الأدلة الجنائية للأجهزة المحمولة
الأدلة الجنائية للأجهزة المحمولة  هي فرع من العلوم الجنائية الرقمية التي تتعلق باستعادة الأصول المعلوماتية أو أي أدلة رقمية أو بيانات من جهاز محمول تحت نطاق ظروف ومعايير العمل الجنائي الرقمي. عادةً تُستخدم كلمة «أجهزة محمولة» للتعريف بالجهاز أو الهاتف النقال، ولكن أيضا يمكن تعريفها على سبيل المثال كأي جهاز رقمي يحتوي على ذاكرة داخلية أو له المقدرة العامة للتواصل مثل أجهزة الحاسوب الكفي، أجهزة نظام التموضع العالمي أو أجهزة الحاسوب اللوحي.

نظرة عامة 
لعدة سنوات وعلى نطاق واسع، أصبح الهاتف النقال/الجهاز المحمول قابل للإستخدام بغرض البحث الجنائي الدقيق، ولكن علوم ودراسة الأدلة الجنائية الخاصة بالأجهزة النقالة يعتبر علم حديث كان قد بدأ في أوائل القرن العشرين ميلادي إلى أواخر التسعينيات. نظرا" للانتشار الواسع الحاصل من استخدام هذه الأجهزة النقالة وبشكل خاص (الهواتف الذكية) وغيرها من الأجهزة الرقمية، أدى ذلك لضرورة الطلب في فحص هذه الأجهزة تحت نطاق الفحص الجنائي. الجدير بالذكر أن اعتماد هذه الخطوة لاتشكل نجاح كبير لمستكشفي وباحثين الأدلة الجنائية الخاصة بالأجهزة الرقمية وذلك بسبب مجموعة من الحيل والمراوغات الموجودة في عالم الأدلة الجنائية الحاسوبية.

يمكن أن تستخدم الأجهزة النقالة في حفظ عدة أنواع من المعلومات الشخصية مثل جهات الإتصال، الصور، التقويم السنوي والملاحظات، رسائل SMS وMMS. إضافة إلى ذلك، يمكن أن تحتوي هذه الأجهزة على مقاطع الفيديو، رسائل البريد الإلكتروني، معلومات المتصفح الخاص بالمواقع الإلكترونية، معلومات المواقع والخرائط، ومعلومات جهات الإتصال والرسائل النصية أو رسائل مواقع التواصل الاجتماعي.

هنالك حاجة ماسة وطلب عالي متصاعد لعلم ودراسة الأدلة الجنائية الخاصة بالهواتف النقالة وذلك لعدة أسباب. بعض من هذه الأسباب الهامة يمكن شرحها كما يلي:
 استخدام الأجهزة النقالة بغرض حفظ ونقل المعلومات الشخصية ومعلومات الشركات أو المؤسسات.
 استخدام الأجهزة النقالة في المعاملات الإلكترونية.
 تنفيذ القوانين، المجرمين الإلكترونيين والأجهزة النقالة.

الأدلة الجنائية الخاصة بالأجهزة المحمولة يمكن أن تكون محل صعوبة وتحدي في عدة مستويات ومعايير منها:

الأدلة والتحديات التقنية 

على سبيل المثال: لتحديد موقع الشريحة الخاصة بالهاتف النقال، قد يتطلب علم مسبق مثل دراسة وعلوم التغطية الخاصة بشبكة الهاتف المحمول، وهذا على سبيل المثال ليس بنفس مجال دراسة العلم الجنائي الخاص بأدلة الجوال نفسه. على الرغم من وجود احتمالية التعرف على موقع الهاتف النقال بواسطة المكالمات الناشئة أو المستقبله من نفس الهاتف، إلى أنه لايمكن الجزم دائما أن شريحة تلك الهاتف النقال كان قد وجدت في نفس الموقع التي تم من خلاله إنشاء الإتصال أو إستقباله.

 نظرا" للتغيرات الكثيرة التي تطرأ في عالم الهواتف الذكية لأجل المنافسة في سوق الهواتف الذكية مثل تغيرات الأشكال والأحجام وأنظمة التشغيل ووحدات التخزين وغيرها من التغييرات من شركات التصنيع، أصبحت هذه التغيرات مشكلة حقيقية يواجهها خبير ومستكشف الأدلة الجنائية الرقمية في الهواتف الذكية، فهم يواجهون هذه المشكلة أكبر من غيرهم مثل مستكشفي الأدلة الرقمية الخاصة بالحاسب الآلي الشخصي.
 سعة التخزين الآن في ازدياد، هذا الفضل يعود إلى قوة الهواتف الذكية الصغيرة والمحمولة.
 سلوك الإسبات الذي يتم فيه تعليق العمليات عند إيقاف تشغيل الجهاز أو الخمول ولكن في نفس الوقت، يبقى نشطاً.

نتيجة لهذه التحديات، يتوفر الآن عدة أدوات وبرامج تمكن الفرد من استخراج أدلة جنائية رقمية من أجهزة الهواتف النقالة والذكية. لكن الأمر لايكمن في استخدام أداة واحدة أو وسيلة واحدة فقط لإستخراج الأدلة، وإنما الأمر يكمن في الخبير الجنائي الرقمي بأن يتفحص كافة العناصر الموجودة، وينصح لخبراء الأدلة الرقمية وخصوصا الذين يكونون تحت نطاق وأماكن حساسة مثل المحاكم بأن يكونوا تحت تدريب شامل وواسع. إضافة أنه يجب عليهم معرفة تشغيل كل أداة وكيفية إسخراج الأدلة، وأيضا معرفة الحقائق وكيفية عمل الأدوات في استخراج الأدلة الرقمية. أيضا من المهم التنبيه بأنه يجب مراعاة إذا ما إن كانت تلك الأدوات تتوافق مع متطلبات قانونية وشرعية مثل مقياس دوبرت أومقياس فري.

التاريخ 
كمجال دراسي في تخصص فحص الأدلة الجنائية الرقمية الخاصة بأجهزة الهواتف النقالة، كان قد بدأ في أواخر التسعينيات وحتى أوائل القرن العشرين. قانونيا، لعبت الهواتف المحمولة دور ركيزي في الجرائم منذ عدة عقود. نتيجة إلى ذلك، أصبح هنالك طلب عالي لوجود خبراء ومستكشفي أدلة جنائية وذلك لمواكبة سرعة تطور العالم الذكي وسهولة الوصول إلى البيانات مثل البريد الإلكتروني ومتصفحات الويب عن طريق الهاتف النقال.

الطرق التي كانت تستخدم من قبل لفحص عناصر ومحتويات الهاتف المحمول كانت قريبة جداً من الطرق المستخدمة في فحص محتويات الحاسب الآلي وهي عن طريق فتح الشاشة والإطلاع على أهم ملفات وعناصر الجهاز. ولكن، هذه الطرق غير مجيدة فعليا لأنها تستغرق العديد من الوقت لفحص الأجهزة، خصوصا في ظل تطور وتزايد عدد الأجهزة المحمولة حاليا. لذا، قام العديد من الباحثين والمهتمين بهذا المجال لطلب طرق أخرى تكون أكثر كفاءة لإستخراج البيانات المطلوبة.

استخدم فاحصو ومختصين الأدلة الجنائية الرقمية الخاصة بالأجهزة المحمولة في بعض الأحيان برامج مزامنة الهاتف الخلوي أو المساعد الشخصي الرقمي «لنسخ» بيانات الجهاز إلى جهاز حاسوبي جنائي للتصوير، أو في بعض الأحيان، تؤدي ببساطة عمليات التحقق من الأدلة الجنائية للحاسب على القرص الصلب لجهاز حاسوبي مشتبه به حيث تمت عملية مزامنة البيانات له. ومع ذلك، يمكن لهذا النوع من البرامج الكتابة على الهاتف وكذلك قرائته، ولا يمكنه استرداد البيانات المحذوفة تلك لأن تمت كتابة بيانات أخرى فوق بيانات مطلوبة.

وجد بعض فاحصي الأدلة الجنائية أنهم يستطيعون استرجاع البيانات المحذوفة حتى باستخدام الأدوات مثل "flasher" أو "twister"، وهي أدوات طورتها شركات تصنيع المعدات الأصلية "OMEs" وهذه الأدوات تستخدم أيضاً في ذاكرة الهاتف لتصحيح الأخطاء أو التحديث. ومع ذلك، أدوات (flasher) يمكن أن تغير البيانات. يمكن أن تكون هذه الأدوات معقده للاستخدام؛ ولأنها لم يتم تطويرها كأدوات جنائية، فلا تجري عمليات التحقق من التجزئة أو مسارات التدقيق (في معظم الحالات) لفحص الأدلة الجنائية، لذلك، هنالك بدائل أفضل ظلت ضرورية.

لتلبية هذه المطالب، ظهرت أدوات تجارية سمحت للباحثين باستعادة ذاكرة الهاتف بأقل قدر من الاضطراب وتحليلها بشكل منفصل. مع مرور الوقت، تطورت هذه التقنيات التجارية بشكل أكبر وأصبح استرداد البيانات المحذوفة من الأجهزة المحمولة المسجلة أمراً ممكناً مع بعض الأدوات المتخصصة. علاوة على ذلك، قامت الأدوات التجارية بإدخال عمليات البرمجة والعمل التلقائي في جزء كبير من عملية الاستخراج البياناتي، مما جعلها ممكنة حتى بالنسبة للمستجيبين الأوائل المدربين على الحد الأدنى - والذين من المرجح أن يواجه المشتبه بهم في الوقت الحالي أجهزة محمولة، مقارنة بأجهزة الحاسب- لأداء عمليات الاستخراج الأساسية للفرز وأغراض معاينة البيانات.

التطبيقات المهنية الإحترافية 
البحث الجنائي الرقمي الخاص بالأجهزة المحمولة يعرف عموما بصلته المهنية مع نظام وتطبيق وحماية القانون، ولكن يظل قوته لاتكمن فقط في مجال القانون وحماية النطام وإنما أيضا في المخابرات الحربية، الشركات، الفحوصات الشخصية، فحوصات الجرائم والمدنية وفحوصات الأجهزة الإلكترونية.

أنواع الأدلة 
كما أن تقنية الأجهزة المحمولة في تطور مستمر، عدد وأنواع الأدلة الموجودة في هذه الأجهزة في تطور مستمر أيضا. الأدلة المتوقع إستخراجها من الأجهزة المحمولة تأتي من عدة مصادر منها ذاكرة سماعات الرأس، الشريحة والذاكرة الخارجية المرفقة في جهاز الهاتف المحمول مثل بطائق SD.

ارتبطت الأدلة الجنائية للهواتف المحمولة بشكل تقليدي باستعادة رسائل SMS وMMS، ن وكذلك سجلات المكالمات وقوائم جهات الاتصال ومعلومات IMEI / ESN عبر الهاتف. ومع ذلك، ن فإن الأجيال الأحدث من الهواتف الذكية تشمل أيضاً أنواعاً أكبر من المعلومات؛ من تصفح الويب، ن وإعدادات الشبكة اللاسلكية، ن ومعلومات تحديد الموقع الجغرافي (بما في ذلك العلامات الجغرافية الموجودة في البيانات الوصفية للصور)، ن والبريد الإلكتروني وأشكال أخرى من وسائط الإنترنت الغنية، ن بما في ذلك البيانات المهمة - مثل منشورات خدمة الشبكات الاجتماعية وجهات الاتصال - المحفوظة الآن على «تطبيقات» الهواتف الذكية.

