Как можно разблокировать Apple iPhone без ключа, "theverge"

[Berrydax]

ФБР подало ходатайство о переносе слушаний по делу iPhone в Сан-Бернардино во вторник, утверждая, что "внешняя сторона" может помочь ему взломать телефон без помощи Apple. Ходатайство поступило после нескольких недель эскалации напряженности в деле, когда Apple, ФБР и другие заинтересованные стороны публично обсуждали дело до того, как оно дошло до суда. Неясно, кто помогает ФБР или что влечет за собой новый метод, но, возможно, он исходит не от АНБ, несмотря на предположения о том, что у разведывательного управления есть такая возможность в рукаве; сегодняшняя заявка предполагает, что помощь поступает "извне правительства США".
"Поскольку ФБР продолжало проводить собственное исследование, и в результате всемирной огласки и внимания к этому делу другие лица за пределами правительства США продолжали связываться с правительством США, предлагая пути возможного исследования", - говорится в заявлении.
ФБР смогло разблокировать Apple iPhone без ключа шифрования когда оставалась только 1 попытка дял введения PIN кода до уничтожения всех данных на телефоне: сделали 10000 виртуальных дубликатов точных данных равных числу возможных комбинаций (PIN-код - это 4-значное число) и изолировано друг от друга, пользуясь облачным сервисом ввели 10 000 раз PIN код для активации аппаратных функций.
Вот мое предположение разблокировки iPhone 5c:
телефон стрелоа из Сан-Бернардино Сайеда Фарука был у правительства
можно попробовать всего 10 000 возможных комбинаций (PIN-код - это 4-значное число)
потребуется около 7 месяцев, чтобы попробовать все комбинации (из-за запрограммированных задержек), если на телефоне не включена опция “удалить все содержимое после 10 неудачных попыток”
мы должны предположить, что эта функция включена
содержимое хранится на устройстве только в 0 и 1 битах
их можно прочитать, не изменяя их (неинвазивный и неразрушающий)
таким образом, можно создать дубликат точных данных
аппаратное обеспечение имеет встроенный уникальный идентификатор, эта часть должна быть изолирована таким образом, чтобы все дубликаты устройств могли взаимодействовать с ней
вероятно, нам следует предположить, что неправильный PIN-код уже пытались ввести (несколько) раз
максимум - в 9 случаях из 10, поэтому, если мы допустим ошибку в сторону осторожности, потребуется сделать 10000 дубликатов устройств
стоимость оборудования значительна (розничная цена составляет около 650 долларов США).
однако аппаратное обеспечение может быть виртуализировано
это сводит стоимость дублирования к нулю, но обратный инжиниринг довольно дорогостоящий
но как только это будет сделано, правительство сможет “разблокировать” все устройства того же типа, просто дублируя все биты в виртуальной модели

"Криминалистика мобильных устройств - это раздел цифровой криминалистики, который занимается сбором и анализом данных с мобильных устройств или аналогичных электронных устройств, таких как планшеты, персональные цифровые устройства или устройства GPS для дальнейшего расследования. Криминалистика мобильных устройств - это раздел цифровой криминалистики, связанный с восстановлением цифровых доказательств или данных с мобильного устройства в криминалистически обоснованных условиях. Словосочетание "Мобильное устройство" обычно относится к мобильным телефонам; однако оно также может относиться к любому цифровому устройству, имеющему как внутреннюю память, так и возможности связи, включая устройства PDA, устройства GPS и планшетные компьютеры.

Некоторые мобильные компании пытались копировать модели телефонов, что незаконно. Итак, мы видим, что каждый год появляется так много новых моделей, что является шагом вперед для следующих поколений. Процесс клонирования мобильных телефонов / устройств в криминалистике был широко признан в течение нескольких лет, но криминалистическое изучение мобильных устройств является относительно новой областью, относящейся к концу 1990-х и началу 2000-х годов. Распространение телефонов (особенно смартфонов) и других цифровых устройств на потребительском рынке вызвало спрос на судебную экспертизу устройств, который не мог быть удовлетворен существующими методами компьютерной криминалистики.[1]

Мобильные устройства можно использовать для сохранения нескольких типов личной информации, такой как контакты, фотографии, календари и заметки, SMS и MMS сообщения. Смартфоны могут дополнительно содержать видео, электронную почту, информацию о просмотре веб-страниц, информацию о местоположении, а также сообщения и контакты в социальных сетях.

