針對(duì)智能手機(jī)應(yīng)用程序的取證技術(shù)芻議

代禮維 李?yuàn)W

【 摘 要 】 隨著科技的進(jìn)步和發(fā)展，我國智能手機(jī)的發(fā)展進(jìn)入了高速期，針對(duì)新型的移動(dòng)通信設(shè)備，要建立有效的管理和取證措施，才能保證取證程序的完整，如何優(yōu)化運(yùn)行有效的取證機(jī)制，是需要研究人員在實(shí)際問題處理過程中深化思考的。論文針對(duì)智能手機(jī)取證原則、取證過程以及具體取證工具進(jìn)行了詳細(xì)的闡釋，并且對(duì)數(shù)據(jù)分析結(jié)構(gòu)展開了討論，旨在為管理人員提供有效的技術(shù)指導(dǎo)。

【 關(guān)鍵詞 】 智能手機(jī)；應(yīng)用程序；取證技術(shù)

【 中圖分類號(hào) 】 TP311

【 文獻(xiàn)標(biāo)識(shí)碼 】 A

【 Abstract 】 With the progress and development of science and technology， the development of China's smart phone entered the period of rapid， for new mobile communication equipment， it is necessary to establish effective management and measure of evidence， in order to ensure complete forensic procedures， how to optimize the operation of effective forensics mechanism， is required to researchers in a practical problem processing in the process of deepening thinking. In this paper， the principle of smart phone forensics， evidence collection process and the specific tools for a detailed explanation， and the data analysis of the structure is discussed， designed to provide effective technical guidance for the management staff.

【 Keywords 】 smart phone； application； forensic technology

1 引言

隨著科學(xué)技術(shù)的不斷發(fā)展，針對(duì)手機(jī)取證工作的研究，也在不斷地深入。在進(jìn)行智能手機(jī)取證時(shí)，項(xiàng)目研究人員要集中遵循幾項(xiàng)原則。

第一，合法取證原則。進(jìn)行智能手機(jī)取證的前提就是相應(yīng)的項(xiàng)目符合法規(guī)，只有在合法授權(quán)條件下，才能建立相應(yīng)的取證行為。在建立取證活動(dòng)過程中，要設(shè)立取證人員、取證物品、取證技術(shù)手段以及取證基本程序等，保證取證行為在手段和技術(shù)合法的機(jī)制下運(yùn)行。

第二，全面取證原則[1]。在進(jìn)行手機(jī)取證的過程中，項(xiàng)目管理人員要保證建立有效的項(xiàng)目處理機(jī)制，運(yùn)行高效的信息提取技術(shù)，真正實(shí)現(xiàn)完整的數(shù)據(jù)鏈，通過對(duì)手機(jī)上相應(yīng)的瀏覽記錄進(jìn)行跟蹤和取證，保證整體數(shù)據(jù)信息的完整。

第三，無損取證原則。在對(duì)數(shù)據(jù)信息進(jìn)行集中取證的過程中，管理人員要根據(jù)實(shí)際情況建立建立有效的項(xiàng)目處理機(jī)制，從根本上確保信息數(shù)據(jù)的完整和真實(shí)有效。特別要注意的是，在信息取證的過程中，智能手機(jī)要保證開機(jī)狀態(tài)，且不能對(duì)手機(jī)日志進(jìn)行自行的刪改，也要遠(yuǎn)離高磁場以及高溫地區(qū)，避免由于載體損傷才造成的信息受損。

第四，及時(shí)取證原則。在信息收取的過程中，管理人員要針對(duì)手機(jī)即時(shí)生成的系統(tǒng)日志和系統(tǒng)進(jìn)程進(jìn)行有效跟蹤，一定要避免由于手機(jī)本身容量導(dǎo)致的信息覆蓋問題。

2 智能手機(jī)取證技術(shù)運(yùn)行過程

在實(shí)際智能手機(jī)取證時(shí)，研究人員要根據(jù)實(shí)際情況建立最優(yōu)化的項(xiàng)目分析機(jī)制，保證整體取證過程符合具體要求。

首先，取證人員要針對(duì)取證項(xiàng)目建立相應(yīng)的取證單據(jù)，以保證整體取證行為的合法化，針對(duì)取證工作進(jìn)行有效的標(biāo)注和分析，建立最優(yōu)化的取證登記。

其次，取證人員要對(duì)收集進(jìn)行基本的物理處理。在處理過程中，相應(yīng)的處理人員要利用具體技術(shù)保證信息的完整和真實(shí)有效，物理處理中要對(duì)指紋解鎖的手機(jī)進(jìn)行指紋處理，以保證有權(quán)對(duì)手機(jī)能信息進(jìn)行讀取和收集，將SIM卡取下，放置在屏蔽器內(nèi)，以保證收集停止接受外界信息，并且有效的保留原始狀態(tài)。由于手機(jī)不能進(jìn)行鏡像處理，智能利用專業(yè)連接收集的信息收集芯片進(jìn)行信息的處理，保證手機(jī)能實(shí)現(xiàn)有效的物理和網(wǎng)絡(luò)連接，進(jìn)行工具包的實(shí)時(shí)恢復(fù)。

