Android-forensik

Android er et fælles grundlag, som hver producent bygger sin egen telefon ovenpå. Samsung, Google, Motorola og de øvrige har forskellige versioner af systemet, forskellige sikkerhedsopdateringer, egne apps til beskeder og galleri og egne backupløsninger. To telefoner med samme Android-version kan derfor give vidt forskellige udtræk. Det første spørgsmål i en Android-sag er ikke “hvad kan Android?”, men “hvad kan netop denne model med netop denne version?”.

Samtidig er meget af brugerens liv flyttet ud af telefonen og ind i Google-kontoen: kontakter, billeder, placeringshistorik, backup af apps og ofte også beskeder. En Android-undersøgelse er derfor næsten altid to undersøgelser: én af enheden og én af kontoen. Som på iPhone gælder, at adgang kun sker ad lovlige veje: ejerens kode, samtykke, firmaets egne MDM-data eller en afgørelse.

Det særlige ved Android

Producentforskelle. Hvor data ligger, og hvilke databaser der findes, varierer. En beskedapp fra producenten gemmer i en anden struktur end Googles egen.
Arbejdsprofil og privat profil. På firmatelefoner kan data være delt i en administreret arbejdsprofil og en privat del. Det gør afgrænsningen lettere, hvis den bruges rigtigt.
Google-kontoens backup er ikke en komplet kopi. Den omfatter udvalgte data og apps, og omfanget afhænger af indstillinger og appudviklere.
Brugsdata findes lokalt. Usage stats og Digital Wellbeing registrerer appbrug og skærmaktivitet, men opbevaringen er begrænset i tid.

Det betyder også, at metoden skal beskrives mere præcist end for en computer. Rapporten bør angive model, systemversion, sikkerhedsopdatering, udtrækstype og værktøjsversion, fordi alle fem påvirker, hvad der kunne hentes ud. En anden fagperson, der får samme telefon på et senere tidspunkt, vil sjældent få et identisk udtræk, og forskellen skal kunne forklares.

Kilder og hvad de viser

Udtrækstyper · Hvad den kan vise: Hvad logisk, filsystem og fysisk udtræk giver · Læs mere: Udtræk fra mobiltelefoner
Usage stats og Digital Wellbeing · Hvad den kan vise: Appbrug og aktivitet i forgrund og baggrund · Læs mere: Android-artefakter
Google-kontoens backup · Hvad den kan vise: Hvad der er kopieret til Google, og hvad der mangler · Læs mere: Android-backup og Google-kontoen
msgstore.db · Hvad den kan vise: WhatsApp-beskeder på Android · Læs mere: WhatsApp teknisk
Private Google-konti · Hvad den kan vise: Aktivitetsdata og placeringshistorik · Læs mere: Private Google-konti
Signal og Telegram · Hvad den kan vise: Lokale data og forsvindende beskeder · Læs mere: Signal og Telegram teknisk
SQLite, plist og LevelDB · Hvad den kan vise: Appdatabaser og rester af slettede rækker · Læs mere: SQLite i forensic
MDM og Intune · Hvad den kan vise: Inventar, overholdelse og fjernsletning af firmaenheder · Læs mere: MDM og Intune som datakilde
Placeringsdata · Hvad den kan vise: Præcision og fejlkilder · Læs mere: Lokationsdata på telefonen

Typiske fejlkilder

Antagelser fra én model overføres til en anden. Hvad der gælder for en Pixel, gælder ikke nødvendigvis for en Samsung. Metoden skal dokumenteres for den konkrete enhed.
Kontoen glemmes. Data, der er slettet på telefonen, kan stadig ligge i Google-kontoen og omvendt. Se Den nulstillede firmatelefon.
Brugerens egen eksport bruges som bevis. En chateksport eller et skærmbillede mangler metadata og kan ikke verificeres mod kilden. Se Selvindsamling.
Tidsstempler i forskellige formater. Apps gemmer tid i millisekunder, sekunder eller andre epoker. Forkert konvertering flytter hændelser. Se Tidsstempelformater.
Private data i firmasager. En firmatelefon kan rumme privatliv, som ikke hører til sagen. Se Beskedapps i ansættelsessager.

Hvor man starter

Hold telefonen tændt og opladet, tast ikke forkerte koder, og afbryd ikke en fjernsletning ved at gætte; notér i stedet, hvem der har haft den. Tjekliste: tekniske trin ved sikring af en mobiltelefon giver rækkefølgen.

Find derefter ud af, hvilken Google-konto telefonen er knyttet til, og om firmaet har MDM-data om den. Læs Android-artefakter for de lokale spor og Android-backup og Google-kontoen for, hvad kontoen kan bidrage med. Er sagen en ansættelsessag med en firmatelefon, er Firmatelefonen i en ansættelsessag det rette udgangspunkt. iPhone behandles på iPhone-forensik.

