Abstrakt. Spridningen av smartphones introducerar nya möjligheter inom digital kriminalteknik. En av anledningarna är att smartphones vanligtvis är utrustade med sensorer (t.ex. accelerometer, närhetssensor osv.), hårdvara som kan användas för att härleda användarens sammanhang. Detta sammanhang kan vara användbart i en digital undersökning, eftersom det kan bidra till att avvisa eller acceptera ett alibi, eller till och med avslöja en misstänkts handlingar eller aktiviteter. Icke desto mindre är sensordata instabila, vilket innebär att de inte finns tillgängliga i obduktionsanalysen. Det enda sättet att i rätt tid förvärva dem, om ett sådant behov uppstår under en digital undersökning, är genom programvara som samlar in dem när de genereras av den misstänktes handlingar. I detta dokument undersöker vi genomförbarheten av ad-hoc datainsamling från smartphone sensorer genom att implementera en enhetsagent för deras insamling i Android, samt ett protokoll för deras överföring. Sedan diskuterar vi vår erfarenhet av datainsamling av smartphone-sensorer, samt juridiska och etiska frågor som uppstår från deras insamling. Slutligen beskriver vi scenarier kring agentens förberedelser och användning i en digital utredning. Nyckelord: Smartphones, Digital Forensics, Investigation Models, Sensor, Sensor Data, Informationsinsamling, Android. Spridningen av smartphones 1 -enheter med ökande popularitet på grund av deras bearbetning och nätverksfunktioner, låga kostnader och dimensioner - introducerar nya utmaningar för digital kriminalteknik. Detta gäller, eftersom den heterogenitet och progressiva utvecklingen av smartphone-plattformar ökar komplexiteten i en digital utredning, tillsammans med de färdigheter och verktyg som krävs för att reagera på ett brott eller en incident. Till exempel, de olika hårdvara och programvara, som erbjuds av smartphone-plattformar för att öka sin marknadsandel, hindrar en rättsmedicinsk undersökning. Detta sker eftersom dedikerad programvara måste implementeras och kablar som ska förvärvas per fall. Dessutom tenderar smartphone-kablar (data eller strömkablar) att vara tillgängliga endast så länge som en smartphone-modell finns på marknaden. Fler svårigheter uppstår i undersökningen av gamla enheter som inte stöds längre. Tillsammans med populariteten av smartphones, en av sensorer (dvs.. Hårdvara som mäter användarens sammanhang) ökar också i tredje parts programvara, såsom spel och navigationsappar. I ett tidigare papper har vi hävdat att sensordata är en datakälla som kan samlas in för digital kriminalteknik (Mylonas et al., 2012b). Sensordata kan vara till nytta vid vissa brott för att lagligt utläsa användarens sammanhang. I detta sammanhang kan brottsbekämpande myndigheter få viktig information i en digital utredning, både när det gäller upptäckt och påföljder och förebyggande av brott. Samtidigt är denna typ av datainsamling ofta påträngande (Mylonas et al., 2012c) och kan väcka etiska och juridiska frågor som rör 1 Med termen smartphone hänvisar vi till den enhet som följer definitionen av Theoharidou et al. (2012)............................................................................................ 2 Sekretess för telekommunikation och de berörda personernas privatliv. På grund av intrång i dessa grundläggande rättigheter får sådana former av övervakning och insamling av de olika digitala bevisen endast genomföras i samband med brott som enligt lagen betraktas som "allvarliga" eller "nationella säkerhetshot". En generaliserad och urskillningslös samling av förmodligen användbara bevis mot individer på måfå skulle uppfatta alla medborgare som potentiellt framtida syndare. En sådan modell för rutinmässig underrättelseverksamhet mot slumpmässiga medborgare skulle kunna "blyga upp hörnstenarna i rättsstatsprincipen" (Hoffmann-Riem, 2002). Smartphone kriminalteknik är en framväxande disciplin som för