W praktyce informatyki śledczej jednym z najtrudniejszych zagadnień pozostaje dostęp do danych zapisanych w urządzeniach mobilnych zabezpieczonych kodem PIN, hasłem, wzorem odblokowania albo mechanizmami szyfrowania systemowego. Z tego względu szczególne znaczenie mają narzędzia klasy forensic, które umożliwiają pozyskanie danych nie tylko na poziomie logicznym, lecz także w postaci fizycznego obrazu pamięci urządzenia.
W środowisku MOBILedit Forensic funkcje tego rodzaju zostały ujęte w ramach modułu Security Bypassing. Rozwiązania te odnoszą się do wybranych klas urządzeń Android i umożliwiają prowadzenie czynności zmierzających do uzyskania dostępu do danych również wtedy, gdy urządzenie pozostaje chronione zabezpieczeniami uwierzytelniającymi. Z perspektywy metodyki badań cyfrowych ma to istotne znaczenie, ponieważ pozwala rozszerzyć zakres analizy o dane niedostępne przy standardowej ekstrakcji logicznej.
W praktyce eksperckiej tego rodzaju funkcjonalności pozostają istotne dla specjalistów zajmujących się analizą materiału elektronicznego i opracowywaniem opinii na potrzeby postępowań. Zakres takich czynności obejmuje między innymi działalność, jaką prowadzi biegły informatyk w Krakowie , wykorzystujący narzędzia klasy forensic do analizy danych cyfrowych, urządzeń mobilnych oraz materiału dowodowego.
Istota funkcji Security Bypassing
Funkcjonalność Security Bypassing została zaprojektowana z myślą o szerokiej grupie urządzeń z systemem Android. Jej zasadniczym celem jest umożliwienie pozyskania fizycznego obrazu danych również w sytuacji, gdy urządzenie jest zabezpieczone hasłem, wzorem lub inną formą blokady ekranu.
Z punktu widzenia informatyki śledczej ma to szczególne znaczenie, ponieważ fizyczny obraz pamięci pozwala na analizę pełniejszej struktury danych urządzenia, w tym również tych informacji, które nie są dostępne przy standardowym dostępie użytkownika. W wybranych modelach możliwe jest również obejście blokady ekranu, co zwiększa zakres potencjalnej analizy.
Należy jednak podkreślić, że wykorzystanie takich metod wymaga wysokiego poziomu wiedzy specjalistycznej, właściwego umocowania prawnego oraz ścisłego przestrzegania zasad zabezpieczania materiału dowodowego.
MTK decrypt – pozyskiwanie obrazu fizycznego z urządzeń MediaTek
MTK decrypt stanowi metodę przeznaczoną dla urządzeń wykorzystujących chipsety MediaTek. Jej zasadniczym celem jest umożliwienie pozyskania fizycznego obrazu pamięci urządzenia bez konieczności uzyskiwania trwałego dostępu root.
Z metodologicznego punktu widzenia rozwiązanie to ma istotne znaczenie, ponieważ pozwala ograniczyć zakres ingerencji w system urządzenia, przy jednoczesnym rozszerzeniu możliwości badawczych. W praktyce może to być szczególnie istotne w sytuacjach, w których przedmiotem analizy są dane aplikacyjne, artefakty systemowe, struktury plikowe lub informacje usunięte.
Exynos decrypt – dostęp do pamięci urządzeń Samsung
Exynos decrypt odnosi się do urządzeń wykorzystujących chipsety Samsung Exynos. Metoda ta umożliwia uzyskanie dostępu root oraz zatrzymanie standardowego procesu uruchamiania systemu za pośrednictwem mechanizmów chipsetu, co pozwala na analizę pamięci urządzenia z pominięciem części ograniczeń narzucanych przez aktywny system operacyjny.
Z perspektywy badania dowodowego znaczenie tej funkcjonalności polega na możliwości uzyskania dostępu do pełniejszego zakresu danych, w tym również danych przechowywanych w strukturach systemowych oraz informacji, które nie byłyby dostępne w typowej ekstrakcji logicznej.
Kirin decrypt – obejście zabezpieczeń w urządzeniach Huawei
Kirin decrypt jest metodą przeznaczoną dla urządzeń Huawei wyposażonych w chipsety HiSilicon Kirin. Jej zastosowanie umożliwia obejście zabezpieczeń i uzyskanie niezaszyfrowanych danych przy wykorzystaniu dostępu root.
W praktyce oznacza to możliwość prowadzenia bardziej pogłębionej analizy danych zapisanych w pamięci urządzenia, co może mieć istotne znaczenie w sprawach wymagających rekonstrukcji aktywności użytkownika, analizy aplikacji, wiadomości, plików lub śladów systemowych.
Unisoc – fizyczny zrzut pamięci bez znajomości kodu dostępu
Funkcja Unisoc odnosi się do urządzeń wykorzystujących chipsety Unisoc/Spreadtrum. Jej znaczenie polega na możliwości wykonania fizycznego zrzutu pamięci wewnętrznej bez znajomości kodu dostępu, hasła lub wzoru blokady.