Потребность в мобильной судебной экспертизе растет по нескольким причинам, и некоторые из основных причин таковы:

Использование мобильных телефонов для хранения и передачи личной и корпоративной информации
Использование мобильных телефонов в онлайн-транзакциях
Правоохранительные органы, преступники и мобильные телефонные устройства[2]
Экспертиза мобильных устройств может быть особенно сложной на нескольких уровнях:[3]

Существуют проблемы с доказательствами и техническими данными. Например, анализ местоположения сотовой связи, основанный на использовании данных об использовании мобильного телефона, не является точной наукой. Следовательно, хотя можно приблизительно определить зону сотового узла, из которой был сделан или принят звонок, пока невозможно с какой-либо степенью уверенности сказать, что звонок с мобильного телефона был сделан из определенного местоположения, например, по адресу проживания.

Чтобы оставаться конкурентоспособными, производители оригинального оборудования часто меняют форм-факторы мобильных телефонов, файловые структуры операционной системы, хранилища данных, сервисы, периферийные устройства и даже контактные разъемы и кабели. В результате судебно-медицинские эксперты должны использовать другой судебно-медицинский процесс по сравнению с компьютерной экспертизой.
Объем памяти продолжает расти благодаря спросу на более мощные устройства типа "мини-компьютер".[4]
Постоянно меняются не только типы данных, но и способы использования мобильных устройств.
Поведение в режиме гибернации, при котором процессы приостанавливаются, когда устройство выключено или находится в режиме ожидания, но в то же время остается активным.[2]
В результате этих проблем существует большое разнообразие инструментов для извлечения доказательств с мобильных устройств; ни один инструмент или метод не может получить все доказательства со всех устройств. Поэтому судебным экспертам, особенно тем, кто желает квалифицироваться в качестве свидетелей-экспертов в суде, рекомендуется пройти обширную подготовку, чтобы понять, как каждый инструмент и метод добывает доказательства; как он поддерживает стандарты судебно-медицинской обоснованности; и как он соответствует требованиям законодательства, таким как стандарт Дауберта или стандарт Фрая.

История
Судебная экспертиза мобильных устройств как область исследований возникла в конце 1990-х - начале 2000-х годов. Роль мобильных телефонов в преступности давно была признана правоохранительными органами. С ростом доступности таких устройств на потребительском рынке и более широким набором коммуникационных платформ, которые они поддерживают (например, электронная почта, просмотр веб-страниц), спрос на судебную экспертизу вырос.[1]

В ранних попытках исследовать мобильные устройства использовались методы, аналогичные первым компьютерным криминалистическим исследованиям: анализ содержимого телефона непосредственно через экран и фотографирование важного содержимого.[1] Однако этот процесс оказался трудоемким, и по мере того, как количество мобильных устройств начало увеличиваться, следователи обратились к более эффективным средствам извлечения данных. Предприимчивые мобильные судебные эксперты иногда использовали программное обеспечение для синхронизации мобильных телефонов или КПК для "резервного копирования" данных устройства на компьютер судебной экспертизы для получения изображений, а иногда просто проводили компьютерную экспертизу на жестком диске подозрительного компьютера, где данные были синхронизированы. Однако этот тип программного обеспечения мог выполнять запись на телефон так же хорошо, как и считывать его, и не мог восстановить удаленные данные.[5]

Некоторые судебные эксперты обнаружили, что они могут восстановить даже удаленные данные, используя "мигалки" или "твистеры" - инструменты, разработанные производителями оборудования для "прошивки" памяти телефона для отладки или обновления. Однако мигалки являются инвазивными и могут изменять данные; могут быть сложными в использовании; и, поскольку они разработаны не как инструменты судебной экспертизы, не выполняют ни проверки хэша, ни (в большинстве случаев) контрольные журналы.[6] Следовательно, для физических судебных экспертиз по-прежнему необходимы лучшие альтернативы.