närvarande verkar vara fortfarande i sin linda. Icke desto mindre har konsumtion av smartphones triggat den rättsmedicinska gemenskapen att fokusera på dessa enheters tekniska detaljer samt insamlingen av deras data. Därför har verktyg skapats som utför antingen fysiska (dvs. låg nivå, bit till bit), eller logisk (dvs. data organiserade i logiska objekt, t.ex. Kataloger) datainsamling i: a) Windows Mobile (Casey et al., 2010; Klaver, 2010; Rehault, 2010; Grispos, 2011), b) Symbian (Mokhonoana och Olivier, 2007; Distefano och jag, 2008; Pooters, 2010; Thing och Chua, 2012; Thing och Tan, 2012), c) iOS (Zdziarski, 2008; Bader och Baggili, 2010; Husain och Sridhar, 2010; Jung et al., 2011), och d) Android (Lessard och Kessler, 2010; Thing et al., 2010; Vidas et al., 2011; Hoog, 2011; Mutawa et al., 2012; Park et al., 2012; Sylve, 2012). Hittills har den praktiska insamlingen av sensordata inte studerats tillräckligt i rättsmedicinsk litteratur. Detta beror på att de är tidskänsliga och flyktiga data och därför inte är tillgängliga för analys under obduktionstekniker. I (Mylonas et al., 2012b), föreslog vi ett system för ad hoc insamling av smartphone data. I särskilda fall och på vissa villkor kan lagen tillåta insamling av smarttelefondata för proaktiv användning och för brottsförebyggande ändamål. Dessutom kan proaktiv insamling av en smartphones sensordata ske i kritisk infrastruktur för incidenthantering och kriminaltekniska beredskapsskäl när enheten anses vara en del av denna infrastruktur och användningen av sådan påträngande kontroll helt överensstämmer med organisationens säkerhetspolitik, dess kultur och befintliga rättsliga ramar. Till exempel, säkerhetspolicyn för en kritisk infrastruktur kan specificera anställdas användning profilering - förutsatt att den anställdes informerade samtycke - för att mildra insiderhotet via en insider förutsägelse modell (Kandias, etc., 2010) Papperet bidrar med följande: a) Utveckling av en utredning ramar taxonomi som kan tillämpas i smartphone kriminalteknik. (b) Studie av smartphone-sensorerna som en potentiell datakälla för digital kriminalteknik. (c) Identifiering av sårbarheter i Android säkerhetsmodell som möjliggör ad-hoc förvärv av sensorer data. (d) Genomförande i Android av förvärv programvara och transportprotokollet av den proaktiva undersökningssystemet som föreslogs i (Mylonas et al., 2012b). e) Utvärdering av genomförandet i en laboratoriemiljö och utbyte av erfarenheter när det gäller insamling av sensordata. (f) En grundlig analys av rättsliga och etiska frågor som uppstår vid ad hoc-insamling av sensordata. Tidningen är organiserad enligt följande. I nästa avsnitt ingår taxonomi för de digitala utredningsramar som kan användas i smartphones kriminalteknik. Avsnitt 3 behandlar sensordata i samband med digital kriminalteknik. I avsnitt 4 presenterar vi vår implementering för fjärr-, ad-hoc sensor datainsamling från smartphones. Sedan sammanfattar vi vår erfarenhet av datainsamling av smartphone-sensorer med hjälp av vårt verktyg och beskriver ett antal scenarier för dess användning och förberedelse (avsnitt 5). Avsnitt 6, inkluderar de etiska och juridiska frågor som uppstår vid ad-hoc datainsamling från smartphone-sensorer. Slutligen innehåller avsnitt 7 en diskussion om vår strategi och våra slutsatser. En Digital Forensic Investigation Framework (DFIF) beskriver förfaranden som äger rum före, under och efter utredning av fysiska eller digitala brottsplatser. Dessa frame-3-verk hänvisar till metoder och tekniker som kan samla in, analysera och tolka digitala bevis som är lämpliga för en rättsmedicinsk utredning. Denna undersökning kan utlösas antingen från interna källor, t.ex. i en företagsutredning, eller från externa undersökningar, t.ex. bevis kommer att läggas fram för att stödja en hypotes i domstolarna. Detta avsnitt fokuserar på den DFIF som har föreslagits, och är