الذاكرة الداخلية 
في الوقت الحاضر، ن يتم استخدام ذاكرة فلاش تتكون من أنواع NAND أو NOR للأجهزة المحمولة.

ذاكرة خارجية 
أجهزة الذاكرة الخارجية هي بطاقات SIM وبطاقات SD (التي توجد عادةً في أجهزة GPS بالإضافة إلى الهواتف المحمولة) وبطاقات MMC وبطاقات CF و Memory Stick .

سجلات مزود الخدمة 
على الرغم من أن هذا الجزء ليس جزءًا تقنياً من الأدلة الجنائية للجهاز المحمول، إلا أن سجلات تفاصيل المكالمات (وأحياناً الرسائل النصية) من شركات الاتصالات اللاسلكية تعمل كدليل «احتياطي» يتم الحصول عليه بعد ضبط وامتلاك الهاتف المحمول. هذه الخطوة مفيدة عندما يتم حذف سجل المكالمات و / أو الرسائل النصية من الهاتف، أو عند عدم تشغيل الخدمات المستندة إلى الموقع. يمكن لسجلات تفاصيل الاتصال ومواقع تفريغ الموقع الخلوي (البرج) إظهار موقع مالك الهاتف، وما إذا كانت ثابتة أو متحركة (أي ما إذا كانت إشارة الهاتف ارتدت من نفس الجانب من برج واحد أو جوانب مختلفة من أبراج متعددة بطول معين، أو على نفس طريق السفر). يمكن استخدام بيانات الناقل وبيانات الجهاز معاً لتأكيد المعلومات من مصادر أخرى، على سبيل المثال، لقطات فيديو المراقبة أو حسابات شهود العيان؛ أو لتحديد الموقع العام الذي تم فيه التقاط صورة أو مقطع فيديو بعلامة غير جغرافية.

يطلب الاتحاد الأوروبي من الدول الأعضاء فيه الاحتفاظ ببعض بيانات الاتصالات لاستخدامها في التحقيقات. يتضمن ذلك بيانات عن المكالمات التي تم إجراؤها واسترجاعها. يمكن تحديد موقع الهاتف المحمول ويجب أيضاً الاحتفاظ بهذه البيانات الجغرافية. ومع ذلك، في الولايات المتحدة، لا يوجد مثل هذا الشرط، ولا توجد معايير تحكم المدة التي يجب أن تحتفظ بها شركات الاتصالات بالبيانات أو حتى ما الذي يتعين عليها الاحتفاظ بها. على سبيل المثال، قد يتم الاحتفاظ بالرسائل النصية لمدة أسبوع أو أسبوعين فقط، بينما يمكن الاحتفاظ بسجلات المكالمات في أي مكان من عدة أسابيع إلى عدة أشهر. لتقليل خطر فقدان الأدلة، يجب على موظفي إنفاذ القانون تقديم خطاب حفظ إلى شركة النقل، والذي يتعين عليهم بعد ذلك إجراء نسخ احتياطي بمذكرة تفتيش.

عمليات التحقيق في الأدلة الجنائية 
تتوافق عملية التحقيق في الأدلة الجنائية للأجهزة المحمولة على نطاق واسع مع فروع العلوم الجنائية الرقمية الأخرى؛ ومع ذلك، تنطبق بعض المخاوف الخاصة هنا بشكل خاص. وبشكل عام، يمكن تقسيم العملية إلى ثلاث فئات رئيسية: الاستيلاء، والاستحواذ، والفحص / التحليل. لا تزال هناك جوانب أخرى من عمليات التحقيق في الأدلة الجنائية الخاصة بالحاسب، مثل المدخل، والتحقق من الصحة، والوثائق / التقارير، والأرشفة التي لا تزال سارية المفعول.

الإستيلاء 
تتم تغطية عمليات وتطبيق خطوات الاستيلاء على الأجهزة المحمولة بنفس الاعتبارات القانونية مثل الوسائط الرقمية الأخرى. غالباً ما يتم استرداد الهواتف المحمولة؛ نظراً لأن الهدف من الحجز هو الحفاظ على الأدلة، فغالباً ما يتم نقل الجهاز في نفس الحالة لتجنب إيقاف التشغيل، مما قد يؤدي إلى تغيير الملفات. بالإضافة إلى ذلك، فإن المحقق أو المستجيب الأول سيخاطر بتنشيط قفل المستخدم.

ومع ذلك، فإن ترك الهاتف هو شيء من شأنه بأن يحمل مخاطر أخرى: لا يزال بإمكان الجهاز إجراء اتصال بشبكة / خلوية. هذا قد يجلب بيانات جديدة، أو الكتابة الرقمية فوق الأدلة. لمنع الاتصال، غالباً ما يتم نقل الأجهزة المحمولة وفحصها من داخل صندوق (أو حقيبة) فاراداي. ومع ذلك، هناك عيبان لهذه الطريقة. أولاً، يجعل الجهاز غير صالح للاستخدام، حيث لا يمكن استخدام شاشة اللمس أو لوحة المفاتيح. ثانياً، إن استنفاذ الجهاز لجهاز اتصال الشبكة سوف يستنزف البطارية بسرعة أكبر. بينما يمكن إعادة شحن الأجهزة والبطاريات الخاصة بهم في الغالب، مرة أخرى، يخاطر المحقق بأن يكون قفل مستخدم الهاتف قد تم تنشيطه. لذلك، يُنصح بعزل الشبكة إما من خلال وضع الجهاز في حالة وضع الطيران أو استنساخ بطاقة SIM الخاصة به (وهي تقنية يمكن أن تكون مفيدة أيضاً عندما يفقد الجهاز بطاقة SIM الخاصة به تماماً).

الإستحواذ 

والخطوة الثانية في عمليات التحقيق الخاصة بالأدلة الجنائية للأجهزة المحمولة هي الاستحواذ، في هذه الحالة عادةً ما تشير إلى استرجاع المواد (بيانات) من جهاز (مقارنةً بتصوير نسخة بت المستخدمة في الأدلة الجنائية للحاسب العادي).

نظرًا لطبيعة الملكية للهواتف المحمولة، غالباً ما يتعذر الحصول على البيانات باستخدامها؛ يتم تنفيذ معظم اقتناء الجهاز المحمول على الهواء مباشرة. مع وجود المزيد من الهواتف الذكية المتقدمة التي تستخدم الإدارة المتقدمة للذاكرة، قد لا يكون توصيلها بجهاز شحن ووضعه في قفص faraday ممارسة جيدة. يتعرف الجهاز المحمول على انقطاع الاتصال بالشبكة، وبالتالي فإنه سيغير معلومات الحالة التي يمكن أن تؤدي إلى تشغيل مدير الذاكرة لكتابة البيانات.

معظم أدوات الاستحواذ للأجهزة المحمولة تجارية بطبيعتها وتتألف من مكونات الأجهزة والبرامج، وغالباً ما تكون آلية.

الفحص والتحليل 
نظراً لأن عدداً متزايدا من الأجهزة المحمولة يستخدم أنظمة ملفات عالية المستوى، على غرار أنظمة الملفات الخاصة بأجهزة الحاسب، يمكن الاستيلاء على الأساليب والأدوات من الأدلة الجنائية للقرص الصلب أو تحتاج فقط إلى تغييرات طفيفة.

يستخدم نظام الملفات FAT بشكل عام على ذاكرة NAND . الفرق هو حجم الكتلة المستخدم، والذي يزيد عن 512 بايت للأقراص الصلبة ويعتمد على نوع الذاكرة المستخدمة، على سبيل المثال، ذاكرة NOR من النوع 64 أو 128 و 256 وNAND 16 أو 128 أو 256 أو 512 كيلو بايت.

يمكن لأدوات البرامج المختلفة استخراج البيانات من صورة الذاكرة. يمكن للمرء استخدام منتجات برامج الأدلة الجنائية المتخصصة والآلية أو برامج مشاهدة الملفات العامة مثل أي محرر سداسي عشرية للبحث عن خصائص رؤوس الملفات. تتمثل ميزة محرر hex في رؤية أعمق لإدارة الذاكرة، ولكن العمل مع محرر hex يعني الكثير من العمل اليدوي ونظام الملفات بالإضافة إلى معرفة رأس الملف. في المقابل، يعمل برنامج الأدلة الجنائية المتخصص على تبسيط عملية البحث واستخراج البيانات ولكن قد لا يجد كل شيء. AccessData، Sleuthkit، و EnCase، على سبيل المثال لا الحصر، هي منتجات البرمجيات المتخصصة في الأدلة الجنائية الرقمية وذلك بغرض تحليل الصور الموجودة في الذاكرة. نظراً لعدم وجود أداة لاستخراج جميع المعلومات الممكنة، يُنصح باستخدام أداتين أو أكثر للفحص. لا يوجد حالياً (فبراير 2010) أي حل برنامج للحصول على جميع الأدلة من محتويات ذاكرة الفلاش.

أنواع الحصول على البيانات 
يمكن تصنيف استخراج بيانات الأجهزة المحمولة وفقاً للتسلسل، حيث تصبح الأساليب أكثر تقنية و «سليمة من الناحية الجنائية»، وتزداد تكلفة الأدوات، ويستغرق التحليل وقتاً أطول، ويحتاج الفاحصون إلى مزيد من التدريب، وقد تصبح بعض الأساليب أكثر تغلغلاً.

الإستحواذ اليدوي 
يستخدم الفاحص واجهة المستخدم للتحقيق في محتوى ذاكرة الهاتف. لذلك، يتم استخدام الجهاز كالمعتاد، حيث يقوم الفاحص بالتقاط صور لمحتويات كل شاشة. تتميز هذه الطريقة بميزة أن نظام التشغيل يجعل من غير الضروري استخدام أدوات أو معدات متخصصة لتحويل البيانات الخام إلى معلومات بشرية قابلة للتفسير. في الممارسة العملية يتم تطبيق هذه الطريقة على الهواتف المحمولة وأجهزة المساعد الرقمي الشخصي وأنظمة الملاحة. العيوب في هذه الطريقة اليدوية هي أنه لا يمكن استرداد سوى البيانات المرئية لنظام التشغيل ؛ وأن جميع البيانات متاحة فقط في شكل صور ؛ والعملية بحد ذاتها تستغرق وقتاً طويلاً.

الإستحواذ الافتراضي (المنطقي) 
يتضمن الاستحواذ المنطقي أو مايسمى بـ «الافتراضي» نسخة بتنسيق كائنات التخزين المنطقي (مثل الأدلة والملفات) الموجودة على وحدة التخزين المنطقية (على سبيل المثال، قسم نظام الملفات). الاكتساب المنطقي لديه ميزة أن هياكل بيانات النظام هي أسهل لأداة لاستخراج وتنظيم الملفات. يستخرج الإستحواذ المنطقي معلومات من الجهاز باستخدام واجهة برمجة تطبيقات الشركة المصنعة الأصلية لمزامنة محتويات الهاتف مع جهاز كمبيوتر شخصي. الاستخراج المنطقي أسهل عموماً في العمل لأنه لا ينتج عنه فقدان معلومات افتراضية وبيانات كبيرة. ومع ذلك، سيتمكن فاحص الأدلة الجنائية الماهر من استخراج مزيد من المعلومات من الاستخراج البدني.

