Hva et fullstendig filsystemuttrekk faktisk inneholder, og hvorfor det meste aldri blir undersøkt

Spør noen utenfor fagfeltet hva som ligger på en beslaglagt telefon, og de vil si meldinger, bilder og kontakter. Spør en analytiker, og vedkommende vil nøle, fordi det ærlige svaret er at ingen helt vet det, og å finne det ut er jobben.

Et fullstendig filsystemuttrekk er en kopi av enhetens filsystem slik operativsystemet ser det. Ikke en kuratert eksport, ikke utvalget en applikasjon går med på å gi fra seg gjennom et sikkerhetskopigrensesnitt. Hele treet.

Det er verdt å gå gjennom hva som faktisk ligger der, fordi formen på dataene forklarer nesten alt om hvor undersøkelsestiden går.

Fire lag, i synkende rekkefølge etter oppmerksomhet

Laget alle tenker på. Meldinger, anropslogger, kontakter, kamerarullen. Det er genuint viktig, det er det saken vanligvis står og faller med, og det er en liten andel av uttrekket målt i volum. Det er også delen hvert verktøy dekoder godt, fordi det er delen hvert verktøy ble bygget for først.

Applikasjonslagring. Hver installert applikasjon holder sin egen tilstand: databaser med meldinger og metadataene deres, hurtiglagre av profilbilder, utkast, varslingshistorikk, søkehistorikk, spor av posisjoner, synkroniseringstilstand. En telefon med seksti applikasjoner har seksti av disse, i seksti oppsett, i flere formater, noen av dem versjonert og noen ikke.

Dette laget er der de interessante bevisene i økende grad ligger, og det er der dekningen er mest ujevn. Verktøyet til en analytiker vil dekode lagringen til applikasjonene leverandøren har implementert, og resten er en kataloglisting.

Systemspor. Operativsystemet registrerer en bemerkelsesverdig mengde om seg selv i det vanlige arbeidet: hvilke applikasjoner som kjørte, og når, hvilke nettverk enheten koblet seg til, når den ble slått på, hvilke kontoer som er konfigurert, hva som nylig ble åpnet. Ingenting av det ble utformet som bevis. Mye av det er svært gode bevis, fordi det er vanskelig å kuratere, og det bekrefter eller motsier den menneskelige beretningen.

Sediment. Hurtiglagre av miniatyrbilder, midlertidige filer, write-ahead-logger som fortsatt holder rader slettet fra hoveddatabasen, ikke-allokert plass med restene av poster som ble fjernet. Dette er laget der slettet innhold gjenopprettes, og det er også der analytikeren må være mest varsom, fordi en gjenopprettet rad og en aktiv rad har ulik bevismessig vekt og aldri må presenteres som om de var det samme.

Volumproblemet er egentlig ikke et volumproblem

En moderne flaggskiptelefon vil gi et uttrekk på titalls eller lave hundretalls gigabyte. Men lagring er billig og lesing er rask, så rå størrelse er ikke begrensningen.

Begrensningen er at det nyttige innholdet er spredt over et stort antall formater, de fleste udokumenterte, flere som endrer seg mellom utgivelser av applikasjonen som skrev dem, og ingen som ble utformet for at noen andre enn applikasjonen selv skulle lese dem.

Derfor er det meningsfulle spørsmålet ikke hvor stort et uttrekk er. Det er hvor stor andel av det et verktøy i det hele tatt har en mening om. Alt det andre er til stede, lesbart i prinsippet og ubrukelig i praksis.

Hvor timene går

Se en erfaren analytiker arbeide seg gjennom et uttrekk, og tidsfordelingen er ikke det en utenforstående venter.

Svært lite av den er å lese meldinger. En stor del av den er å finne ut hvilke deler av uttrekket som i det hele tatt er verdt å lese, og deretter få de delene inn i en tilstand der det er mulig å lese dem. Å åpne en ukjent database, finne ut hva tabellene betyr, oppdage at tidsstempler er lagret i en uvanlig epoke, innse at meldingsteksten ligger i én tabell og deltakeren i en annen uten noen åpenbar kobling. Det er arbeidet.

Det er også faglært arbeid som ikke produserer noe varig. Forståelsen en analytiker bygger om lagringsoppsettet til én applikasjon på en tirsdag, bor i hodet, eller i beste fall i en personlig notatfil, og den må bygges opp igjen av neste person som møter den samme applikasjonen i en annen tjeneste seks måneder senere.

Delen som aldri blir undersøkt

Hvert laboratorium har en uformell regel for hvor langt en skal gå. Den er sjelden skrevet ned, og den er vanligvis fornuftig: undersøk det verktøyet dekodet, undersøk alt etterforskeren spesifikt spurte om, og noter resten som ikke analysert.

Resultatet er en konsekvent, usynlig innsnevring av omfanget. Ikke en svikt i grundighet, og ikke noe en saksgjennomgang ville markert, fordi rapporten nøyaktig beskriver det som ble undersøkt. Men virkningen over en saksmengde er at en stor andel av beslaglagte data aldri blir sett på av noen, og andelen er størst nettopp i applikasjonene en leverandør fant kommersielt uinteressante.

Hva som ville endret bildet

Tre ting ville flyttet dette, i rekkefølge etter hvor stor forskjell de gjør.

Det første er dekning som ikke avhenger av noen andres utgivelsesplan. Hvis en ukjent applikasjon kan struktureres den dagen saken trenger det, slutter den uformelle omfangsregelen å fjerne de samme kategoriene av bevis hver gang.

Det andre er søk som virker på betydning heller enn bare på strenger. Det meste av et uttrekk er uleselig fordi ingen har en grunn til å åpne det. Et spørsmål stilt på tvers av hele seglet på én gang finner grunnen.

Det tredje er verifisering som er billig nok til faktisk å bli utført. En analytiker som må bruke en ettermiddag på å bekrefte hvor et funn kom fra, vil bekrefte færre funn. En som kan gjøre det med ett klikk, vil bekrefte alle, og det er det en rettssal har krav på å vente.

Det siste betyr mer enn det høres ut som. Å gjøre gjennomgang av bevis raskere er bare nyttig hvis det ikke samtidig gjør den grunnere, og det eneste vernet mot det er å gjøre kontrollen så billig at det ikke sparer noe å hoppe over den.