Для удовлетворения этих требований появились коммерческие инструменты, которые позволяли экспертам восстанавливать память телефона с минимальными сбоями и анализировать ее отдельно.[1] Со временем эти коммерческие методы получили дальнейшее развитие, и восстановление удаленных данных с проприетарных мобильных устройств стало возможным с помощью некоторых специализированных инструментов. Более того, коммерческие инструменты даже автоматизировали большую часть процесса извлечения, сделав возможным выполнение базовых операций извлечения для сортировки и предварительного просмотра данных даже для минимально подготовленных служб экстренного реагирования, которые в настоящее время гораздо чаще сталкиваются с подозреваемыми с мобильными устройствами, чем с компьютерами.

Профессиональные приложения
Криминалистика мобильных устройств наиболее известна своим применением в расследованиях правоохранительных органов, но она также полезна для военной разведки, корпоративных расследований, частных расследований, уголовной и гражданской обороны, а также для электронного обнаружения.

Типы доказательств
По мере развития технологий мобильных устройств количество и типы данных, которые можно найти на мобильном устройстве, постоянно увеличиваются. Доказательства, которые потенциально могут быть извлечены из мобильного телефона, могут поступать из нескольких различных источников, включая память телефона, SIM-карту и подключенные карты памяти, такие как SD-карты.

Традиционно экспертиза мобильных телефонов была связана с восстановлением сообщений SMS и MMS, а также журналов вызовов, списков контактов и информации о IMEI /ESN телефона. Однако новые поколения смартфонов также содержат более широкий спектр информации; от просмотра веб-страниц, настроек беспроводной сети, информации о геолокации (включая геотеги, содержащиеся в метаданных изображений), электронной почты и других форм мультимедийных ресурсов Интернета, включая важные данные, такие как сообщения в социальных сетях и контакты, которые теперь сохраняются в "приложениях" смартфона.[7]

Внутренняя память
В настоящее время в мобильных устройствах используется в основном флэш-память, состоящая из типов NAND или NOR.[8]

Внешняя память
Внешними устройствами памяти являются SIM-карты, SD-карты (обычно используемые в устройствах GPS, а также в мобильных телефонах), карты MMC, карты CF-карты и Memory Stick.

Журналы поставщиков услуг
Хотя технически это и не является частью экспертизы мобильных устройств, подробные записи звонков (а иногда и текстовые сообщения) от операторов беспроводной связи часто служат "резервными" доказательствами, полученными после изъятия мобильного телефона. Они полезны, когда история звонков и / или текстовые сообщения были удалены с телефона или когда не включены службы определения местоположения. Подробные записи о звонках и дампы сайта сотовой связи (вышки) могут показать местоположение владельца телефона, а также были ли они стационарными или движущимися (то есть отражался ли сигнал телефона от одной и той же стороны одной вышки или от разных сторон нескольких вышек на определенном пути перемещения).[9] Данные носителя и данные устройства вместе могут быть использованы для подтверждения информации из других источников, например, записей видеонаблюдения или свидетельств очевидцев; или для определения общего местоположения, где было снято изображение или видео без геотегов.

Европейский союз требует, чтобы его страны-члены сохраняли определенные телекоммуникационные данные для использования в расследованиях. Сюда входят данные о совершенных и полученных звонках. Местоположение мобильного телефона может быть определено, и эти географические данные также должны быть сохранены. Однако в Соединенных Штатах такого требования не существует, и никакие стандарты не регулируют, как долго операторы должны хранить данные или даже что они должны сохранять. Например, текстовые сообщения могут сохраняться только в течение недели или двух, в то время как журналы вызовов могут храниться от нескольких недель до нескольких месяцев. Чтобы снизить риск потери улик, сотрудники правоохранительных органов должны отправить перевозчику письмо о сохранении, которое затем они должны подкрепить ордером на обыск.[9]

Судебный процесс
Основная статья: цифровой судебный процесс
Процесс судебной экспертизы мобильных устройств в целом соответствует другим разделам цифровой судебной экспертизы; однако существуют некоторые особые проблемы. В целом процесс можно разбить на три основные категории: изъятие, приобретение и экспертиза / анализ. Другие аспекты процесса компьютерной экспертизы, такие как прием, проверка, документирование / отчетность и архивирование, по-прежнему применяются.[3]

Изъятие
Изъятие мобильных устройств регулируется теми же правовыми соображениями, что и других цифровых носителей. Мобильные телефоны часто извлекаются включенными; поскольку целью изъятия является сохранение улик, устройство часто перевозят в том же состоянии, чтобы избежать отключения, которое привело бы к изменению файлов.[10] Кроме того, следователь или лицо, оказывающее первую помощь, рискует активировать блокировку пользователя.