الإستحواذ على نظام الملفات 
الاستخراج المنطقي عادة لا ينتج أي معلومات محذوفة، لأنه عادةً ما يتم إزالته من نظام ملفات الهاتف. ومع ذلك، في بعض الحالات - خاصةً مع الأنظمة الأساسية المبنية على إس كيو لايت، مثل iOS وأندرويد - قد يحتفظ الهاتف بملف قاعدة بيانات يحتوي على معلومات لا تقوم بالكتابة فوق المعلومات ولكن ببساطة تضع علامة عليها كمحذوفة ومتاحة للكتابة لاحقاً. في مثل هذه الحالات، إذا كان الجهاز يسمح بالوصول إلى نظام الملفات من خلال واجهة التزامن الخاصة به، فمن الممكن لاستعادة المعلومات المحذوفة. يعد استخراج نظام الملفات مفيداً لفهم بنية الملف أو محفوظات استعراض الويب أو استخدام التطبيق، بالإضافة إلى تزويد الفاحص الجنائي بالقدرة على إجراء تحليل باستخدام أدوات الأدلة الجنائية التقليدية لأجهزة الحاسب.

الإستحواذ البدني 
الاستحواذ الفعلي أو البدني يعني نسخة «بت» مقابل مخزن مادي كامل (مثل ذاكرة الفلاش)؛ لذلك، فهي الطريقة الأكثر تشابهاً لفحص جهاز حاسوبيي شخصي. يتمتع الامتلاك الفعلي بميزة السماح بفحص الملفات المحذوفة ومخلفات البيانات. استخراج المادية يحصل على معلومات من الجهاز عن طريق الوصول المباشر إلى ذكريات فلاش.

بشكل عام، يصعب تحقيق ذلك لأن الشركة المصنعة للجهاز الأصلي تحتاج إلى تأمين ضد القراءة التعسفية للذاكرة؛ لذلك، قد يتم تأمين جهاز إلى مشغل معين. للتغلب على هذا الأمان، غالباً ما يقوم بائعي أدوات التحقيق في الأدلة الجنائية في الأجهزة المحمولة بتطوير أدوات تحميل التمهيد الخاصة بهم، مما يتيح لأداة الأدلة الجنائية الوصول إلى الذاكرة (وفي كثير من الأحيان أيضاً لتجاوز رموز مرور المستخدم أو أقفال الأنماط).

بشكل عام، يتم تقسيم الاستخراج المادي إلى خطوتين، مرحلة الإغراق ومرحلة فك التشفير.

الإستحواذ على طريقة (القوة العمياء) 
يمكن تنفيذ عملية الحصول والإستحواذ باستخدام القوة العمياء من خلال أدوات القوة الغاشمة/العمياء لرمز مرور الجهة الخارجية التي ترسل سلسلة من رموز المرور / كلمات المرور إلى الجهاز المحمول. هذه طريقة تستغرق وقتاً طويلاً، لكنها فعالة مع ذلك. تستخدم هذه التقنية التجربة والخطأ في محاولة لإنشاء مجموعة صحيحة من كلمة المرور أو PIN لمصادقة الوصول إلى الجهاز المحمول. على الرغم من أن العملية تستغرق وقتاً كبيراً، إلا أنها لا تزال واحدة من أفضل الطرق لتوظيفها إذا كان اختصاصي الأدلة الجنائية غير قادر على الحصول على رمز المرور. بفضل البرامج والأجهزة المتوفرة حالياً، أصبح من السهل للغاية كسر التشفير في ملف كلمة مرور الأجهزة المحمولة للحصول على رمز المرور. أصبح اثنان من المصنعام يعملون بشكل عام منذ إصدار آي فون 5، Cellebrite و GrayShift. وتهدف هذه الشركات المصنعة لوكالات إنفاذ القانون وإدارات الشرطة. تبلغ تكلفة وحدة Cellbrite UFED Ultimate أكثر من 40,000 دولار أمريكي، ويتكلف نظام Grashifts 15000 دولار. يتم توصيل أدوات التأثير الغاشمة/القموة العمياء بالجهاز وستقوم بإرسال الرموز فعلياً على أجهزة iOS التي تبدأ من 0000 إلى 9999 بالتسلسل حتى يتم إدخال الرمز الصحيح بنجاح. بمجرد نجاح إدخال الرمز، يتم منح حق الوصول الكامل إلى الجهاز ويمكن أن يبدأ حينئذٍ عمليات استخراج وإستحواذ البيانات.

أدوات 
تتألف التحقيقات المبكرة من التحليل اليدوي المباشر للأجهزة المحمولة ؛ مع الممتحنين تصوير أو تدوين مواد مفيدة لاستخدامها كدليل. بدون معدات التصوير الفوتوغرافي الشرعي مثل Fernico ZRT أو EDEC Eclipse أو Project-a-Phone، فقد كان لهذا عيب في المخاطرة بتعديل محتوى الجهاز، فضلاً عن ترك العديد من أجزاء نظام التشغيل الاحتكاري غير قابلة للوصول.

في السنوات الأخيرة، ظهر عدد من أدوات الأجهزة / البرامج لاستعادة الأدلة المنطقية والمادية من الأجهزة المحمولة. تتكون معظم الأدوات من أجزاء الأجهزة والبرامج. يتضمن الجهاز عدداًً من الكابلات لتوصيل الجهاز المحمول بجهاز الاستحواذ ؛ البرنامج موجود لاستخراج الأدلة، وحتى في بعض الأحيان لتحليلها.

في الآونة الأخيرة، تم تطوير أدوات التحقيق في الأدلة الجنائية للجهاز المحمول لهذا المجال. هذا يأتي من أجل الاستجابة لكل من طلب الوحدات العسكرية للحصول على معلومات استخبارية سريعة ودقيقة لمكافحة الإرهاب، وكذلك لمطالب إنفاذ القانون بقدرات معاينة الأدلة الجنائية في مسرح الجريمة، أو تنفيذ أمر التفتيش، أو الظروف الملحة. غالباً ما تكون أدوات الأدلة الجنائية المتنقلة هذه متينة في البيئات القاسية (مثل ساحة المعركة) والمعالجة القاسية (مثل السقوط أو الغمر في الماء).

بشكل عام، نظراً لأنه يتعذر على أي أداة واحدة الحصول على جميع الأدلة من جميع الأجهزة المحمولة، يوصي الاختصاصيون في الأدلة الجنائية المتعلقة في الأجهزة المحمولة بأن يقوم الفاحصون بإنشاء مجموعة أدوات كاملة تتكون من مزيج من أدوات الأدلة التجارية المفتوحة المصدر والدعم الواسع والأدوات الضيقة للدعم الجنائي، جنباً إلى جنب مع الملحقات مثل أجهزة شحن البطاريات وأكياس فاراداي أو غيرها من معدات تعطيل الإشارات وما إلى ذلك.

أدوات الأدلة الجنائية التجارية 
بعض الأدوات الحالية تشمل Cellebrite UFED، و Oxygen Forensic Detective و Susteen Secure View و Micro Systemation XRY .

بالإضافة إلى ذلك، تم تطوير بعض الأدوات لمعالجة الاستخدام الإجرامي المتزايد للهواتف المصنعة باستخدام الشرائح الصينية، والتي تشمل ميديا تيك (MTK) وسبريدترم و MStar . هذه الأدوات تشمل Cellebrite's CHINEX و XRY PinPoint .

أدوات المصدر المفتوح 
معظم أدوات التحقق من الأدلة الجنائية للجوال تعتبر مفتوحة المصدر خاصة بالمنصة الرقمية، وتوجه نحو تحليل الهاتف الذكي. على الرغم من أنه لم يتم تصميمها في الأصل لتكون أدوات جنائية بحثية، إلا أنه تم استخدام BitPim على نطاق واسع في هواتف CDMA بالإضافة إلى LG VX4400 / VX6000 والعديد من هواتف Sanyo Sprint.

الأدوات المادية أو الملموسة

الأدلة الجنائية بـإزالة اللحام (desoldering) 
يشار إليها عموماً على أنها تقنية "Chip-Off" داخل الصناعة، والطريقة الأخيرة والأكثر تدخلاً للحصول على صورة ذاكرة هي إزالة شريحة الذاكرة غير المتطايرة وتوصيلها بقارئ شرائح الذاكرة. تحتوي هذه الطريقة على الخطر المحتمل للتدمير الكلي للبيانات: من الممكن تدمير الشريحة ومحتواها بسبب الحرارة المطلوبة أثناء إزالة اللحام. قبل اختراع تقنية BGA، كان من الممكن إرفاق تحقيقات بدبابيس شريحة الذاكرة واستعادة الذاكرة من خلال هذه التحقيقات. تقيد تقنية BGA الرقائق مباشرة على PCB من خلال كرات اللحام المنصهرة، بحيث لم يعد بالإمكان إرفاق التحقيقات.

يتم نزع رقائق الشرائح الإلكترونية بعناية وببطء، بحيث لا تدمر الحرارة الشريحة أو البيانات. قبل إزالة الرقاقة، يتم خبز ثنائي الفينيل متعدد الكلور في فرن للقضاء على المياه المتبقية. هذا يمنع ما يسمى تأثير الفشار، حيث الماء الباقي من شأنه أن يفجر حزمة رقاقة في إزالة اللحام.

هناك ثلاث طرق أساسية لإذابة اللحام: الهواء الساخن، والأشعة تحت الحمراء، والبخار. تعمل تقنية ضوء الأشعة تحت الحمراء مع شعاع ضوء الأشعة تحت الحمراء المركزة على دائرة متكاملة محددة وتستخدم للرقائق الصغيرة. لا يمكن لطرق الهواء الساخن والبخار التركيز بقدر تقنية الأشعة تحت الحمراء.

رقاقة إعادة التكور 
بعد إزالة اللصق للرقاقة، تقوم عملية إعادة التكرير بتنظيف الرقاقة وإضافة كرات قصدير جديدة إلى الشريحة. يمكن أن يتم إعادة التكرار بطريقتين مختلفتين.

 الأول هو استخدام الاستنسل (Stencil). يعتمد الاستنسل على الرقاقة ويجب أن يتلائم تماماً. ثم يتم وضع القصدير على الاستنسل. بعد تبريد القصدير، تتم إزالة الاستنسل وعند الضرورة، يتم إجراء خطوة تنظيف ثانية.
 الطريقة الثانية هي إعادة الليزر. هنا يتم برمجة الاستنسل في وحدة إعادة التزوير. يتم تحميل رأس السندات (يشبه الأنبوب / الإبرة) تلقائياً مع كرة قصدير واحدة من خزان عزل كرة اللحام. ثم يتم تسخين الكرة بواسطة ليزر، بحيث تصبح كرة اللحام بالقصدير سائلة وتتدفق على الرقاقة المنظفة. على الفور بعد ذوبان الكرة، ينطفئ الليزر وتندفع كرة جديدة إلى رأس مايسمى بـ (bondhead). أثناء إعادة تحميل bondhead من وحدة re-balling يغير الموضع إلى الدبوس التالي.

