Wat een Full File System-extractie werkelijk bevat, en waarom het grootste deel ervan nooit wordt onderzocht

Vraag iemand buiten het vakgebied wat er op een in beslag genomen telefoon staat, en die zal zeggen: berichten, foto’s en contacten. Vraag een analist, en die zal pauzeren, omdat het eerlijke antwoord is dat niemand het volledig weet, en dat uitzoeken het werk is.

Een Full File System-extractie is een kopie van het bestandssysteem van het apparaat zoals het besturingssysteem het ziet. Geen samengestelde export, niet de deelverzameling die een applicatie via een back-upinterface wil afgeven. De hele boom.

Het is de moeite waard door te nemen wat er werkelijk in zit, omdat de vorm van de gegevens bijna alles verklaart over waar de onderzoekstijd naartoe gaat.

Vier lagen, in afnemende volgorde van aandacht

De laag waar iedereen aan denkt. Berichten, oproeplogboeken, contacten, de camerarol. Ze is werkelijk belangrijk, het is waar de zaak doorgaans om draait, en ze is naar volume een klein deel van de extractie. Ze is ook het deel dat elk hulpmiddel goed decodeert, omdat het het deel is waarvoor elk hulpmiddel het eerst is gebouwd.

Applicatieopslag. Elke geïnstalleerde applicatie houdt haar eigen toestand bij: databases van berichten en hun metagegevens, caches van profielfoto’s, concepten, meldingsgeschiedenis, zoekgeschiedenis, locatiekruimels, synchronisatiestatus. Een telefoon met zestig applicaties heeft er zestig van, in zestig indelingen, in verscheidene formaten, sommige met versiebeheer en sommige niet.

Deze laag is waar het interessante bewijs steeds vaker zit, en het is waar de dekking het meest ongelijk is. Het hulpmiddel van een analist decodeert de opslag van de applicaties die de leverancier heeft geïmplementeerd, en de rest is een mappenlijst.

Systeemsporen. Het besturingssysteem legt in de gewone loop van het werk een opmerkelijke hoeveelheid over zichzelf vast: welke applicaties draaiden en wanneer, met welke netwerken het apparaat verbinding maakte, wanneer het is aangezet, welke accounts zijn ingesteld, wat onlangs is geopend. Niets ervan is als bewijs ontworpen. Veel ervan is zeer goed bewijs, omdat het moeilijk te samenstellen is en het het menselijke relaas bevestigt of weerspreekt.

Sediment. Miniatuurcaches, tijdelijke bestanden, write-aheadlogs die nog rijen bevatten die uit de hoofddatabase zijn verwijderd, niet-toegewezen ruimte met de resten van records die zijn verwijderd. Dit is de laag waar verwijderde inhoud wordt hersteld, en het is ook waar de analist het zorgvuldigst moet zijn, omdat een herstelde rij en een actieve rij een verschillende bewijskracht hebben en nooit mogen worden gepresenteerd alsof ze hetzelfde waren.

Het volumeprobleem is niet werkelijk een volumeprobleem

Een moderne vlaggenschiptelefoon levert een extractie op van tientallen of lage honderden gigabytes. Maar opslag is goedkoop en lezen is snel, dus de ruwe omvang is niet de beperking.

De beperking is dat de bruikbare inhoud verspreid ligt over een groot aantal formaten, waarvan de meeste ongedocumenteerd zijn, waarvan verscheidene veranderen tussen releases van de applicatie die ze schreef, en waarvan geen enkel is ontworpen om door iemand anders dan de applicatie zelf te worden gelezen.

Daarom is de betekenisvolle vraag niet hoe groot een extractie is. Ze is welk deel ervan een hulpmiddel een oordeel over heeft. Al het andere is aanwezig, in beginsel leesbaar, en in de praktijk onbruikbaar.

Waar de uren naartoe gaan

Kijk hoe een ervaren analist een extractie doorwerkt, en de verdeling van de tijd is niet wat een buitenstaander verwacht.

Zeer weinig ervan is het lezen van berichten. Een groot deel ervan is uitwerken welke delen van de extractie het lezen überhaupt waard zijn, en die delen vervolgens in een toestand brengen waarin lezen mogelijk is. Een onbekende database openen, uitwerken wat haar tabellen betekenen, ontdekken dat tijdstempels in een ongebruikelijke epoch zijn opgeslagen, beseffen dat de berichttekst in de ene tabel staat en de deelnemer in een andere, zonder duidelijke join. Dat is het werk.

Het is ook vakwerk dat niets duurzamen oplevert. Het begrip dat een analist op dinsdag opbouwt over de opslagindeling van één applicatie, leeft in het hoofd, of op zijn best in een persoonlijk notitiebestand, en het moet opnieuw worden opgebouwd door de volgende persoon die dezelfde applicatie zes maanden later in een andere dienst tegenkomt.

Het deel dat nooit wordt onderzocht

Elk laboratorium heeft een informele regel over hoe ver te gaan. Ze wordt zelden opgeschreven en ze is doorgaans verstandig: onderzoek wat het hulpmiddel heeft gedecodeerd, onderzoek alles waar de onderzoeker specifiek naar vroeg, en noteer de rest als niet geanalyseerd.

Het resultaat is een consistente, onzichtbare inperking van de reikwijdte. Geen gebrek aan zorgvuldigheid, en niet iets wat een zaakbeoordeling zou markeren, omdat het rapport juist beschrijft wat is onderzocht. Maar het effect over een werklast is dat een groot deel van de in beslag genomen gegevens nooit door iemand wordt bekeken, en het deel is het grootst in precies de applicaties die een leverancier commercieel oninteressant vond.

Wat het beeld zou veranderen

Drie dingen zouden dit verplaatsen, in volgorde van hoeveel verschil ze maken.

Het eerste is dekking die niet afhangt van het releaseschema van iemand anders. Als een onbekende applicatie kan worden gestructureerd op de dag dat de zaak haar nodig heeft, houdt de informele reikwijdteregel op elke keer dezelfde categorieën bewijs te verwijderen.

Het tweede is zoeken dat op betekenis werkt en niet alleen op tekenreeksen. Het grootste deel van een extractie is onleesbaar omdat niemand een reden heeft haar te openen. Een vraag die in één keer over het hele zegel wordt gesteld, vindt de reden.

Het derde is verificatie die goedkoop genoeg is om haar werkelijk uit te voeren. Een analist die een middag moet besteden aan het bevestigen waar een bevinding vandaan kwam, zal minder bevindingen bevestigen. Een analist die het in één klik kan doen, zal ze allemaal bevestigen, en dat is wat de rechtszaal mag verwachten.

Dat laatste doet er meer toe dan het klinkt. De beoordeling van bewijs sneller maken is alleen nuttig als het haar niet ook oppervlakkiger maakt, en de enige verdediging daartegen is de controle zo goedkoop maken dat het overslaan niets oplevert.