Mobil telefonok igazságügyi szakértői vizsgálata Illési Zsolt CIS[AM] informatikai igazságügyi szakértő

Az előadások a következő témára: "Mobil telefonok igazságügyi szakértői vizsgálata Illési Zsolt CIS[AM] informatikai igazságügyi szakértő"— Előadás másolata:

1 Mobil telefonok igazságügyi szakértői vizsgálata Illési Zsolt CIS[AM] informatikai igazságügyi szakértő illesi.zsolt@gmail.com

2

3 Témák  Az igazságügyi szakértés alapelvei  A mobiltelefonok igazságügyi szakértői szemmel  szerkezet  egyedi azonosítók  kinyerhető adatok/ vizsgálati célok  Mobiltelefonok igazságügyi szakértői vizsgálata  megközelítés  eszközök

4 IT és bűnözés IT rendszer, vagy annak eleme lehet:  célpont  megvalósítási/ elkövetési tárgy/környezet  elkövetést/ megvalósítást megkönnyítő eszköz  elkövetés szimbóluma  elkövetés „tanúja”

5 Az igazságügyi szakértő feladatai  testis facti (a tény tanúja)  ≠ judex facti (ténybíró)  mikrobizonyítás  azaz szakmai ténymegállapítás, következtetések levonása → tényállási elemek feltárása

6 Bizonyíték  Általában  olyan adat, amely az ügy szempontjából releváns tényekre vonatkozik  összességükben alkalmasak a tényállás megállapítására, utólagos rekonstrukciójára

7 Vizsgálati célok Információgyűjtés a(z)  elkövető(k)ről (Ki?)  események valós természetével kapcsolatban (Mit?)  események helyszínével kapcsolatban (Hol?)  események sorrendjével kapcsolatban (Mikor?)  motivációs tényezőkkel kapcsolatban (Miért?)  elkövetés módjáról és a felhasznált eszközökről (Hogyan?)

8 Locard-féle anyagátadási szabály  Minden érintkezés nyomot hagy  tetthely  elkövető  áldozat  Nyom:  lenyomat  anyagmaradvány  adatmaradvány

9 Daubert kritériumok A bizonyítás jogszerű, ha  megfelel 1998. évi XIX. tv. a büntetőeljárásról szabályainak A bizonyítás szakszerű, ha  gyakorlatban is ellenőrzött (tesztelt) elméletre épül  előzetes bírálat alapján tudományban elismert módon publikált  ismert a hibaaránya  a szakemberek tekintélyes közössége által elismert

10 JPÉ (logika és a józan paraszti ész) Logikus, ok-okozati érvelés  ~formális~ logika  tévedés, következetlenség, manipuláció hatásainak csökkentése  helyes hangsúly Occam borotvája  valamennyi bizonyíték alapján a legegyszerűbb magyarázat a legvalószínűbb

11 Mobil telefon általános felépítése Önálló komponensek  mobil készülék  (U)SIM kártya  memória kártya  dokkoló, szerviz- és adatkábel, telefontöltő

12 IMEI  International Mobile Equipment Identity (nemzetközi mobileszköz azonosító)  előhívása a legtöbb készüléken: *#06# (de minden eszközön – rendszerint az akku’ alatt –nyomtatva is megtalálható)  IMEI struktúrája: AA-BBBBBB-CCCCCC-D, ahol  reporting body / régió kód (pl. 35)  gyártó és márka (pl. 272404)  sorozatszám (pl. 323410)  ellenőrzőszám (pl. 2) AA–BB –CC D vagy EE Régi IMEITACFAC (opcionális) Luhn ellenőrző összeg Új IMEITAC Régi IMEISVTACFACSzoftver verziószám (SVN) Új IMEISVTAC

13 IMEI (2)  Az IMEI megfelelő eszközökkel módosítható…  Lekérdezése pl.: http://www.numberingplans.com /?page=analysis&sub=imeinr

14 SIM  Subscriber Identity Module (előfizető-azonosító modul)  → ICCID  1-2 szolgáltató (pl. 89)  3-4 országkód (pl. 36)  5-6 hálózat kódja (pl. 30)  7-10 kapcsoló konfigurációs kód (pl. 34)  7-10 gyártás hó, év (pl. 0710)  13-18 SIM száma (pl. 123554)  utolsó számjegy: ellenőrző kód (pl. 5)

