείμματα εγγραφών που αφαιρέθηκαν. Αυτό είναι το επίπεδο όπου ανακτάται διαγραμμένο περιεχόμενο, και είναι επίσης εκεί όπου ο εξεταστής πρέπει να είναι προσεκτικότερος, γιατί μια ανακτημένη γραμμή και μια ενεργή γραμμή έχουν διαφορετικό αποδεικτικό βάρος και δεν πρέπει ποτέ να παρουσιάζονται σαν να ήταν το ίδιο.

Το πρόβλημα του όγκου δεν είναι πράγματι πρόβλημα όγκου

Ένα σύγχρονο τηλέφωνο ναυαρχίδα θα παραγάγει μια εξαγωγή στις δεκάδες ή στις χαμηλές εκατοντάδες gigabyte. Αλλά η αποθήκευση είναι φθηνή και η ανάγνωση γρήγορη, οπότε το ακατέργαστο μέγεθος δεν είναι ο περιορισμός.

Ο περιορισμός είναι ότι το χρήσιμο περιεχόμενο είναι διάσπαρτο σε μεγάλο αριθμό μορφών, οι περισσότερες ατεκμηρίωτες, αρκετές από τις οποίες αλλάζουν ανάμεσα σε εκδόσεις της εφαρμογής που τις έγραψε, και καμία από τις οποίες δεν σχεδιάστηκε για να τη διαβάσει κανείς άλλος εκτός από την ίδια την εφαρμογή.

Γι’ αυτό η ερώτηση που έχει σημασία δεν είναι πόσο μεγάλη είναι μια εξαγωγή. Είναι τι ποσοστό της έχει άποψη οποιοδήποτε εργαλείο. Όλα τα υπόλοιπα είναι παρόντα, αναγνώσιμα κατ’ αρχήν, και άχρηστα στην πράξη.

Πού πηγαίνουν οι ώρες

Παρακολουθήστε έναν έμπειρο εξεταστή να διατρέχει μια εξαγωγή και η κατανομή του χρόνου δεν είναι αυτή που περιμένει κάποιος απέξω.

Πολύ λίγο από τον χρόνο είναι ανάγνωση μηνυμάτων. Μεγάλο μέρος του είναι να βρεθεί ποια μέρη της εξαγωγής αξίζει καν να διαβαστούν, και έπειτα να έρθουν αυτά τα μέρη σε κατάσταση όπου η ανάγνωσή τους είναι δυνατή. Το άνοιγμα μιας άγνωστης βάσης δεδομένων, το να βρεθεί τι σημαίνουν οι πίνακές της, η ανακάλυψη ότι οι χρονοσφραγίδες είναι αποθηκευμένες σε μια ασυνήθιστη χρονική αφετηρία, η συνειδητοποίηση ότι το σώμα του μηνύματος είναι σε έναν πίνακα και ο συμμετέχων σε άλλον χωρίς προφανή σύζευξη. Αυτή είναι η εργασία.

Είναι επίσης εξειδικευμένη εργασία που δεν παράγει τίποτα διαρκές. Η κατανόηση που χτίζει ένας εξεταστής για τη διάταξη αποθήκευσης μιας εφαρμογής την Τρίτη ζει στο κεφάλι του, ή στην καλύτερη περίπτωση σε ένα προσωπικό αρχείο σημειώσεων, και πρέπει να ξαναχτιστεί από το επόμενο πρόσωπο που θα συναντήσει την ίδια εφαρμογή σε άλλη υπηρεσία έξι μήνες αργότερα.

Το μέρος που δεν εξετάζεται ποτέ

Κάθε εργαστήριο έχει έναν άτυπο κανόνα για το ως πού να φτάσει. Σπάνια είναι γραμμένος και συνήθως είναι εύλογος: εξετάστε ό,τι αποκωδικοποίησε το εργαλείο, εξετάστε οτιδήποτε ζήτησε συγκεκριμένα ο ανακριτής, και σημειώστε τα υπόλοιπα ως μη αναλυθέντα.

Το αποτέλεσμα είναι μια σταθερή, αόρατη μείωση του εύρους. Όχι αποτυχία επιμέλειας, και όχι κάτι που θα επισήμαινε μια αναθεώρηση υπόθεσης, γιατί η αναφορά περιγράφει με ακρίβεια τι εξετάστηκε. Αλλά το αποτέλεσμα σε έναν φόρτο υποθέσεων είναι ότι μεγάλο κλάσμα των κατασχεμένων δεδομένων δεν το κοιτάζει ποτέ κανείς, και το κλάσμα είναι μεγαλύτερο ακριβώς στις εφαρμογές που ένας προμηθευτής βρήκε εμπορικά αδιάφορες.

Τι θα άλλαζε την εικόνα

Τρία πράγματα θα το μετακινούσαν, με σειρά ανάλογα με τη διαφορά που κάνουν.

Το πρώτο είναι κάλυψη που δεν εξαρτάται από το πρόγραμμα εκδόσεων κάποιου άλλου. Αν μια άγνωστη εφαρμογή μπορεί να δομηθεί την ημέρα που τη χρειάζεται η υπόθεση, ο άτυπος κανόνας εύρους παύει να αφαιρεί τις ίδιες κατηγορίες τεκμηρίων κάθε φορά.

Το δεύτερο είναι αναζήτηση που λειτουργεί στο νόημα και όχι μόνο σε συμβολοσειρές. Το μεγαλύτερο μέρος μιας εξαγωγής είναι μη αναγνώσιμο γιατί κανείς δεν έχει λόγο να το ανοίξει. Μια ερώτηση που τίθεται σε ολόκληρη τη σφραγίδα μονομιάς βρίσκει τον λόγο.

Το τρίτο είναι επαλήθευση αρκετά φθηνή ώστε να εκτελείται πράγματι. Ένας εξεταστής που πρέπει να ξοδέψει ένα απόγευμα για να επιβεβαιώσει από πού προήλθε ένα εύρημα θα επιβεβαιώσει λιγότερα ευρήματα. Ένας που μπορεί να το κάνει με ένα κλικ θα τα επιβεβαιώσει όλα, που είναι αυτό που δικαιούται να περιμένει η αίθουσα δικαστηρίου.

Αυτό το τελευταίο έχει μεγαλύτερη σημασία από όσο ακούγεται. Το να γίνει ταχύτερη η εξέταση των τεκμηρίων είναι χρήσιμο μόνο αν δεν την κάνει και πιο ρηχή, και η μόνη άμυνα απέναντι σε αυτό είναι να γίνει ο έλεγχος τόσο φθηνός ώστε η παράλειψή του να μην εξοικονομεί τίποτα.