Однако оставление телефона включенным сопряжено с другим риском: устройство все еще может установить сетевое / сотовое соединение. Это может привести к появлению новых данных, перезаписывающих улики. Чтобы предотвратить подключение, мобильные устройства часто транспортируют и исследуют изнутри клетки Фарадея (или сумки). Несмотря на это, у этого метода есть два недостатка. Во-первых, большинство сумок делают устройство непригодным для использования, поскольку его сенсорный экран или клавиатура не могут быть использованы. Однако могут быть приобретены специальные клетки, позволяющие использовать устройство с прозрачным стеклом и специальными перчатками. Преимуществом этой опции является возможность подключения к другому судебно-медицинскому оборудованию при блокировке сетевого подключения, а также зарядки устройства. Если эта опция недоступна, рекомендуется изолировать устройство от сети, переведя его в режим полета или клонировав его SIM-карту (метод, который также может быть полезен, когда в устройстве полностью отсутствует SIM-карта).[3]

Следует отметить, что, хотя этот метод может предотвратить запуск удаленной очистки (или несанкционированного доступа) устройства, он ничего не делает против локального коммутатора мертвеца.

Приобретение

iPhone в чехле RF shield

RTL Aceso, устройство сбора данных о мобильных устройствах
Вторым этапом процесса криминалистики является получение, в данном случае обычно имеется в виду извлечение материала с устройства (по сравнению с битовой копией изображений, используемой в компьютерной криминалистике).[10]

Из-за частной природы мобильных телефонов часто невозможно получить данные при выключенном питании; большая часть сбора данных с мобильных устройств выполняется в режиме реального времени. В более продвинутых смартфонах, использующих расширенное управление памятью, подключение к зарядному устройству и помещение в ячейку Фарадея может оказаться не очень хорошей практикой. Мобильное устройство распознало бы отключение от сети и, следовательно, изменило бы информацию о своем статусе, что может заставить диспетчер памяти записать данные.[11]

Большинство инструментов сбора данных для мобильных устройств являются коммерческими по своей природе и состоят из аппаратного и программного компонентов, часто автоматизированных.

Экспертиза и анализ
Поскольку все большее число мобильных устройств используют файловые системы высокого уровня, аналогичные файловым системам компьютеров, методы и инструменты могут быть переняты из криминалистики жестких дисков или требуют лишь незначительных изменений.[12]

Файловая система FAT обычно используется в памяти NAND.[13] Разница заключается в используемом размере блока, который превышает 512 байт для жестких дисков и зависит от используемого типа памяти, например, типа NOR 64, 128, 256 и памяти NAND 16, 128, 256 или 512 килобайт.

Различные программные средства могут извлекать данные из образа памяти. Для поиска характеристик заголовков файлов можно использовать специализированные и автоматизированные программные продукты судебной экспертизы или универсальные средства просмотра файлов, такие как любой шестнадцатеричный редактор. Преимущество шестнадцатеричного редактора заключается в более глубоком понимании управления памятью, но работа с шестнадцатеричным редактором требует много ручной работы и знаний файловой системы, а также заголовков файлов. Напротив, специализированное программное обеспечение для судебной экспертизы упрощает поиск и извлекает данные, но может найти не все. AccessData, Sleuthkit, ESI Analyst и EnCase, и это лишь некоторые из них, являются судебными программными продуктами для анализа образов памяти.[14] Поскольку не существует инструмента, который извлекал бы всю возможную информацию, рекомендуется использовать два или более инструментов для экспертизы. В настоящее время (февраль 2010) не существует программного решения для получения всех доказательств из флэш-памяти.[8]

Типы сбора данных
Извлечение данных с мобильных устройств можно классифицировать в соответствии с континуумом, в рамках которого методы становятся более техническими и “судебно обоснованными”, инструменты становятся более дорогими, анализ занимает больше времени, экспертам требуется дополнительная подготовка, а некоторые методы могут даже стать более инвазивными.[15]