Når det skal være en opgave

Mobilforensik i civile sager Udtræk, analyse og grænser for telefoner.

Artikler

Udtræk fra mobiltelefoner: logisk, filsystem og fysisk Logisk, fuldt filsystem eller fysisk udtræk giver vidt forskellige data. Sådan virker typerne på moderne iPhone og Android, og hvad det betyder for sagen.
Slettede beskeder på telefonen: hvad kan realistisk gendannes? Kan slettede sms’er og chatbeskeder gendannes? Teknisk realisme om SQLite, kryptering og cloudkopier, og hvor beskederne ofte findes et andet sted.
WhatsApp teknisk: lokal database, backup og hvad en chat-eksport mangler WhatsApps lokale database rummer langt mere end en chat-eksport: id’er, status, redigeringer og grupper. Sådan er data bygget op, og sådan sikres de.
Signal og Telegram teknisk: lokale data og forsvindende beskeder Signal gemmer beskeder krypteret lokalt, Telegram mest i skyen. Hvad der kan sikres lovligt, og hvordan forsvindende beskeder og desktopklienter virker.
Android-artefakter: usage stats, Digital Wellbeing og app-databaser Usage stats, Digital Wellbeing og app-databaser kan vise, hvornår en Android-telefon blev brugt, og hvilke apps der var åbne. Sådan læses de korrekt.
Android-backup og Google-kontoens sikkerhedskopi Android-backup i Google-kontoen indeholder mindre, end mange tror, og kan ikke bare eksporteres. Indhold, kryptering og grænser i forhold til iOS.
MDM og Intune som datakilde: inventar, compliance og fjernsletning Intune og andre MDM-systemer gemmer enhedsinventar, compliance og en auditlog over fjernhandlinger. Sådan sikres og læses dataene forensisk korrekt.
Firmatelefonen i en ansættelsessag: afgrænset og selektivt udtræk En firmatelefon rummer både arbejde og privatliv. Sådan afgrænses udtræk og analyse med filtre på periode, apps og kontakter, og sådan testes filtrene.
Lokationsdata på telefonen: præcision og fejlkilder GPS, Wi-Fi og mobilmaster giver vidt forskellig præcision. Sådan læses nøjagtighedsradius, kilder og tidsstempler i telefonens lokationsdata korrekt.
Beskedapps i ansættelsessager: hvad der kan sikres lovligt Beskeder i en ansættelsessag kan sikres fra firmaenheden, med samtykke eller fra modtagerens kopi. Hvad hver kilde indeholder, og hvordan den dokumenteres.
Den nulstillede firmatelefon: hvad kan findes i backup og cloud En nulstillet telefon er tom, men data og spor findes i backup, cloud, MDM og serverlogs. Sådan kortlægges kilderne, og sådan dateres nulstillingen.
Telefonen eller teleoperatøren: hvilke data findes hvor Opkaldslisten på telefonen og operatørens specifikation viser ikke det samme. Hvad hver kilde indeholder, hvorfor de afviger, og hvordan de sammenholdes.
Messenger og Instagram teknisk: hvad der kan sikres Krypterede chats har flyttet Messenger-beviset fra Metas servere til enhederne. Hvor beskederne ligger, hvad Metas udtræk mangler, og hvordan de sikres.
Sådan læses en mobiludtræksrapport En mobiludtræksrapport er et værktøjs fortolkning. Hvad felterne kildefil, slettet, tidsstempel og kontaktnavn betyder, og hvor de oftest fejltolkes.
Wi-Fi- og Bluetooth-spor på enheden: netværksprofiler og parrede enheder Kendte Wi-Fi-netværk og parrede Bluetooth-enheder på computer og telefon kan underbygge, hvor og med hvad en enhed var forbundet. Kilder og fejlkilder.
“Slettet for alle” i WhatsApp og Messenger: hvad kan ses bagefter? Slet for alle fjerner teksten, men markeringen, tidspunktet og rester i database, medier og backup kan bestå. Sådan sikres og vurderes sporene bagefter.
Droner: flylogs, medier og app-data Hvor en drone gemmer flylogs, positioner og medier, hvordan data sikres lovligt fra drone, fjernbetjening og app, og hvilke fejlkilder der påvirker tolkningen.
Smartwatches og fitnessdata: hvor data ligger, og hvad tidsstemplerne betyder Hvor data fra smartwatches og fitnessure ligger, hvordan de udtrækkes lovligt, og hvad tidsstempler, kildefelter og synkronisering betyder for tolkningen.
Bilens infotainment og app-data Data fra bilens infotainment, CarPlay, Android Auto og producentens app: hvor sporene ligger, hvordan de sikres med ejerens samtykke, og hvad de kan vise.
Snapchat og TikTok: lokale data og dataudtrækket Hvad der kan sikres lovligt fra egen Snapchat- og TikTok-konto: lokale data på telefonen, platformenes dataudtræk, formater, huller og typiske fejlkilder.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.