الطريقة الثالثة تجعل عملية إعادة الكرة بأكملها غير ضرورية. يتم توصيل الشريحة بمحول ذو نوابض على شكل Y أو دبابيس بوجو (pogo pins) محملة بنابض. تحتاج الينابيع على شكل Y إلى وضع كرة على الدبوس لإقامة اتصال كهربائي، لكن يمكن استخدام دبابيس البوجو مباشرة على الحشوات وعلى الرقاقة بدون الكرات.

ميزة الأدلة الجنائية بـإزالة اللحام هو أن الجهاز لا يحتاج إلى أن يكون وظيفي وأنه يمكن إجراء نسخة دون أي تغييرات على البيانات الأصلية. العيب هو أن أجهزة إعادة الكرة باهظة الثمن، لذلك هذه العملية مكلفة للغاية وهناك بعض مخاطر فقدان البيانات الكلي. وبالتالي، يجب أن يتم إزالة اللحام في الأدلة الجنائية فقط من قبل المختبرات من ذوي الخبرة.

مجموعة عمل الاختبار المشترك (JTAG) 
يتم دمج الواجهات القياسية الحالية لقراءة البيانات في العديد من الأجهزة المحمولة، على سبيل المثال، للحصول على بيانات الموقع من معدات نظام التموضع العالمي (MEA) أو للحصول على معلومات التباطؤ من وحدات الوسائد الهوائية.

لا توفر جميع الأجهزة المحمولة مثل هذه الواجهة الموحدة ولا توجد واجهة قياسية لجميع الأجهزة المحمولة، ولكن جميع الشركات المصنعة لديها مشكلة واحدة مشتركة. يؤدي تصغير أجزاء الجهاز إلى فتح السؤال حول كيفية اختبار وظائف وجودة المكونات المدمجة الملتحمة تلقائياً. لهذه المشكلة، قامت مجموعة صناعية، مجموعة عمل الاختبار المشترك (JTAG)، بتطوير تقنية اختبار تسمى فحص الحدود .

على الرغم من التوحيد القياسي، هناك أربع مهام قبل استخدام واجهة جهاز JTAG لاستعادة الذاكرة. للعثور على البتات الصحيحة في مسح الحدود، يجب على المرء أن يعرف أي من دوائر المعالج والذاكرة تُستخدم وكيفية اتصالها بنقل النظام. عندما لا يمكن الوصول إليها من الخارج، يجب عليك العثور على نقاط اختبار واجهة JTAG على لوحة الدوائر المطبوعة وتحديد نقطة الاختبار التي يتم استخدامها للإشارة. لا يتم دائماً فتح منفذ JTAG بواسطة الموصلات، بحيث يكون من الضروري أحياناً فتح الجهاز وإعادة لحام منفذ الوصول. يجب أن يكون بروتوكول قراءة الذاكرة معروفاً، كما يجب تحديد الجهد الصحيح لمنع تلف الدائرة.

مسح الحدود تنتج صورة الأدلة الجنائية كاملة من ذاكرة متطايرة وذاكرة مستدامة. وأدى إلى التقليل من مخاطر تغير البيانات والتي ليس لديها رقاقة ذاكرة desoldered . يمكن أن يكون توليد الصورة بطيئاً ولا يتم تمكين جميع الأجهزة المحمولة باليد JTAG. أيضاً، قد يكون من الصعب العثور على منفذ الوصول للاختبار.

أدوات سطر الأوامر

أوامر النظام 
لا توفر الأجهزة المحمولة إمكانية التشغيل أو التمهيد من قرص مضغوط، أو الاتصال بمشاركة شبكة أو جهاز آخر بأدوات نظيفة. لذلك، يمكن أن تكون أوامر النظام هي الطريقة الوحيدة لحفظ الذاكرة المتطايرة لجهاز محمول. مع خطر أوامر النظام المعدلة، يجب تقدير ما إذا كانت الذاكرة المتقلبة مهمة حقاً. تنشأ مشكلة مماثلة عندما لا يتوفر اتصال بالشبكة ولا يمكن توصيل أي ذاكرة ثانوية بجهاز محمول لأنه يجب حفظ صورة الذاكرة المتقلبة على الذاكرة الداخلية غير المتطايرة، حيث يتم تخزين بيانات المستخدم ويتم حذف البيانات المهمة المحذوفة على الأرجح، لذلك يمكن الجزم بأن العملية أشبه كأن تكون هذه البيانات على وضع خطير دائماً كونها بيانات مهمة مفقودة. أوامر النظام هي أرخص وسيلة، ولكنها تنطوي على بعض مخاطر فقدان البيانات. يجب توثيق كل استخدام للأوامر باستخدام الخيارات والإخراج.

أوامر آت (AT) 
أوامر آت هي أوامر مودم قديمة، على سبيل المثال، مجموعة أوامر Hayes وأوامر آت لهاتف موتورولا، وبالتالي لا يمكن استخدامها إلا على جهاز يدعم مودم. باستخدام هذه الأوامر، يمكن للمرء الحصول على معلومات فقط من خلال نظام التشغيل، بحيث لا يمكن استخراج أي بيانات محذوفة.

أواكر دي دي (dd) 
بالنسبة إلى الذاكرة الخارجية ومحرك أقراص فلاش يو إس بي، هناك حاجة إلى برنامج مناسب، على سبيل المثال، الأمر.دي دي (يونكس)، لعمل نسخة على مستوى «البت». علاوة على ذلك، لا تحتاج محركات وحدة الذاكرة الفلاشية المحمولة المزودة بحماية للذاكرة إلى أجهزة خاصة ويمكن توصيلها بأي جهاز حاسوبي. تحتوي العديد من محركات أقراص USB وبطاقات الذاكرة على مفتاح قفل للكتابة يمكن استخدامه لمنع تغييرات البيانات أثناء عمل نسخة.

إذا كان محرك الأقراص يو إس بي لا يوجد لديه مفتاح الحماية، وهو مانع يمكن استخدامها لتحميل محرك الأقراص في وضع للقراءة فقط أو، في حالة استثنائية، ورقاقة ذاكرة يمكن ازالة اللحام. تحتاج بطاقات SIM والذاكرة إلى قارئ بطاقة لإنشاء النسخة. يتم تحليل وحدة تعريف المشترك (SIM) بشكل سليم، بحيث يمكن استرداد (حذف) البيانات مثل جهات الاتصال أو الرسائل النصية.

يتضمن نظام التشغيل أندرويد الأمر دي دي. في منشور مدونة على تقنيات الأدلة الجنائية لنظام أندرويد، يتم عرض طريقة لصورة حية لجهاز أندرويد باستخدام الأمر دي دي.

الأدوات التجارية الخاصة بالأدلة الجنائية

أدوات المتعري (Flasher) 
أداة المتعري هي برمجة الأجهزة و / أو البرامج التي يمكن استخدامها لبرمجة (ذاكرة) ذاكرة الجهاز، على سبيل المثال، EEPROM أو ذاكرة الفلاش. تنشأ هذه الأدوات أساساً من الشركة المصنعة أو مراكز الخدمة لخدمات تصحيح الأخطاء أو إصلاحها أو ترقيتها. يمكنهم الكتابة فوق الذاكرة غير المتطايرة، ويمكن للبعض، بناءً على الشركة المصنعة أو الجهاز، قراءة الذاكرة لعمل نسخة، كانت في الأصل نسخة احتياطية. يمكن حماية الذاكرة من القراءة، على سبيل المثال، من خلال أمر البرنامج أو تدمير الصمامات في دائرة القراءة.

لاحظ أن هذا لن يمنع الكتابة أو استخدام الذاكرة داخلياً بواسطة وحدة المعالجة المركزية. أدوات التوصيل هي تعتبر سهلة الاستخدام والإتقان، ولكن يمكن لبعضها تغيير البيانات والحصول على خيارات خطيرة أخرى أو عدم عمل نسخة كاملة.

الخلافات 
بشكل عام، لا يوجد معيار لما يشكل جهازاً مدعوماً في منتج معين. وقد أدى ذلك إلى الموقف الذي يحدد فيه بائعون مختلفون جهازاً مدعوماً بشكل مختلف. مثل هذا الموقف يجعل من الصعب مقارنة المنتجات بناءً على قوائم الأجهزة المدعومة المقدمة من البائع. على سبيل المثال، قد يتم سرد أي جهاز يقوم فيه الاستخراج المنطقي باستخدام منتج واحد فقط بقائمة بالمكالمات التي يتم إجراؤها بواسطة الجهاز على أنه مدعوم من ذلك البائع بينما يمكن لمورد آخر إنتاج مزيد من المعلومات.

علاوة على ذلك، تستخرج المنتجات المختلفة كميات مختلفة من المعلومات من أجهزة مختلفة. هذا يؤدي إلى مشهد معقد للغاية عند محاولة نظرة عامة على المنتجات. بشكل عام، يؤدي هذا إلى موقف حيث يوصى بشدة باختبار المنتج بشكل مكثف قبل الشراء. من الشائع استخدام منتجين على الأقل يكمل كل منهما الآخر.

تقنيات الهاتف المحمول تتطور بوتيرة سريعة. ومع ذلك، يبدو أن علوم الأدلة الجنائية الرقمية المتعلقة بالأجهزة المحمولة في وضع ثابت أو قد تتطور ببطء. حتى يتسنى للعلم الجنائي الرقمي للهواتف المحمولة اللحاق بدورات إطلاق الهواتف المحمولة، يجب تطوير إطار عمل أكثر شمولاً وعمقاً لتقييم مجموعات أدوات الأدلة الجنائية المتنقلة وإتاحة البيانات المتعلقة بالأدوات والتقنيات المناسبة لكل نوع من أنواع الهاتف في الوقت المناسب.

مكافحة الأدلة الجنائية 
الأدلة الجنائية المناهضة للحاسب هي أكثر صعوبة بسبب صغر حجم الأجهزة وإمكانية وصول المستخدم المقيدة إلى البيانات. ومع ذلك، هناك تطورات لتأمين الذاكرة في الأجهزة مع دوائر الأمن في وحدة المعالجة المركزية ورقاقة الذاكرة، بحيث لا يمكن قراءة رقاقة الذاكرة حتى بعد إزالة اللحام.