Сбор данных вручную
Эксперт использует пользовательский интерфейс для изучения содержимого памяти телефона. Таким образом, устройство используется в обычном режиме, при этом эксперт делает снимки содержимого каждого экрана. Преимущество этого метода в том, что операционная система избавляет от необходимости использовать специализированные инструменты или оборудование для преобразования необработанных данных в интерпретируемую человеком информацию. На практике этот метод применяется к сотовым телефонам, КПК и навигационным системам.[16] Недостатки заключаются в том, что могут быть восстановлены только данные, видимые операционной системе; что все данные доступны только в виде изображений; и сам процесс отнимает много времени.

Логическое приобретение
Логическое получение подразумевает побитовое копирование объектов логического хранилища (например, каталогов и файлов), которые находятся в логическом хранилище (например, разделе файловой системы). Преимущество логического сбора данных заключается в том, что инструменту проще извлекать и упорядочивать системные структуры данных. Логическое извлечение извлекает информацию из устройства, используя интерфейс прикладного программирования производителя оригинального оборудования для синхронизации содержимого телефона с персональным компьютером. С логическим извлечением, как правило, легче работать, поскольку при этом не образуется большой двоичный двоичный объект. Однако квалифицированный судебный эксперт сможет извлечь гораздо больше информации из физического извлечения.

Сбор данных о файловой системе
Логическое извлечение обычно не приводит к получению какой-либо удаленной информации, поскольку обычно она удаляется из файловой системы телефона. Однако в некоторых случаях — особенно на платформах, построенных на SQLite, таких как iOS и Android, — в телефоне может храниться файл информации в базе данных, который не перезаписывает информацию, а просто помечает ее как удаленную и доступную для последующей перезаписи. В таких случаях, если устройство разрешает доступ к файловой системе через свой интерфейс синхронизации, возможно восстановить удаленную информацию. Извлечение файловой системы полезно для понимания файловой структуры, истории посещенных веб-страниц или использования приложений, а также для предоставления эксперту возможности выполнить анализ с помощью традиционных компьютерных криминалистических инструментов.[17]

Физическое приобретение
Физическое изъятие подразумевает побитовое копирование всего физического хранилища (например, флэш-памяти); следовательно, этот метод наиболее похож на исследование персонального компьютера. Преимущество физического извлечения состоит в том, что оно позволяет исследовать удаленные файлы и остатки данных. При физическом извлечении информация с устройства извлекается путем прямого доступа к флэш-памяти.

Как правило, этого сложнее достичь, поскольку производителю оригинального оборудования устройства необходимо обеспечить защиту от произвольного считывания памяти; следовательно, устройство может быть привязано к определенному оператору. Чтобы обойти эту систему безопасности, производители инструментов мобильной криминалистики часто разрабатывают свои собственные загрузчики, позволяющие инструменту криминалистики получать доступ к памяти (и часто также обходить пользовательские коды доступа или блокировки шаблонов).[18]

Обычно физическое извлечение разбивается на два этапа: фазу сброса и фазу декодирования.

Применение грубой силы
Сбор данных методом перебора может выполняться сторонними инструментами перебора паролей, которые отправляют серию паролей на мобильное устройство.[19] Этот метод отнимает много времени, но, тем не менее, эффективен.[20] Этот метод использует метод проб и ошибок в попытке создать правильную комбинацию пароля или PIN-кода для аутентификации доступа к мобильному устройству. Несмотря на то, что этот процесс занимает много времени, он по-прежнему остается одним из лучших методов, которые можно использовать, если специалист-криминалист не может получить код доступа. С современным программным и аппаратным обеспечением стало довольно легко взломать шифрование файла паролей мобильного устройства, чтобы получить код доступа.[21] С момента выпуска iPhone5 стали известны два производителя,[22] Cellebrite и GrayShift. Эти производители предназначены для правоохранительных органов и полицейских управлений. Устройство Cellebrite UFED Ultimate[23] стоит более 40 000 долларов США, а система Grayshifts - 15 000 долларов США.[24] Инструменты перебора подключены к устройству и будут последовательно отправлять коды на устройства iOS, начиная с 0000 до 9999, пока не будет успешно введен правильный код. После успешного ввода кода предоставляется полный доступ к устройству и может начаться извлечение данных.