Z punktu widzenia informatyki śledczej funkcjonalność taka może mieć szczególne znaczenie w sytuacjach, w których urządzenie pozostaje niedostępne z poziomu standardowego interfejsu użytkownika, a jednocześnie istnieje potrzeba zabezpieczenia pełnego materiału cyfrowego do dalszej analizy laboratoryjnej.
Rooting methods – tymczasowe uzyskiwanie uprawnień root
Dokumentacja wskazuje również na istnienie różnych metod rootingowych, których celem jest tymczasowe uzyskanie uprawnień root na urządzeniu z systemem Android. Rozwiązania tego rodzaju mają charakter pomocniczy i są wykorzystywane tam, gdzie pełna analiza danych wymaga szerszego dostępu do struktur systemowych.
W ujęciu metodycznym rooting tymczasowy może stanowić etap pośredni pomiędzy zabezpieczeniem urządzenia a właściwą analizą danych. Ma to znaczenie zwłaszcza wtedy, gdy dostęp do określonych obszarów pamięci wymaga podniesionych uprawnień systemowych.
EDL, LAF i TWRP – techniki wspomagające analizę fizyczną
W środowisku MOBILedit Forensic wskazano również inne metody wspomagające analizę fizyczną urządzeń. Należą do nich między innymi:
- EDL method – metoda odnosząca się do urządzeń z chipsetami Qualcomm, umożliwiająca pozyskanie obrazu fizycznego bez trwałego rootowania,
- LAF method – funkcjonalność przewidziana dla wybranych urządzeń LG obsługujących nowszą wersję protokołu LG LAF,
- TWRP method – metoda stosowana w urządzeniach z odblokowanym bootloaderem, mogąca służyć do obejścia blokady ekranu lub pozyskania obrazu fizycznego.
W przypadku LAF method dokumentacja wskazuje również, że w niektórych urządzeniach możliwe jest przeglądanie systemu plików przy użyciu funkcji Browse Phone. Z perspektywy dowodowej może to mieć znaczenie przy wstępnej orientacji w zawartości urządzenia, jednak pełna ocena materiału wymaga każdorazowo uwzględnienia metodyki zabezpieczenia danych i celu badania.
Znaczenie procesowe i ograniczenia stosowania metod bypass
Z prawnego i metodologicznego punktu widzenia należy podkreślić, że funkcje typu Security Bypassing nie stanowią samoistnego celu analizy. Ich znaczenie polega na umożliwieniu uzyskania dostępu do danych, które następnie mogą zostać poddane ocenie dowodowej przez eksperta.
Ostateczna wartość procesowa wyników uzyskanych przy użyciu tych metod zależy od kilku elementów, w szczególności od:
- istnienia właściwej podstawy prawnej do przeprowadzenia czynności,
- prawidłowego zabezpieczenia urządzenia i dokumentowania przebiegu badania,
- zachowania integralności materiału cyfrowego,
- poprawnej interpretacji wyników przez eksperta,
- zgodności zastosowanej metody z zasadami postępowania dowodowego.
W praktyce oznacza to, że samo narzędzie nie przesądza o wartości dowodu. Decydujące znaczenie ma sposób użycia technologii, wiedza eksperta oraz rzetelność dokumentacji sporządzanej na potrzeby sądu, prokuratury lub policji.
Znaczenie metod Security Bypassing w praktyce opiniowania
Funkcje Security Bypassing mają istotne znaczenie wszędzie tam, gdzie standardowe metody ekstrakcji danych okazują się niewystarczające z uwagi na zabezpieczenia urządzenia lub ograniczenia dostępu. Zastosowanie tych metod może zwiększać zakres możliwej analizy, lecz jednocześnie wymaga podwyższonego rygoru metodycznego, prawnego i dokumentacyjnego.
Z perspektywy praktyki eksperckiej istotne jest również to, że analiza urządzenia mobilnego nie kończy się na samym pozyskaniu danych. Kluczowe pozostaje ich uporządkowanie, ocena znaczenia dowodowego oraz sporządzenie opinii w sposób odpowiadający wymogom postępowania. W tym kontekście należy wskazać, że mgr Vadym Rekel posiada w swojej kancelarii narzędzia klasy forensic, wykorzystywane do analizy danych cyfrowych, urządzeń mobilnych oraz materiału elektronicznego, a także wykonuje opinie i ekspertyzy z zakresu informatyki śledczej na potrzeby sądu, prokuratury, policji oraz innych uprawnionych podmiotów.
Oznacza to, że badanie materiału cyfrowego może być prowadzone zarówno na poziomie technicznego pozyskania danych, jak i w formie opracowania eksperckiego, obejmującego opis metodyki, analizę ujawnionych informacji, ocenę ich znaczenia dowodowego oraz sformułowanie wniosków w układzie procesowym. Szczegółowe informacje dotyczące tego zakresu działalności znajdują się na stronie: biegły informatyk Kraków .