Beskedapps forensic: WhatsApp, iMessage, Signal, Messenger og Telegram

Beskeder er blevet en af de mest brugte bevistyper i civile sager: aftaler om levering, en fyring sendt som sms, en chat mellem en fratrådt medarbejder og en konkurrent. Teknisk er de også blandt de sværeste. Hver app har sin egen arkitektur, krypteringen er stærk, og hvad der kan findes, afhænger af, om beskederne ligger på telefonen, i en backup, på en tilknyttet computer eller hos tjenesten.

Siden samler de tekniske artikler om beskedapps og viser, hvor man skal lede for hver app.

Hvad der kan sikres lovligt

Udgangspunktet er enkelt: man sikrer fra enheder og konti, man selv har ret til at undersøge. Det er typisk egen telefon, en firmatelefon med klart grundlag eller en enhed, ejeren har givet samtykke til. Den anden parts telefon eller konto må ikke tilgås, heller ikke hvis koden er kendt. Er beskederne sendt til en, gælder det også, at modtagerens kopi ofte er lige så god som afsenderens. → Beskedapps i ansættelsessager

Ved digital stalking kan Nielco IT bistå med at dokumentere sporene og få lukket uvedkommendes adgang: hjælp ved digital stalking.

Oversigt: app, datakilder og artikel

WhatsApp · Vigtigste datakilder: Lokal database på telefonen, backup i iCloud eller Google Drive, tilknyttede enheder · Særligt at være opmærksom på: Chat-eksport mangler metadata; backup kan være ende-til-ende-krypteret med egen nøgle · Læs videre: WhatsApp teknisk
iMessage og sms · Vigtigste datakilder: sms.db på iPhone, iOS-backup, Beskeder i iCloud, Mac med samme Apple-ID · Særligt at være opmærksom på: Redigerede og tilbagekaldte beskeder; leveret/læst-status · Læs videre: sms.db og iMessage
Signal · Vigtigste datakilder: Krypteret lokal database, desktop-klient, Signals egne backupfunktioner · Særligt at være opmærksom på: Ingen almindelig cloud-kopi af beskedindhold; forsvindende beskeder · Læs videre: Signal og Telegram teknisk
Messenger og Instagram · Vigtigste datakilder: Telefon, Meta-kontoens dataeksport, browsersessioner · Særligt at være opmærksom på: Ende-til-ende-kryptering som standard i Messenger ændrer, hvad der ligger hos Meta · Læs videre: Messenger og Instagram teknisk
Telegram · Vigtigste datakilder: Cloud-chats hos tjenesten, hemmelige chats kun på enheden, aktive sessioner · Særligt at være opmærksom på: Forskel på cloud-chat og hemmelig chat afgør, hvor data findes · Læs videre: Signal og Telegram teknisk

Backup eller udtræk

To veje fører til beskederne, og de giver ikke det samme.

Backup er appens eller telefonens egen kopi. En krypteret iOS-backup indeholder mere end en ukrypteret, fordi visse data kun medtages, når backuppen er beskyttet med adgangskode. WhatsApps backup ligger i iCloud eller Google Drive og kan være låst med en nøgle, kun brugeren kender. En backup er et øjebliksbillede fra det tidspunkt, den blev lavet. → iOS-backup og Android-backup og Google-kontoen

Udtræk er en forensisk indsamling direkte fra enheden, logisk eller mere omfattende afhængigt af model og styresystem. Et udtræk kan få appens database med tidsstempler, statusfelter og interne id’er med, som hverken backup eller skærmbilleder viser. Rapporten fra udtrækket skal læses med forstand. → Sådan læses en mobiludtræksrapport

Skærmbilleder og den indbyggede chat-eksport er nemme, men svage. De kan ikke kontrolleres mod kilden, medmindre kilden også sikres. → Falske chatbilleder

Tilknyttede enheder

WhatsApp, Signal og Telegram kan bruges fra computere og browsere ved siden af telefonen, og Messenger følger Meta-kontoen. En tilknyttet enhed har sin egen kopi af nyere beskeder og kan være den eneste tilbageværende kilde, hvis telefonen er nulstillet. Den kan også være tegn på, at nogen læser med. Listen bør dokumenteres, før enheder fjernes. → Tilknyttede enheder i WhatsApp, Messenger og Signal

For iMessage er det Apple-ID’ets enheder, der tæller: en Mac eller iPad med samme konto kan rumme samtaler, telefonen ikke længere har.

Slettede beskeder

Det mest stillede spørgsmål er, om slettede beskeder kan findes. Svaret er: nogle gange, og det afhænger mere af tid og app end af værktøj. Databaserne bruger SQLite, hvor slettede poster kan overleve en periode i ubrugt plads, men moderne kryptering og oprydning gør chancen mindre. Ofte er det bedste spor en anden kopi: backup, tilknyttet enhed eller modtagerens telefon. → Slettede beskeder på telefonen

“Slettet for alle” efterlader typisk en pladsholder i samtalen, og selve handlingen kan være registreret i databasen. → “Slettet for alle” i WhatsApp og Messenger

Status for leveret og læst gemmes forskelligt pr. app og siger noget om enheden, ikke nødvendigvis om personen. → Leveret og læst: hvor status gemmes

Tid og fortolkning

Beskedtider kan være sat af afsenderens enhed, af serveren eller af modtagerens telefon. I en tidslinje skal det fremgå, hvilken tid der er brugt, og i hvilken tidszone. → Server-tid og klient-tid og Sommertid og tidszoner i rapporten

Firmachat i Teams og Slack hører til en anden verden med centrale logs og eDiscovery. → Chatdata i eDiscovery og Slettede Teams-beskeder

Når telefonen er nulstillet

En nulstillet firmatelefon er ikke nødvendigvis tom for spor. Backup i iCloud eller Google, en tilknyttet computer og arbejdskontoens cloud-tjenester kan stadig rumme dele af historikken. → Den nulstillede firmatelefon

Telefonen som helhed er beskrevet på mobilforensik, iPhone-forensik og Android-forensik.