Инструменты
Основная статья: Список инструментов цифровой криминалистики § Криминалистика мобильных устройств
Ранние расследования состояли из оперативного ручного анализа мобильных устройств; эксперты фотографировали или записывали полезный материал для использования в качестве доказательства. Без оборудования для судебной фотосъемки, такого как Fernico ZRT, EDEC Eclipse или Project-a-Phone, это имело тот недостаток, что приводило к риску модификации содержимого устройства, а также делало недоступными многие части фирменной операционной системы.

В последние годы появился ряд аппаратных / программных средств для извлечения логических и физических доказательств с мобильных устройств. Большинство инструментов состоят как из аппаратной, так и из программной частей. Аппаратное обеспечение включает в себя несколько кабелей для подключения мобильного устройства к машине сбора данных; программное обеспечение существует для извлечения улик и, иногда, даже для их анализа.

Совсем недавно для этой области были разработаны инструменты судебной экспертизы мобильных устройств. Это делается в ответ как на спрос воинских частей на быструю и точную информацию о борьбе с терроризмом, так и на спрос правоохранительных органов на возможности предварительного просмотра на месте преступления, при исполнении ордера на обыск или при чрезвычайных обстоятельствах. Такие мобильные криминалистические инструменты часто усилены для работы в суровых условиях (например, на поле боя) и при грубом обращении (например, при падении или погружении в воду).[25]

Как правило, поскольку какой-либо один инструмент не может собрать все улики со всех мобильных устройств, специалисты по мобильной криминалистике рекомендуют экспертам создавать целые наборы инструментов, состоящие из сочетания коммерческих криминалистических инструментов с открытым исходным кодом, широкой поддержкой и узкой поддержкой, а также аксессуаров, таких как зарядные устройства, сумки Фарадея или другое оборудование для подавления сигналов и так далее.[26]

Коммерческие инструменты судебной экспертизы
Некоторые текущие инструменты включают Belkasoft Evidence Center, Cellebrite UFED, Oxygen Forensic Detective, Elcomsoft Mobile Forensic Bundle, Susteen Secure View, MOBILedit Forensic Express и микросистему XRY.

Кроме того, были разработаны некоторые инструменты для решения проблемы растущего криминального использования телефонов, изготовленных на китайских чипсетах, к которым относятся MediaTek (MTK), Spreadtrum и MStar. К таким инструментам относятся CHINEX от Cellebrite и XRY PinPoint.

Открытый исходный код
Большинство инструментов мобильной криминалистики с открытым исходным кодом зависят от платформы и ориентированы на анализ смартфонов. BitPim изначально не предназначался для судебной экспертизы, но широко использовался на телефонах CDMA, а также LG VX4400 / VX6000 и многих сотовых телефонах Sanyo Sprint.[27]

Физические инструменты
Судебная распайка
Обычно называемый в отрасли методом "отсоединения", последний и наиболее навязчивый метод получения изображения памяти - это отсоединение микросхемы энергонезависимой памяти и подключение ее к считывателю микросхем памяти. Этот метод содержит потенциальную опасность полного уничтожения данных: возможно разрушение чипа и его содержимого из-за нагрева, необходимого при распайке. До изобретения технологии BGA можно было присоединять зонды к выводам микросхемы памяти и восстанавливать память с помощью этих зондов. Технология BGA прикрепляет микросхемы непосредственно к печатной плате с помощью расплавленных шариков припоя, так что прикрепить зонды больше невозможно.

Компонент массива с шаровой сеткой, отображающий "эффект попкорна"
Здесь вы можете видеть, что влага на печатной плате превратилась в пар, когда ее подвергли сильному нагреванию. Это создает так называемый "эффект попкорна".
Распайка микросхем производится осторожно и медленно, чтобы тепло не повредило микросхему или данные. Перед распайкой микросхемы печатную плату запекают в духовке, чтобы удалить оставшуюся воду. Это предотвращает так называемый эффект попкорна, при котором оставшаяся вода разнесла бы упаковку микросхем при распайке.