15 SIM (2)  Lekérdezése pl.: http://www.numberingplans.com /?page=analysis&sub=simnr  …a SIM klónozható (korlátokkal)

16 SIM (3)  Saját fájlrendszer  Master File (MF) – „root”  Dedicated File (DF)  Elementary Files (EF)

17 Informatikai rendszerek vizsgálati rétegei

18 Fizikai réteg  A csatorna (átviteli és tárolási közeg) fizikai és elektromos specifikációja  elektromágneses spektrum  kódolás  interfész és kábel specifikációk  Azok a módszerek, csatolók, funkciók és eljárások, amelyek lehetővé teszik a hozzáférést az adatokhoz (bit/bájt)

19 Példa1: fizikai réteg  Adathordozók  telefon (memória)  (U)SIM  memória kártya/chip  Egyedi azonosítók  IMEI (*#06#)  ICC-ID  gyári szám

20 Példa 2: fizikai réteg csatolók  Memóriakártyák  Csatlakozó kábelek  IrDa  BlueTooth

21 Médiamenedzsment réteg  Adattároló  az adattároló eszközön az adatok elrendezése (partíciók, fájlrendszerek) és a hozzáférés- védelmi mechanizmusok  Hálózat  a mobil eszköz által küldött/fogadott adatok és üzenetek  ISO/OSI protokoll információk  küldött/fogadott adatok  kapcsolati információk  Call Detail Records (CDR)  Home Location Register (HLR) (elsősorban a mobil szolgáltatók „játéktere”)

22 Példa3: médiamenedzsment réteg  Mobil telefon  fájlrendszer  Memóriakártya  sérült/ törölt partíciók  fájlrendszer  SIM  hozzáférésvédelmi rendszer  always  card holder verification (PIN1 & PIN2)  administrative  never  fájlrendszer  master file (MF)  dedicated file (DF)  elementary file (EF)

23 Megjelenítési réteg  A tárolt adatok (adatfájlok) belső szerkezete, kódolása és sajátosságai

24 Példa4: megjelenítési réteg Média metaadatok  EXIF (jpeg)  IDAT (png)  id3 (mp3)  VorbisComments (ogg)  geotagging  … Eredeti, módosított, hamis?

25 Példa5: megjelenítési réteg  Adategységek  egyedi fájlok  foglalt/hasznos adat (fájl)  törölt adat  fájl metaadatok (pl. MAC)  adat maradvány (slack space)  Data carving

26 Alkalmazási réteg  Szokásos mobiltelefon alkalmazások  Egyedi/speciális programok

27 Példa6: alkalmazási réteg  Általános mobiltelefon funkciók  Alkalmazás, program egyedi sajátosságok  logika  beállítás (*.config, *.ini)  napló  Alkalmazás visszafejtés (reverse engineering)  Nem IT szakértői feladatok  azonosítás (Lagzi Lajcsi?)  minősítés (csalás?)  szakma-specifikus értelmezés (grafológia, pszichológia, orvostudomány stb.)

28 A vizsgálatok során kinyerhető információk  Telefonszámok  hívott/ fogadott/ nem fogadott  Kontakt adatok  SMS adatok  Naptár adatok  események, találkozók, emlékeztetők, évfordulók, teendők  Adatfájlok  képek (EXIF, GPS)  böngészési előzmények  email  chat  egyéb dokumentumok

29 Adatforrás és vizsgálati cél referencia Ki?Mit?Hol?Mikor?Miért?Hogyan? Egyedi azonosítók Híváslisták Telefonkönyv Naptár Üzenetek Helymeghatározás URL/ web tartalom Kép/videó Egyéb fájlok Forrás: Wayne Jansen, Rick Ayers: NIST Guidelines on Cell Phone Forensics, p59.

30 Főbb problémák  a bűnözők egyre jobban ismerik és hasznosítják az ICT technológiákat  titkosítás egyre elterjedtebb használata  sokszoros áttételek  audit eszközök hibáit kihasználó támadások  számítógép-hálózatok (pl. ’net) nemzetközi jellege

31 Lehetséges önvédelem: titkosítás - meddig elég?  1978. évi IV. törvény a Büntető Törvénykönyvről  260§ Közérdekű üzem működésének megzavarása  261§ Terrorcselekmény …  (9) E § alkalmazásában a) személy elleni erőszakos, közveszélyt okozó vagy fegyverrel kapcsolatos bűncselekmény…a számítástechnikai rendszer és adatok elleni bűncselekmény (300/C. §)…, b) terrorista csoport: három vagy több személyből álló, hosszabb időre szervezett, összehangoltan működő csoport…