إنظر أيضاً 

 List_of_digital_forensics_tools

 الدفاع عن حصان طروادة

المراجع

روابط خارجية 

 مؤتمر «عالم الأدلة الجنائية الخاصة بالمحمول»
 الطب الشرعي Chip-Off (forensicwiki.org)
 الطب الشرعي JTAG (forensicwiki.org)
 دراسات حالة الطب الشرعي للهاتف المحمول (QCC Global Ltd)

الحاسب المحمول
تدقيق نظم المعلومات
علوم جنائية رقمية
الأدلة الجنائية للأجهزة المحمولة هي فرع من العلوم الجنائية الرقمية التي تتعلق ب استعادة الأصول المعلوماتية أو أي أدلة رقمية أو بيانات من جهاز محمول تحت نطاق ظروف و معايير العمل الجنائي الرقمي . عادةً تُستخدم كلمة « أجهزة محمولة » ل التعريف بالجهاز أو الهاتف النقال ، و لٰكن أيضا يمكن تعريف ها على سبيل المثال كأي جهاز رقمي يحتوي على ذاكرة داخلية أو ل ه المقدرة العامة ل التواصل مثل أجهزة الحاسوب الكفي ، أجهزة نظام التموضع العالمي أو أجهزة الحاسوب اللوحي . نظرة عامة ل عدة سنوات و على نطاق واسع ، أصبح الهاتف النقال / الجهاز المحمول قابل للإستخدام ب غرض البحث الجنائي الدقيق ، و لٰكن علوم ودراسة الأدلة الجنائية الخاصة ب الأجهزة النقالة يعتبر علم حديث كان قد بدأ في أوائل القرن العشرين ميلاد ي إلى أواخر التسعينيات . نظرا " للانتشار الواسع الحاصل من استخدام هذه الأجهزة النقالة و ب شكل خاص ( ال هواتف الذكية ) و غير ها من الأجهزة الرقمية ، أدى ذلك لضرورة الطلب في فحص هذه الأجهزة تحت نطاق الفحص الجنائي . الجدير ب الذكر أن اعتماد هذه الخطوة لا تشكل نجاح كبير لمستكشفي وباحثين الأدلة الجنائية الخاصة ب الأجهزة الرقمية و ذٰلك ب سبب مجموعة من الحيل والمراوغات الموجودة في عالم الأدلة الجنائية الحاسوبية . يمكن أن تستخدم الأجهزة النقالة في حفظ عدة أنواع من المعلومات الشخصية مثل جهات الإتصال ، الصور ، ال تقويم السنوي و الملاحظات ، رسائل SMS وMMS . إضافة إلى ذلك ، يمكن أن تحتوي هذه الأجهزة على مقاطع الفيديو ، رسائل البريد الإلكتروني ، معلومات المتصفح الخاص ب المواقع الإلكترونية ، معلومات المواقع والخرائط ، و معلومات جهات الإتصال و الرسائل النصية أو رسائل مواقع ا التواصل الاجتماعي . هنالك حاجة ماسة و طلب عالي متصاعد لعلم ودراسة الأدلة الجنائية الخاصة بال هواتف النقالة و ذٰلك ل عدة أسباب . بعض من هذه الأسباب الهامة يمكن شرح ها كما يلي : استخدام الأجهزة النقالة ب غرض حفظ و نقل المعلومات الشخصية و معلومات الشركات أو المؤسسات . استخدام الأجهزة النقالة في المعاملات الإلكترونية . تنفيذ القوانين ، المجرمين الإلكترونيين و الأجهزة النقالة . الأدلة الجنائية الخاصة ب الأجهزة المحمولة يمكن أن تكون محل صعوبة وتحدي في عدة مستويات و معايير من ها : الأدلة والتحديات التقنية على سبيل المثال : ل تحديد موقع ال شريحة الخاصة بالهاتف النقال ، قد يتطلب علم مسبق مثل دراسة وعلوم التغطية الخاصة ب شبكة الهاتف المحمول ، و هٰذا على سبيل المثال ليس ب نفس مجال دراسة العلم الجنائي الخاص بأدلة الجوال نفس ه . على الرغم من وجود احتمالية التعرف على موقع الهاتف النقال ب واسطة المكالمات الناشئة أو المستقبله من نفس الهاتف ، إلى أن ه لا يمكن الجزم دائما أن شريحة تلك الهاتف النقال كان قد وجدت في نفس الموقع التي تم من خلال ه إنشاء الإتصال أو إستقبال ه . نظرا " للتغيرات الكثيرة التي تطرأ في عالم ال هواتف الذكية ل أجل المنافسة في سوق ال هواتف الذكية مثل تغيرات الأشكال وال أحجام وأنظمة التشغيل و وحدات التخزين و غير ها من التغييرات من شركات التصنيع ، أصبحت هذه التغيرات مشكلة حقيقية يواجه ها خبير ومس تكشف الأدلة الجنائية الرقمية في ال هواتف الذكية ، ف هم يواجهون هذه المشكلة أكبر من غير هم مثل مستكشفي الأدلة الرقمية الخاصة بالحاسب الآلي الشخصي . سعة التخزين الآن في ازدياد ، هذا الفضل يعود إلى قوة ال هواتف الذكية الصغيرة والمحمولة . سلوك الإسبات الذي يتم في ه تعليق العمليات عند إيقاف تشغيل الجهاز أو الخمول و لٰكن في نفس الوقت ، يبقى نشطاً . نتيجة ل هٰذه التحديات ، يتوفر الآن عدة أدوات و برامج تمكن الفرد من استخراج أدلة جنائية رقمية من أجهزة ال هواتف النقالة والذكية . لكن الأمر لا يكمن في استخدام أداة واحدة أو وسيلة واحدة فقط لإستخراج الأدلة ، و إنما الأمر يكمن في الخبير الجنائي الرقمي ب أن يتفحص كافة العناصر الموجودة ، وينصح لخبراء الأدلة الرقمية و خصوصا الذين يكونون تحت نطاق وأماكن حساسة مثل المحاكم ب أن يكونوا تحت تدريب شامل وواسع . إضافة أن ه يجب علي هم معرفة تشغيل كل أداة وكيفية إسخراج الأدلة ، و أيضا معرفة الحقائق وكيفية عمل الأدوات في استخراج الأدلة الرقمية . أيضا من المهم التنبيه ب أن ه يجب مراعاة إذا ما إن كانت تلك الأدوات تتوافق مع متطلبات قانونية وشرعية مثل مقياس دوبرت أومقياس فري . التاريخ كمجال دراسي في تخصص فحص الأدلة الجنائية الرقمية الخاصة ب أجهزة ال هواتف النقالة ، كان قد بدأ في أواخر التسعينيات و حتى أوائل القرن العشرين . قانونيا ، لعبت ال هواتف المحمولة دور ركيزي في الجرائم منذ عدة عقود . نتيجة إلى ذلك ، أصبح هنالك طلب عالي ل وجود خبراء ومستكشفي أدلة جنائية و ذٰلك ل مواكبة سرعة تطور العالم الذكي و سهولة الوصول إلى البيانات مثل البريد الإلكتروني ومتصفحات الويب عن طريق الهاتف النقال . الطرق التي كانت تستخدم من قبل ل فحص عناصر ومحتويات الهاتف المحمول كانت قريبة جداً من الطرق المستخدمة في فحص محتويات الحاسب الآلي و هي عن طريق فتح الشاشة والإطلاع على أهم ملفات و عناصر الجهاز . و لٰكن ، هذه الطرق غير مجيدة فعليا لأن ها تستغرق العديد من الوقت ل فحص الأجهزة ، خصوصا في ظل تطور و تزايد عدد الأجهزة المحمولة حاليا . لذا ، قام العديد من الباحثين وال مهتمين ب هٰذا المجال ل طلب طرق أخرى تكون أكثر كفاءة لإستخراج البيانات المطلوبة . استخدم فاحصو ومختصين الأدلة الجنائية الرقمية الخاصة ب الأجهزة المحمولة في بعض الأحيان برامج مزامنة الهاتف الخلوي أو المساعد الشخصي الرقمي « لنسخ » بيانات الجهاز إلى جهاز حاسوبي جنائي للتصوير ، أو في بعض الأحيان ، تؤدي ببساطة عمليات التحقق من الأدلة الجنائية للحاسب على القرص الصلب لجهاز حاسوبي مشتبه ب ه حيث تمت عملية مزامنة البيانات ل ه . و مع ذلك ، يمكن ل هٰذا النوع من البرامج الكتابة على الهاتف و كذٰلك قرائته ، و لا يمكن ه استرداد البيانات المحذوفة تلك لأن تمت كتابة بيانات أخرى فوق بيانات مطلوبة . وجد بعض فاحصي الأدلة الجنائية أن هم يستطيعون استرجاع البيانات المحذوفة حتى ب استخدام الأدوات مثل " flasher " أو " twister " ، و هي أدوات طورة ها شركات تصنيع المعدات الأصلية " OMEs " و هٰذه الأدوات تستخدم أيضاً في ذاكرة الهاتف ل تصحيح الأخطاء أو التحديث . و مع ذلك ، أدوات ( flasher ) يمكن أن تغير البيانات . يمكن أن تكون هذه الأدوات معقد ه ل الاستخدام ؛ ول أن ها لم يتم تطوير ها كأدوات جنائية ، ف لا تجري عمليات التحقق من التجزئة أو مسارات التدقيق ( في معظم الحالات ) ل فحص الأدلة الجنائية ، ل ذٰلك ، هنالك بدائل أفضل ظلت ضرورية . ل تلبية هذه المطالب ، ظهرت أدوات تجارية سمحت للباحثين ب استعادة ذاكرة الهاتف ب أقل قدر من الاضطراب وتحليل ها ب شكل منفصل . مع مرور الوقت ، تطورت هذه التقنيات التجارية ب شكل أكبر و أصبح استرداد البيانات المحذوفة من الأجهزة المحمولة المسجلة أمراً ممكناً مع بعض الأدوات المتخصصة . علاوة على ذلك ، قامت الأدوات التجارية بإدخال عمليات البرمجة و العمل التلقائي في جزء كبير من عملية الاستخراج البياناتي ، مما جعل ها ممكنة حتى ب النسبة للمستجيبين الأوائل المدربين على الحد الأدنى - و الذين من المرجح أن يواجه المشتبه ب هم في الوقت الحالي أجهزة محمولة ، مقارنة ب أجهزة الحاسب - ل أداء عمليات الاستخراج الأساسية للفرز وأغراض معاينة البيانات . التطبيقات المهنية الإحترافية البحث الجنائي الرقمي الخاص ب الأجهزة المحمولة يعرف عموما بصلة ه المهنية مع نظام وتطبيق و حماية القانون ، و لٰكن يظل قوة ه لاتكمن فقط في مجال القانون و حماية النطام و إنما أيضا في المخابرات الحربية ، الشركات ، الفحوصات الشخصية ، فحوصات الجرائم والمدنية وفحوصات الأجهزة الإلكترونية . أنواع الأدلة كما أن تقنية الأجهزة المحمولة في تطور مستمر ، عدد وأنواع الأدلة الموجودة في هذه الأجهزة في تطور مستمر أيضا . الأدلة المتوقع إستخراج ها من الأجهزة المحمولة تأتي من عدة مصادر من ها ذاكرة سماعات الرأس ، ال شريحة والذاكرة الخارجية المرفقة في جهاز الهاتف المحمول مثل بطائق SD . ارتبطت الأدلة الجنائية لل هواتف المحمولة ب شكل تقليدي ب استعادة رسائل SMS وMMS ، ن و كذٰلك سجلات