В основном существует три метода расплавления припоя: горячим воздухом, инфракрасным излучением и паровой фазировкой. Технология инфракрасного излучения работает с сфокусированным инфракрасным лучом света на определенной интегральной схеме и используется для изготовления небольших микросхем. Методы горячего воздуха и пара не могут фокусироваться так сильно, как инфракрасный метод.

Переупаковка чипов
После распайки микросхемы процесс повторного скатывания очищает микросхему и добавляет в нее новые оловянные шарики. Повторное скатывание может быть выполнено двумя различными способами.

Во-первых, необходимо использовать трафарет. Трафарет зависит от микросхемы и должен точно подходить. Затем на трафарет наносится оловянный припой. После охлаждения формы трафарет удаляется и, при необходимости, выполняется второй этап очистки.
Второй метод - лазерное скатывание.[28][29] Здесь трафарет программируется в устройство для скатывания. Соединительная головка (выглядит как трубка / игла) автоматически загружается одним оловянным шариком из резервуара для разделения шариков припоя. Затем шарик нагревается лазером, так что шарик с оловянным припоем становится жидким и стекает на очищенный чип. Сразу после расплавления шарика лазер выключается, и новый шарик попадает в соединительную головку. Во время перезарядки соединительная головка устройства для повторного скручивания меняет положение на следующий штифт.
Третий метод делает ненужным весь процесс перекручивания. Микросхема подключается к адаптеру с помощью Y-образных пружин или подпружиненных pogo-штифтов. Y-образные пружины должны иметь шарик на штыре для установления электрического соединения, но штыри pogo можно использовать непосредственно на подушечках чипа без шариков.[11][12]

Преимущество судебной распайки заключается в том, что устройство не обязательно должно быть функциональным и что может быть сделана копия без каких-либо изменений исходных данных. Недостатком является то, что устройства для повторного сбора данных дороги, поэтому этот процесс очень затратный и существует некоторый риск полной потери данных. Следовательно, судебная распайка должна выполняться только опытными лабораториями.[13]

JTAG
Существующие стандартизированные интерфейсы для считывания данных встроены в несколько мобильных устройств, например, для получения данных о местоположении от оборудования GPS (NMEA) или для получения информации о замедлении от блоков подушек безопасности.[16]

Не все мобильные устройства предоставляют такой стандартизированный интерфейс, и не существует стандартного интерфейса для всех мобильных устройств, но у всех производителей есть одна общая проблема. Миниатюризация деталей устройств ставит вопрос о том, как автоматически проверять функциональность и качество спаянных интегрированных компонентов. Для решения этой проблемы отраслевая группа, Joint Test Action Group (JTAG), разработала технологию тестирования под названием пограничное сканирование.

Несмотря на стандартизацию, существует четыре задачи, прежде чем интерфейс устройства JTAG можно будет использовать для восстановления памяти. Чтобы найти правильные биты в регистре граничного сканирования, необходимо знать, какие схемы процессора и памяти используются и как они подключены к системной шине. Когда доступ извне недоступен, необходимо найти контрольные точки интерфейса JTAG на печатной плате и определить, какая контрольная точка используется для какого сигнала. Порт JTAG не всегда припаян к разъемам, так что иногда бывает необходимо вскрыть устройство и перепаять порт доступа.[12] Должен быть известен протокол считывания памяти и, наконец, необходимо определить правильное напряжение, чтобы предотвратить повреждение цепи.[11]

Сканирование границ позволяет получить полное криминалистическое изображение энергозависимой и энергонезависимой памяти. Риск изменения данных сведен к минимуму, а чип памяти не нужно демонтировать. Генерация изображения может быть медленной, и не на всех мобильных устройствах включен JTAG. Кроме того, может быть трудно найти порт тестового доступа.[13]

Инструменты командной строки
Системные команды
Мобильные устройства не предоставляют возможности запуска или загрузки с компакт-диска, подключения к сетевому ресурсу или другому устройству с помощью clean tools. Следовательно, системные команды могут быть единственным способом сохранить энергозависимую память мобильного устройства. Учитывая риск изменения системных команд, необходимо оценить, действительно ли энергозависимая память важна. Аналогичная проблема возникает, когда недоступно сетевое подключение и к мобильному устройству нельзя подключить дополнительную память, поскольку изображение энергозависимой памяти должно быть сохранено во внутренней энергонезависимой памяти, где хранятся пользовательские данные, и, скорее всего, удаленные важные данные будут потеряны. Системные команды являются самым дешевым методом, но сопряжены с некоторым риском потери данных. Каждое использование команды с параметрами и выводом должно быть задокументировано.