lämpliga, för användning i mobiltelefon kriminalteknik, d.v.s. digitala bevis samlas in från en mobiltelefon - antingen funktion telefon eller smartphone (Theoharidou et al., 2012). Vi organiserar deras presentation, från abstrakt DFIF till mer enhetsspecifika ramar, dvs.. I a) abstrakt DFIF, b) DFIF för funktionstelefoner och c) DFIF för smartphones. Abstrakta utredningsramar används i stor utsträckning för insamling och analys av digitala bevis utan att fokusera på apparaternas tekniska "muttrar och skruvar". Dessa ramar bygger successivt på varandra. Deras förfaranden används ofta som grund för konstruktion av senare ramar som är mer tekniskt specifika. Reith och Al. (2002) föreslå en abstrakt undersökningsram som omfattar nio faser, nämligen identifiering, förberedelse, strategi för tillvägagångssätt, bevarande, insamling, undersökning, analys, presentation och återlämnande av bevis. Författarna karakteriserar sitt arbete, som utvidgar arbetet från arbetsgruppen för digital teknik (DFRWS, 2001), som abstrakt eftersom det är oberoende av teknik och brottstyp. Den undersökningsram som föreslås i (Casey, 2004) omfattar sju steg, nämligen tillstånd och förberedelse, identifiering, dokumentation, insamling och bevarande, undersökning och analys, återuppbyggnad och rapportering. Dokumentation är en pågående process som äger rum i alla ramfaser som en grundläggande egenskap i undersökningen och inte betraktas som en fristående fas. Carrier och Spafford (2003; föreslå ett ramverk som bygger på processen att undersöka fysiska brottsplatser. Ramverket hjälper utredaren att utveckla och testa hypoteser, samt upptäcka insikter om händelser som har inträffat på brottsplatsen. Detta ramverk omfattar fem faser: beredskap, utplacering, fysisk utredning av brottsplatser, undersökning av digitala brottsplatser och presentation. Bland dem är den första fasen av intresse eftersom den omfattar de nödvändiga stegen för snabbare incidenthantering, dvs. Utredningsenhetens utbildning, insamling och utbildning av nödvändig utrustning. I samma perspektiv kan hänvisning till kriminalteknisk beredskap hittas i företagssystem som integrerar mekanismer för hantering av säkerhetstillbud (Tan, 2001; Weise och Powell, 2005). Den undersökningsram som föreslås av Ciardhuáin (2004) är oberoende av det organisatoriska/tekniska sammanhanget och syftar till att ha en tvärvetenskaplig karaktär, dvs. inte bara tillämpas av tekniskt kunniga användare. I detta sammanhang kan ramverket tillämpas av förstahandssvar, utredare, IT-chefer och revisorer. Ramverket beskriver tretton steg, nämligen: medvetenhet, tillstånd, planering, anmälan, sökning och identifiering av bevis, insamling, transport, lagring, undersökning, hypotes, presentation, bevis/försvar, och spridning. Beebe och Clark (2005) föreslår en undersökningsram som – tvärtemot de ovan nämnda rambestämmelserna – är flerdelad. Ramverket omfattar sex faser på hög nivå: förberedelse, incidentrespons, datainsamling, dataanalys, resultatpresentation och stängning av tillbud. Författarna föreslår bevistriage där insamlade data prioriteras utifrån deras betydelse, vilket minskar mängden data som skickas till labbet för undersökning. I samma sammanhang, Rogers et al. (2006) Redogör för rättsmedicinsk triage i tidskänsliga undersökningar. Deras utredningsramar är skräddarsydda för kriminalteknik på plats, dvs. Utredningen utförs på brottsplatsen utan att någon produkt skickas till ett labb för en uttömmande analys. Den omfattar följande sex faser: planering, triage, användnings-/användarprofiler, kronologi/tidslinje, Internetaktivitet och fallspecifika bevis.
Mylonas m.fl. REF använder sensorer på smartphones i digital kriminalteknik som antingen direkt bevis eller indirekt bevis.
Smartphone sensor data as digital evidence
{'venue': 'Computers & Security', 'journal': 'Computers & Security', 'mag_field_of_study': ['Computer Science']}