المكالمات وقوائم جهات الاتصال و معلومات IMEI / ESN عبر الهاتف . و مع ذلك ، ن ف إن الأجيال ال أحدث من ال هواتف الذكية تشمل أيضاً أنواعاً أكبر من المعلومات ؛ من تصفح الويب ، ن وإعدادات الشبكة اللاسلكية ، ن و معلومات تحديد الموقع الجغرافي ( ب ما في ذلك العلامات الجغرافية الموجودة في البيانات الوصفية للصور ) ، ن و البريد الإلكتروني وأشكال أخرى من وسائط الإنترنت الغنية ، ن ب ما في ذلك البيانات المهمة - مثل منشورات خدمة ال شبكات الاجتماعية وجهات الاتصال - المحفوظة الآن على « تطبيقات » ال هواتف الذكية . الذاكرة الداخلية في الوقت الحاضر ، ن يتم استخدام ذاكرة فلاش تتكون من أنواع NAND أو NOR للأجهزة المحمولة . ذاكرة خارجية أجهزة الذاكرة الخارجية هي بطاقات SIM وبطاقات SD ( التي توجد عادةً في أجهزة GPS ب الإضافة إلى ال هواتف المحمولة ) وبطاقات MMC وبطاقات CF و Memory Stick\ . سجلات مزود الخدمة على الرغم من أن هذا الجزء ليس جزءًا تقنياً من الأدلة الجنائية للجهاز المحمول ، إلا أن سجلات تفاصيل المكالمات ( وأحياناً الرسائل النصية ) من شركات الاتصالات اللاسلكية تعمل ك دليل « احتياطي » يتم الحصول علي ه بعد ضبط وامتلاك الهاتف المحمول . هذه الخطوة مفيدة عندما يتم حذف سجل المكالمات و / أو الرسائل النصية من الهاتف ، أو عند عدم تشغيل الخدمات المستندة إلى الموقع . يمكن لسجلات تفاصيل الاتصال و مواقع تفريغ الموقع الخلوي ( البرج ) إظهار موقع مالك الهاتف ، و ما إذا كانت ثابتة أو متحركة ( أي ما إذا كانت إشارة الهاتف ارتدت من نفس الجانب من برج واحد أو جوانب مختلفة من أبراج متعددة ب طول معين ، أو على نفس طريق السفر ) . يمكن استخدام بيانات الناقل و بيانات الجهاز معاً لتأكيد المعلومات من مصادر أخرى ، على سبيل المثال ، لقطات فيديو المراقبة أو حسابات شهود العيان ؛ أو ل تحديد الموقع العام الذي تم في ه التقاط صورة أو مقطع فيديو بعلامة غير جغرافية . يطلب الاتحاد الأوروبي من الدول الأعضاء في ه ا الاحتفاظ ب بعض بيانات الاتصالات ل استخدام ها في التحقيقات . يتضمن ذلك بيانات عن المكالمات التي تم إجراء ها واسترجاع ها . يمكن تحديد موقع الهاتف المحمول و يجب أيضاً ا الاحتفاظ ب هٰذه البيانات الجغرافية . و مع ذلك ، في الولايات المتحدة ، لا يوجد مثل هذا الشرط ، و لا توجد معايير تحكم المدة التي يجب أن تحتفظ ب ها شركات الاتصالات بالبيانات أو حتى ما الذي يتعين علي ها ا الاحتفاظ ب ها . على سبيل المثال ، قد يتم ا الاحتفاظ ب الرسائل النصية ل مدة أسبوع أو أسبوعين فقط ، بينما يمكن ا الاحتفاظ بسجلات المكالمات في أي مكان من عدة أسابيع إلى عدة أشهر . ل تقليل خطر فقدان الأدلة ، يجب على موظفي إنفاذ القانون تقديم خطاب حفظ إلى شركة النقل ، و الذي يتعين علي هم بعد ذلك إجراء نسخ احتياطي ب مذكرة تفتيش . عمليات التحقيق في الأدلة الجنائية تتوافق عملية التحقيق في الأدلة الجنائية للأجهزة المحمولة على نطاق واسع مع فروع العلوم الجنائية الرقمية الأخرى ؛ و مع ذلك ، تنطبق بعض المخاوف الخاصة هنا ب شكل خاص . و ب شكل عام ، يمكن تقسيم العملية إلى ثلاث فئات رئيسية : الاستيلاء ، و الاستحواذ ، و الفحص / ال تحليل . لا تزال هناك جوانب أخرى من عمليات التحقيق في الأدلة الجنائية الخاصة بالحاسب ، مثل المدخل ، والتحقق من الصحة ، و الوثائق / التقارير ، والأرشفة التي لا تزال سارية المفعول . الإستيلاء تتم تغطية عمليات وتطبيق خطوات الاستيلاء على الأجهزة المحمولة ب نفس الاعتبارات القانونية مثل الوسائط الرقمية الأخرى . غالباً ما يتم استرداد ال هواتف المحمولة ؛ نظراً لأن الهدف من ال حجز هو الحفاظ على الأدلة ، فغالباً ما يتم نقل الجهاز في نفس الحالة ل تجنب إيقاف التشغيل ، مما قد يؤدي إلى تغيير الملفات . ب الإضافة إلى ذلك ، ف إن المحقق أو المستجيب الأول سيخاطر ب تنشيط قفل المستخدم . و مع ذلك ، ف إن ترك الهاتف هو شيء من شأن ه ب أن يحمل مخاطر أخرى : لا يزال ب إمكان الجهاز إجراء اتصال ب شبكة / خلوية . هذا قد يجلب بيانات جديدة ، أو الكتابة الرقمية فوق الأدلة . ل منع الاتصال ، غالباً ما يتم نقل الأجهزة المحمولة و فحص ها من داخل صندوق ( أو حقيبة ) فاراداي . و مع ذلك ، هناك عيبان ل هٰذه الطريقة . أولاً ، يجعل الجهاز غير صالح ل الاستخدام ، حيث لا يمكن استخدام شاشة اللمس أو لوحة المفاتيح . ثانياً ، إن استنفاذ الجهاز لجهاز اتصال الشبكة سوف يستنزف البطارية ب سرعة أكبر . بينما يمكن إعادة شحن الأجهزة و البطاريات الخاصة ب هم في الغالب ، مرة أخرى ، يخاطر المحقق ب أن يكون قفل مستخدم الهاتف قد تم تنشيط ه . ل ذٰلك ، يُنصح بعزل الشبكة إما من خلال وضع الجهاز في حالة وضع الطيران أو استنساخ بطاقة SIM الخاصة ب ه ( و هي تقنية يمكن أن تكون مفيدة أيضاً عندما يفقد الجهاز بطاقة SIM الخاصة ب ه تماماً ) . الإستحواذ والخطوة الثانية في عمليات التحقيق الخاصة بالأدلة الجنائية للأجهزة المحمولة هي الاستحواذ ، في هذه الحالة عادةً ما تشير إلى استرجاع المواد ( بيانات ) من جهاز ( مقارنةً ب تصوير نسخة بت المستخدمة في الأدلة الجنائية للحاسب العادي ) . نظرًا ل طبيعة الملكية لل هواتف المحمولة ، غالباً ما ي تعذر الحصول على البيانات ب استخدام ها ؛ يتم تنفيذ معظم اقتناء الجهاز المحمول على الهواء مباشرة . مع وجود المزيد من ال هواتف الذكية المتقدمة التي تستخدم الإدارة المتقدمة للذاكرة ، قد لا يكون توصيل ها ب جهاز شحن ووضع ه في قفص faraday ممارسة جيدة . يتعرف الجهاز المحمول على انقطاع الاتصال ب الشبكة ، و ب التالي ف إن ه س يغير معلومات الحالة التي يمكن أن تؤدي إلى تشغيل مدير الذاكرة لكتابة البيانات . معظم أدوات الاستحواذ للأجهزة المحمولة تجارية بطبيعة ها وتتألف من مكونات الأجهزة و البرامج ، وغالباً ما تكون آلية . الفحص و التحليل نظراً لأن عدداً متزايدا من الأجهزة المحمولة يستخدم أنظمة ملفات عالية المستوى ، على غرار أنظمة الملفات الخاصة ب أجهزة الحاسب ، يمكن الاستيلاء على الأساليب و الأدوات من الأدلة الجنائية للقرص الصلب أو تحتاج فقط إلى تغييرات طفيفة . يستخدم نظام الملفات FAT ب شكل عام على ذاكرة NAND\ . الفرق هو حجم الكتلة المستخدم ، و الذي يزيد عنبايت للأقراص الصلبة و يعتمد على نوع الذاكرة المستخدمة ، على سبيل المثال ، ذاكرة NOR من النوعأووو N ANDأوأوأوكيلو بايت . يمكن لأدوات البرامج المختلفة استخراج البيانات من صورة الذاكرة . يمكن للمرء استخدام منتجات برامج الأدلة الجنائية المتخصصة والآلية أو برامج مشاهدة الملفات العامة مثل أي محرر سداسي عشرية ل البحث عن خصائص رؤوس الملفات . تتمثل ميزة محرر hex في رؤية أعمق ل إدارة الذاكرة ، و لٰكن العمل مع محرر hex يعني الكثير من العمل اليدوي و نظام الملفات ب الإضافة إلى معرفة رأس الملف . في المقابل ، يعمل برنامج الأدلة الجنائية المتخصص على تبسيط عملية البحث واستخراج البيانات و لٰكن قد لا يجد كل شيء . A ccessData ، Sleuth kit ، و EnCase ، على سبيل المثال لا الحصر ، هي منتجات البرمجيات المتخصصة في الأدلة الجنائية الرقمية و ذٰلك ب غرض تحليل الصور الموجودة في الذاكرة . نظراً ل عدم وجود أداة لاستخراج جميع المعلومات الممكنة ، يُنصح ب استخدام أداتين أو أكثر للفحص . لا يوجد حالياً ( فبرايرأي حل برنامج ل الحصول على جميع الأدلة من محتويات ذاكرة الفلاش . أنواع الحصول على البيانات يمكن تصنيف استخراج بيانات الأجهزة المحمولة وفقاً للتسلسل ، حيث تصبح الأساليب أكثر تقنية و « سليمة من الناحية الجنائية » ، و تزداد تكلفة الأدوات ، و يستغرق ال تحليل وقتاً أطول ، و يحتاج الفاحصون إلى مزيد من التدريب ، و قد تصبح بعض الأساليب أكثر تغلغلاً . الإستحواذ اليدوي يستخدم الفاحص واجهة المستخدم ل التحقيق في محتوى ذاكرة الهاتف . ل ذٰلك ، يتم استخدام الجهاز كالمعتاد ، حيث يقوم الفاحص بالتقاط صور لمحتويات كل شاشة . تتميز هذه الطريقة ب ميزة أن نظام التشغيل يجعل من غير الضروري استخدام أدوات أو معدات متخصصة ل تحويل البيانات الخام إلى معلومات بشرية قابلة للتفسير . في ال ممارسة العملية يتم تطبيق هذه الطريقة على ال هواتف المحمولة و أجهزة المساعد الرقمي الشخصي وأنظمة الملاحة . العيوب في هذه الطريقة اليدوية هي أن ه لا يمكن استرداد سوى البيانات المرئية ل نظام التشغيل ؛ و أن جميع البيانات متاحة فقط في شكل صور ؛ والعملية ب حد ذات ها تستغرق وقتاً طويلاً . الإستحواذ الافتراضي ( المنطقي ) يتضمن الاستحواذ المنطقي أو مايسمى بـ « الافتراضي » نسخة ب تنسيق كائنات التخزين المنطقي ( مثل الأدلة والملفات ) الموجودة على وحدة التخزين المنطقية ( على سبيل المثال ، قسم نظام الملفات ) . الاكتساب المنطقي لدي ه ميزة أن هياكل بيانات النظام هي أسهل ل أداة لاستخراج و تنظيم الملفات . يس تخرج الإستحواذ المنطقي معلومات من الجهاز ب استخدام واجهة برمجة تطبيقات الشركة المصنعة الأصلية لمزامنة محتويات الهاتف مع جهاز كمبيوتر شخصي . الاستخراج المنطقي أسهل عموماً في العمل لأن ه لا ينتج عن ه فقدان معلومات افتراضية و بيانات كبيرة . و مع ذلك ، سيتمكن فاحص الأدلة الجنائية الماهر من استخراج مزيد من المعلومات من الاستخراج البدني . الإستحواذ على نظام الملفات الاستخراج المنطقي عادة لا ينتج أي معلومات محذوفة ، لأن ه عادةً ما يتم إزالة ه من نظام ملفات الهاتف . و مع ذلك ، في بعض الحالات - خاصةً مع الأنظمة الأساسية المبنية على إس كيو لايت ، مثل iOS وأندرويد - قد يحتفظ الهاتف ب ملف قاعدة بيانات يحتوي على معلومات لا تقوم بالكتابة فوق المعلومات و لٰكن ببساطة تضع علامة علي ها كمحذوفة ومتاحة للكتابة لاحقاً . في مثل هذه الحالات ، إذا كان الجهاز يسمح ب الوصول إلى نظام الملفات من خلال واجهة التزامن الخاصة ب ه ، ف من الممكن ل استعادة المعلومات المحذوفة . يعد استخراج نظام الملفات مفيداً لفهم بنية الملف أو محفوظات استعراض الويب أو استخدام التطبيق ، ب الإضافة إلى تزويد الفاحص الجنائي بالقدرة على إجراء تحليل ب استخدام أدوات الأدلة الجنائية التقليدية لأجهزة الحاسب . الإستحواذ البدني الاستحواذ الفعلي أو البدني يعني نسخة « بت » مقابل مخزن مادي كامل ( مثل ذاكرة الفلاش ) ؛ ل ذٰلك ، ف هي الطريقة الأكثر تشابهاً ل فحص جهاز حاسوبيي شخصي . يتمتع الامتلاك الفعلي ب ميزة السماح ب فحص الملفات المحذوفة ومخلفات البيانات . استخراج المادية يحصل على معلومات من الجهاز عن طريق الوصول المباشر إلى ذكريات فلاش . ب شكل عام ، يصعب تحقيق ذلك لأن الشركة المصنعة للجهاز الأصلي تحتاج إلى تأمين ضد القراءة التعسفية للذاكرة ؛ ل ذٰلك ، قد يتم تأمين جهاز إلى مشغل معين . ل التغلب على هذا الأمان ، غالباً ما يقوم بائعي أدوات التحقيق في الأدلة الجنائية في الأجهزة المحمولة ب تطوير أدوات تحميل التمهيد الخاصة ب هم ، مما يتيح ل أداة الأدلة الجنائية الوصول إلى الذاكرة ( و في كثير من الأحيان أيضاً لتجاوز رموز مرور المستخدم أو أقفال الأنماط ) . ب شكل عام ، يتم تقسيم الاستخراج المادي إلى خطوتين ، مرحلة الإغراق و مرحلة فك التشفير . الإستحواذ على طريقة ( القوة العمياء ) يمكن تنفيذ عملية الحصول والإستحواذ ب استخدام القوة العمياء من خلال أدوات القوة الغاشمة / العمياء لرمز مرور الجهة الخارجية التي ترسل سلسلة من رموز المرور / كلمات المرور إلى الجهاز المحمول . هذه طريقة تستغرق وقتاً طويلاً ، لٰكن ها فعالة مع ذلك . تستخدم هذه التقنية التجربة و الخطإ في محاولة ل إنشاء مجموعة صحيحة من كلمة المرور أو PIN لمصادقة الوصول إلى الجهاز المحمول . على الرغم من أن العملية تستغرق وقتاً كبيراً ، إلا أن ها لا تزال واحدة من أفضل الطرق لتوظيف ها إذا كان اختصاصي الأدلة الجنائية غير قادر على الحصول على رمز المرور . ب فضل البرامج و الأجهزة المتوفرة حالياً ، أصبح من السهل ل الغاية كسر التشفير في ملف كلمة مرور الأجهزة المحمولة ل الحصول على رمز المرور . أصبح اثنان من المصنعام يعملون ب شكل عام منذ إصدار آي فون C ellebrite و GrayShift . و تهدف هذه الشركات المصنعة لوكالات إنفاذ القانون وإدارات الشرطة . تبلغ تكلفة وحدة C ellbrite UFED Ultimate أكثر من 000 دولار أمريكي ، ويتكلف نظام Grashiftsدولار . يتم توصيل أدوات التأثير الغاشمة / القموة العمياء بالجهاز و س تقوم ب إرسال الرموز فعلياً على أجهزة iOS التي تبدأ منإلىبالتسلسل حتى يتم إدخال الرمز الصحيح ب نجاح . ب مجرد نجاح إدخال الرمز ، يتم منح حق الوصول الكامل إلى الجهاز و يمكن أن يبدأ حينئذٍ عمليات استخراج وإستحواذ البيانات . أدوات تتألف التحقيقات المبكرة من ال تحليل اليدوي المباشر للأجهزة المحمولة ؛ مع الممتحنين تصوير أو تدوين مواد مفيدة ل استخدام ها ك دليل . ب دون معدات التصوير الفوتوغرافي الشرعي مثل Fernico ZRT أو EDEC E clipse أو Project - a - P hone ، ف قد كان ل هٰذا عيب في المخاطرة بتعديل محتوى الجهاز ، فضلاً عن ترك العديد من أجزاء نظام التشغيل الاحتكاري غير قابلة ل الوصول . في السنوات الأخيرة ، ظهر عدد من أدوات الأجهزة / البرامج ل استعادة الأدلة المنطقية و المادية من الأجهزة المحمولة . تتكون معظم الأدوات من أجزاء الأجهزة و البرامج . يتضمن الجهاز عدداًً من الكابلات ل توصيل الجهاز المحمول ب جهاز الاستحواذ ؛ البرنامج موجود لاستخراج الأدلة ، و حتى في بعض الأحيان لتحليل ها . في الآونة الأخيرة ، تم تطوير أدوات التحقيق في الأدلة الجنائية للجهاز المحمول ل هٰذا المجال . هذا يأتي من أجل الاستجابة ل كل من طلب الوحدات العسكرية ل الحصول على معلومات استخبارية سريعة و دقيقة ل مكافحة الإرهاب ، و كذٰلك ل مطالب إنفاذ القانون ب قدرات معاينة الأدلة الجنائية في مسرح الجريمة ، أو تنفيذ أمر التفتيش ، أو الظروف الملحة . غالباً ما تكون أدوات الأدلة الجنائية المتنقلة هذه متينة في البيئات القاسية ( مثل ساحة المعركة ) وا المعالجة القاسية ( مثل ا السقوط أو الغمر في الماء ) . ب شكل عام ، نظراً لأن ه ي تعذر على أي أداة واحدة الحصول على جميع الأدلة من جميع الأجهزة المحمولة ، يوصي الاختصاصيون في الأدلة الجنائية المتعلقة في الأجهزة المحمولة ب أن يقوم الفاحصون ب إنشاء مجموعة أدوات كاملة تتكون من مزيج من أدوات الأدلة التجارية المفتوحة المصدر و الدعم الواسع و الأدوات الضيقة للدعم الجنائي ، جنباً إلى جنب مع الملحقات مثل أجهزة شحن البطاريات وأكياس فاراداي أو غير ها من معدات تعطيل الإشارات و ما إلى ذلك . أدوات الأدلة الجنائية التجارية بعض الأدوات الحالية تشمل C ellebrite UFED ، و Oxygen Forensic Detective و Susteen Secure View و Micro Systemation XRY\ . ب الإضافة إلى ذلك ، تم تطوير بعض الأدوات ل معالجة الاستخدام الإجرامي المتزايد لل هواتف المصنعة ب استخدام الشرائح الصينية ، و التي تشمل ميديا تيك ( MTK ) وسبريدترم و MStar\ . هذه الأدوات تشمل C ellebrit e 's CH I NEX و XRY PinPoint\ . أدوات المصدر المفتوح معظم أدوات التحقق من الأدلة الجنائية للجوال تعتبر مفتوحة المصدر خاصة بالمنصة الرقمية ، وتوجه نحو تحليل الهاتف الذكي . على الرغم من أن ه لم يتم تصميم ها في الأصل ل تكون أدوات جنائية بحثية ، إلا أن ه تم استخدام BitPim على نطاق واسع في هواتف C DM A ب الإضافة إلى LG VX4400 / VX6000 والعديد من هواتف Sanyo Sprint . الأدوات المادية أو الملموسة الأدلة الجنائية بـ إزالة اللحام ( desoldering ) يشار إلي ها عموماً على أن ها تقنية " Chip - Off " داخل الصناعة ، و الطريقة الأخيرة والأكثر تدخلاً ل الحصول على صورة ذاكرة هي إزالة شريحة الذاكرة غير المتطايرة وتوصيل ها بقارئ شرائح الذاكرة . تحتوي هذه الطريقة على الخطر المحتمل لل تدمير الكلي للبيانات : من الممكن تدمير ال شريحة ومحتوى ها ب سبب الحرارة المطلوبة أثناء إزالة اللحام . قبل اختراع تقنية B G A ، كان من الممكن إرفاق تحقيقات بدبابيس شريحة الذاكرة و استعادة الذاكرة من خلال هذه التحقيقات . تقيد تقنية B G A الرقائق مباشرة على PCB من خلال كرات اللحام المنصهرة ، ب حيث لم يعد ب الإمكان إرفاق التحقيقات . يتم نزع رقائق الشرائح الإلكترونية ب عناية وب بطء ، ب حيث لا تدمر الحرارة ال شريحة أو البيانات . قبل إزالة الرقاقة ، يتم خبز ثنائي الفينيل متعدد الكلور في فرن ل القضاء على المياه المتبقية . هذا يمنع ما يسمى تأثير الفشار ، حيث الماء الباقي من شأن ه أن يفجر حزمة رقاقة في إزالة اللحام . هناك ثلاث طرق أساسية لإذابة اللحام : الهواء الساخن ، والأشعة تحت الحمراء ، والبخار . تعمل تقنية ضوء الأشعة تحت الحمراء مع شعاع ضوء الأشعة تحت الحمراء المركزة على دائرة متكاملة محددة و تستخدم للرقائق الصغيرة . لا يمكن لطرق الهواء الساخن والبخار التركيز ب قدر تقنية الأشعة تحت الحمراء . رقاقة إعادة التكور بعد إزالة اللصق للرقاقة ، تقوم عملية إعادة التكرير ب تنظيف الرقاقة و إضافة كرات قصدير جديدة إلى ال شريحة . يمكن أن يتم إعادة ال تكرار بطريقتين مختلفتين . الأول هو استخدام الاستنسل ( Stenc il ) . يعتمد الاستنسل على الرقاقة و يجب أن يتلائم تماماً . ثم يتم وضع القصدير على الاستنسل . بعد تبريد القصدير ، تتم إزالة الاستنسل و عند الضرورة ، يتم إجراء خطوة تنظيف ثانية . الطريقة الثانية هي إعادة الليزر . هنا يتم برمجة الاستنسل في وحدة إعادة التزوير . يتم تحميل رأس السندات ( يشبه الأنبوب / الإبرة ) تلقائياً مع كرة قصدير واحدة من خزان عزل كرة اللحام . ثم يتم تسخين الكرة ب واسطة ليزر ، ب حيث تصبح كرة اللحام بالقصدير سائلة و تتدفق على الرقاقة المنظفة . على الفور بعد ذوبان الكرة ، ينطفئ الليزر وتندفع كرة جديدة إلى رأس مايسمى بـ ( bondh ead ) . أثناء إعادة تحميل bondh ead من وحدة re - balling يغير الموضع إلى الدبوس التالي . الطريقة الثالثة تجعل عملية إعادة الكرة ب أكمل ها غير ضرورية . يتم توصيل ال شريحة بمحول ذو نوابض على شكل Y أو دبابيس بوجو ( pogo pins ) محملة بنابض . تحتاج الينابيع على شكل Y إلى وضع كرة على الدبوس ل إقامة اتصال كهربائي ، لكن يمكن استخدام دبابيس البوجو مباشرة على الحشوات و على الرقاقة ب دون الكرات . ميزة الأدلة الجنائية بـ إزالة اللحام هو أن الجهاز لا يحتاج إلى أن يكون وظيفي و أن ه يمكن إجراء نسخة دون أي تغييرات على البيانات الأصلية . العيب هو أن أجهزة إعادة الكرة باهظة الثمن ، ل ذٰلك هذه العملية مكلفة ل الغاية و هناك بعض مخاطر فقدان البيانات الكلي . و ب التالي ، يجب أن يتم إزالة اللحام في الأدلة الجنائية فقط من قبل المختبرات من ذوي الخبرة . مجموعة عمل ال اختبار المشترك ( J TAG ) يتم دمج الواجهات القياسية الحالية لقراءة البيانات في العديد من الأجهزة المحمولة ، على سبيل المثال ، ل الحصول على بيانات الموقع من معدات نظام التموضع العالمي ( MEA ) أو ل الحصول على معلومات التباطؤ من وحدات الوسائد الهوائية . لا توفر جميع الأجهزة المحمولة مثل هذه الواجهة الموحدة و لا توجد واجهة قياسية ل جميع الأجهزة المحمولة ، و لٰكن جميع الشركات المصنعة لدي ها مشكلة واحدة مشتركة . يؤدي تصغير أجزاء الجهاز إلى فتح السؤال حول كيفية اختبار وظائف و جودة المكونات المدمجة الملتحمة تلقائياً . ل هٰذه المشكلة ، قامت مجموعة صناعية ، مجموعة عمل ال اختبار المشترك ( J TAG ) ، ب تطوير تقنية اختبار تسمى فحص الحدود \ . على الرغم من التوحيد القياسي ، هناك أربع مهام قبل استخدام واجهة جهاز J TAG ل استعادة الذاكرة . للعثور على البتات الصحيحة في مسح الحدود ، يجب على المرء أن يعرف أي من دوائر المعالج والذاكرة تُستخدم وكيفية اتصال ها ب نقل النظام . عندما لا يمكن الوصول إلي ها من الخارج ، يجب علي ك العثور على نقاط اختبار واجهة J TAG على لوحة الدوائر المطبوعة و تحديد نقطة ال اختبار التي يتم استخدام ها للإشارة . لا يتم دائماً فتح منفذ J TAG ب واسطة الموصلات ، ب حيث يكون من الضروري أحياناً فتح الجهاز و إعادة لحام منفذ الوصول . يجب أن يكون بروتوكول قراءة الذاكرة معروفاً ، كما يجب تحديد الجهد الصحيح ل منع تلف الدائرة . مسح الحدود تنتج صورة الأدلة الجنائية كاملة من ذاكرة متطايرة وذاكرة مستدامة . و أدى إلى التقليل من مخاطر تغير البيانات و التي ليس لدي ها رقاقة ذاكرة desolder ed\ . يمكن أن يكون توليد الصورة بطيئاً و لا يتم تمكين جميع الأجهزة المحمولة باليد J TAG . أيضاً ، قد يكون من الصعب العثور على منفذ الوصول لل اختبار . أدوات سطر الأوامر أوامر النظام لا توفر الأجهزة المحمولة إمكانية التشغيل أو التمهيد من قرص مضغوط ، أو الاتصال ب مشاركة شبكة أو جهاز آخر بأدوات نظيفة . ل ذٰلك ، يمكن أن تكون أوامر النظام هي الطريقة الوحيدة ل حفظ الذاكرة المتطايرة لجهاز محمول . مع خطر أوامر النظام المعدلة ، يجب تقدير ما إذا كانت الذاكرة المتقلبة مهمة حقاً . تنشأ مشكلة مماثلة عندما لا يتوفر اتصال ب الشبكة و لا يمكن توصيل أي ذاكرة ثانوية ب جهاز محمول لأن ه يجب حفظ صورة الذاكرة المتقلبة على الذاكرة الداخلية غير المتطايرة ، حيث يتم تخزين بيانات المستخدم و يتم حذف البيانات المهمة المحذوفة على الأرجح ، ل ذٰلك يمكن الجزم ب أن العملية أشبه ك أن تكون هذه البيانات على وضع خطير دائماً كون ها بيانات مهمة مفقودة . أوامر النظام هي أرخص وسيلة ، و لٰكن ها تنطوي على بعض مخاطر فقدان البيانات . يجب توثيق كل استخدام للأوامر ب استخدام الخيارات وال إخراج . أوامر آت ( AT ) أوامر آت هي أوامر مودم قديمة ، على سبيل المثال ، مجموعة أوامر Hayes وأوامر آت لهاتف موتورولا ، و ب التالي لا يمكن استخدام ها إلا على جهاز يدعم مودم . ب استخدام هذه الأوامر ، يمكن للمرء الحصول على معلومات فقط من خلال نظام التشغيل ، ب حيث لا يمكن استخراج أي بيانات محذوفة . أواكر دي دي ( dd ) ب النسبة إلى الذاكرة الخارجية ومحرك أقراص فلاش يو إس بي ، هناك حاجة إلى برنامج مناسب ، على سبيل المثال ، الأمر . دي دي ( يونكس ) ، ل عمل نسخة على مستوى « البت » . علاوة على ذلك ، لا تحتاج محركات وحدة الذاكرة الفلاشية المحمولة المزودة بحماية للذاكرة إلى أجهزة خاصة و يمكن توصيل ها ب أي جهاز حاسوبي . تحتوي العديد من محركات أقراص USB وبطاقات الذاكرة على مفتاح قفل للكتابة يمكن استخدام ه ل منع تغييرات البيانات أثناء عمل نسخة . إذا كان محرك الأقراص يو إس بي لا يوجد لدي ه مفتاح الحماية ، و هو مانع يمكن استخدام ها ل تحميل محرك الأقراص في وضع للقراءة فقط أو ، في حالة استثنائية ، ورقاقة ذاكرة يمكن ازالة اللحام . تحتاج بطاقات SIM والذاكرة إلى قارئ بطاقة ل إنشاء النسخة . يتم تحليل وحدة تعريف المشترك ( SIM ) ب شكل سليم ، ب حيث يمكن استرداد ( حذف ) البيانات مثل جهات الاتصال أو الرسائل النصية . يتضمن نظام التشغيل أندرويد الأمر دي دي . في منشور مدونة على تقنيات الأدلة الجنائية ل نظام أندرويد ، يتم عرض طريقة ل صورة حية لجهاز أندرويد ب استخدام الأمر دي دي . الأدوات التجارية الخاصة بالأدلة الجنائية أدوات المتعري ( Flasher ) أداة المتعري هي برمجة الأجهزة و / أو البرامج التي يمكن استخدام ها لبرمجة ( ذاكرة ) ذاكرة الجهاز ، على سبيل المثال ، EEPROM أو ذاكرة الفلاش . تنشأ هذه الأدوات أساساً من الشركة المصنعة أو مراكز الخدمة ل خدمات تصحيح الأخطاء أو إصلاح ها أو ترقيت ها . يمكن هم الكتابة فوق الذاكرة غير المتطايرة ، و يمكن للبعض ، بناءً على الشركة المصنعة أو الجهاز ، قراءة الذاكرة ل عمل نسخة ، كانت في الأصل نسخة احتياطية . يمكن حماية الذاكرة من القراءة ، على سبيل المثال ، من خلال أمر البرنامج أو تدمير الصمامات في دائرة القراءة . لاحظ أن هذا لن يمنع الكتابة أو استخدام الذاكرة داخلياً ب واسطة وحدة ا المعالجة المركزية . أدوات ال توصيل هي تعتبر سهلة الاستخدام وال إتقان ، و لٰكن يمكن ل بعض ها تغيير البيانات و الحصول على خيارات خطيرة أخرى أو عدم عمل نسخة كاملة . الخلافات ب شكل عام ، لا يوجد معيار ل ما يشكل جهازاً مدعوماً في منتج معين . و قد أدى ذلك إلى الموقف الذي يحدد في ه بائعون مختلفون جهازاً مدعوماً ب شكل مختلف . مثل هذا الموقف يجعل من الصعب مقارنة المنتجات بناءً على قوائم الأجهزة المدعومة المقدمة من البائع . على سبيل المثال ، قد يتم سرد أي جهاز يقوم في ه الاستخراج المنطقي ب استخدام منتج واحد فقط بقائمة بالمكالمات التي يتم إجراء ها ب واسطة الجهاز على أن ه مدعوم من ذلك البائع بينما يمكن لمورد آخر إنتاج مزيد من المعلومات . علاوة على ذلك ، تس تخرج المنتجات المختلفة كميات مختلفة من المعلومات من أجهزة مختلفة . هذا يؤدي إلى مشهد معقد ل الغاية عند محاولة نظرة عامة على المنتجات . ب شكل عام ، يؤدي هذا إلى موقف حيث يوصى ب شدة ب اختبار المنتج ب شكل مكثف قبل الشراء . من الشائع استخدام منتجين على الأقل يكمل كل من هما الآخر . تقنيات الهاتف المحمول تتطور بوتيرة سريعة . و مع ذلك ، يبدو أن علوم الأدلة الجنائية الرقمية المتعلقة ب الأجهزة المحمولة في وضع ثابت أو قد تتطور ب بطء . حتى يتسنى للعلم الجنائي الرقمي لل هواتف المحمولة اللحاق بدورات إطلاق ال هواتف المحمولة ، يجب تطوير إطار عمل أكثر شمولاً و عمقا ل تقييم مجموعات أدوات الأدلة الجنائية المتنقلة و إتاحة البيانات المتعلقة ب الأدوات و التقنيات المناسبة ل كل نوع من أنواع الهاتف في الوقت المناسب . مكافحة الأدلة الجنائية الأدلة الجنائية المناهضة للحاسب هي أكثر صعوبة ب سبب صغر حجم الأجهزة و إمكانية وصول المستخدم المقيدة إلى البيانات . و مع ذلك ، هناك تطورات ل تأمين الذاكرة في الأجهزة مع دوائر الأمن في وحدة ا المعالجة المركزية ورقاقة الذاكرة ، ب حيث لا يمكن قراءة رقاقة الذاكرة حتى بعد إزالة اللحام . إنظر أيضاً List_of_digital_forensics_to ols الدفاع عن حصان طروادة المراجع روابط خارجية مؤتمر « عالم الأدلة الجنائية الخاصة بالمحمول » الطب الشرعي Chip - Off ( forensicwiki.org ) الطب الشرعي J TAG ( forensicwiki.org ) دراسات حالة الطب الشرعي ل الهاتف المحمول ( QCC Global Ltd ) الحاسب المحمول تدقيق نظم المعلومات علوم جنائية رقمية