Команды AT
AT-команды - это старые модемные команды, например, набор команд Хейса и AT-команды телефона Motorola, и поэтому их можно использовать только на устройстве, поддерживающем модем. Используя эти команды, можно получить информацию только через операционную систему, так что никакие удаленные данные не могут быть извлечены.[11]

dd
Для создания копии на уровне битов для внешней памяти и флэш-накопителя USB необходимо соответствующее программное обеспечение, например, команда Unix dd. Кроме того, флэш-накопители USB с защитой памяти не требуют специального оборудования и могут быть подключены к любому компьютеру. Многие USB-накопители и карты памяти оснащены переключателем блокировки записи, который можно использовать для предотвращения изменения данных при копировании.

Если на USB-накопителе нет защитного переключателя, для подключения накопителя в режиме только для чтения можно использовать блокировщик или, в исключительном случае, демонтировать микросхему памяти. Для копирования SIM-карты и карт памяти требуется кард-ридер.[30] SIM-карта тщательно проанализирована, так что возможно восстановить (удаленные) данные, такие как контакты или текстовые сообщения.[11]

Операционная система Android включает команду dd. В сообщении в блоге, посвященном методам криминалистики Android, демонстрируется метод создания живого изображения устройства Android с помощью команды dd.[31]

Коммерческие инструменты, не относящиеся к судебной экспертизе
Инструменты для обнаружения мигалок
Инструмент прошивки - это программирующее оборудование и / или программное обеспечение, которое может использоваться для программирования (прошивки) памяти устройства, например, EEPROM или флэш-памяти. Эти инструменты в основном поставляются производителем или сервисными центрами для отладки, ремонта или обновления. Они могут перезаписывать энергонезависимую память, а некоторые, в зависимости от производителя или устройства, могут также считывать память для создания копии, изначально предназначенной в качестве резервной. Память может быть защищена от считывания, например, программной командой или разрушением предохранителей в цепи считывания.[32]

Обратите внимание, это не помешало бы процессору записывать или использовать память внутри устройства. Инструменты flasher просты в подключении и использовании, но некоторые из них могут изменять данные и иметь другие опасные опции или не создают полную копию.[12]

Противоречия
В целом не существует стандарта для определения того, что представляет собой поддерживаемое устройство в конкретном продукте. Это привело к ситуации, когда разные производители по-разному определяют поддерживаемое устройство. В подобной ситуации значительно усложняется сравнение продуктов на основе предоставленных поставщиком списков поддерживаемых устройств. Например, устройство, на котором логическое извлечение с использованием одного продукта выдает только список вызовов, выполненных устройством, может быть указано как поддерживаемое этим поставщиком, в то время как другой поставщик может предоставить гораздо больше информации.

Кроме того, разные продукты извлекают разное количество информации с разных устройств. Это приводит к очень сложной ситуации при попытке обзора продуктов. В целом это приводит к ситуации, когда настоятельно рекомендуется провести тщательное тестирование продукта перед покупкой. Довольно часто используется по крайней мере два продукта, которые дополняют друг друга.

Технология мобильных телефонов развивается быстрыми темпами. Цифровая судебная экспертиза, связанная с мобильными устройствами, похоже, стоит на месте или развивается медленно. Для того, чтобы судебная экспертиза мобильных телефонов соответствовала циклам выпуска мобильных телефонов, необходимо разработать более всеобъемлющую и углубленную структуру оценки наборов инструментов мобильной судебной экспертизы и своевременно предоставлять данные о соответствующих инструментах и методах для каждого типа телефонов.[33]

Анти-криминалистика
Антикомпьютерная криминалистика сложнее из-за небольшого размера устройств и ограниченного доступа пользователя к данным.[13] Тем не менее, существуют разработки для защиты памяти в аппаратном обеспечении с помощью защитных схем в процессоре и микросхеме памяти, так что микросхема памяти не может быть считана даже после распайки