再次，進(jìn)行數(shù)據(jù)恢復(fù)，針對(duì)于整個(gè)取證過程，數(shù)據(jù)的恢復(fù)是重中之重，取證人員要利用鏡像專門檢查，保證手機(jī)內(nèi)相應(yīng)的數(shù)據(jù)得到很好的留存，利用相應(yīng)的技術(shù)手段對(duì)數(shù)據(jù)進(jìn)行優(yōu)化提取，保證對(duì)SIM卡內(nèi)的內(nèi)容進(jìn)行及時(shí)的智能讀寫，或者是在實(shí)際信息取證過程中利用TULP2G技術(shù)以及SimBrush技術(shù)等，利用MMC軟件以及SD技術(shù)對(duì)存儲(chǔ)卡內(nèi)的信息進(jìn)行讀取。特別要注意的是兩方面信息的收集和讀?。浩湟皇荝OM存儲(chǔ)，主要存儲(chǔ)的系統(tǒng)操作軟件[2]；其二是RAM，主要存儲(chǔ)的是及時(shí)運(yùn)行數(shù)據(jù)，在手機(jī)實(shí)際運(yùn)行過程中，主要是利用內(nèi)存形式進(jìn)行數(shù)據(jù)的擦除和寫入，相應(yīng)運(yùn)行操作也是需要次數(shù)限制的，因此，取證人員要運(yùn)行最優(yōu)化的信息收集方案。

最后，是所有的相應(yīng)技術(shù)操作完畢后，利用相應(yīng)的技術(shù)進(jìn)行證據(jù)的有效提取和分析，保證文件得到有效的恢復(fù)。

3 智能手機(jī)取證工具

本文針對(duì)蘋果的IOS系統(tǒng)進(jìn)行取證工具的分析，蘋果手機(jī)內(nèi)部存在閃存區(qū)，多數(shù)信息都存儲(chǔ)在閃存區(qū)內(nèi)部，大約空間為300M，主要是實(shí)際操作系統(tǒng)和應(yīng)用軟件，并且其默認(rèn)數(shù)據(jù)都存儲(chǔ)在存儲(chǔ)器內(nèi)部，始終保持出廠設(shè)置，剩余部分劃分為用戶使用區(qū)，用戶將自身使用信息以及運(yùn)行內(nèi)容直接存儲(chǔ)進(jìn)去。這樣的設(shè)計(jì)時(shí)蘋果公司為了優(yōu)化客戶的實(shí)際體驗(yàn)而建立的，旨在手機(jī)兩個(gè)區(qū)域內(nèi)進(jìn)行相應(yīng)活動(dòng)。出廠設(shè)置區(qū)域內(nèi)部安裝取證工具具有非常安全的工作環(huán)境，第二區(qū)有大量使用者的實(shí)際信息，是取證工作的重點(diǎn)。

在對(duì)取證工具進(jìn)行劃分的過程中，管理人員要根據(jù)實(shí)際情況建立最優(yōu)化的通信方式選擇，不僅包括串口通信，也包括WiFi以及藍(lán)牙結(jié)構(gòu)，都能實(shí)現(xiàn)信息的傳輸，在達(dá)成串口協(xié)議后，通過指令的發(fā)送就是實(shí)現(xiàn)模式的恢復(fù)。

另外，還要進(jìn)行數(shù)據(jù)的恢復(fù)模型和數(shù)據(jù)完整性保存，在智能手機(jī)開機(jī)后，只有利用相應(yīng)的措施才能保證不會(huì)受到數(shù)據(jù)的污染，但是若是電話和其他設(shè)備進(jìn)行同步連接，蘋果手機(jī)就能集中復(fù)制對(duì)接電話的電話號(hào)碼，照片以及其他數(shù)據(jù)，因此，在實(shí)際取證前，相應(yīng)的管理人員要將Syncing設(shè)置為不能自動(dòng)同步模式。以保證安裝取證工具后，不會(huì)損壞手機(jī)原有的分區(qū)。

在實(shí)際數(shù)據(jù)恢復(fù)過程中，相應(yīng)的管理人員要利用必要的數(shù)據(jù)信息進(jìn)行集中的處理，保證對(duì)相應(yīng)操作系統(tǒng)進(jìn)行有效的管控，其中最基本的Unix系統(tǒng)部分中，OpenSSH是基本的安全系統(tǒng)，Netcat是利用網(wǎng)絡(luò)發(fā)送數(shù)據(jù)的系統(tǒng)，The md5是建立硬盤鏡像的系統(tǒng)軟件，The dd是復(fù)制硬盤鏡像結(jié)構(gòu)來訪問磁盤項(xiàng)目的。在實(shí)際取證工具建立的過程中，主要的步驟包括下載最新版本的系統(tǒng)軟件，叫做iLiberty+，直接運(yùn)行至C：＼盤，然后利用相應(yīng)的串口保證電腦USB接口的實(shí)時(shí)連接，一旦兩者建立相應(yīng)的聯(lián)系，就能識(shí)別項(xiàng)目中的具體數(shù)據(jù)和信息，真正落實(shí)取證工具的安裝[3]。

4 智能手機(jī)數(shù)據(jù)分析

在手機(jī)中進(jìn)行數(shù)據(jù)和信息的收集以及取證，需要研究人員針對(duì)不同問題進(jìn)行不同軟件的運(yùn)行，以保證整體信息傳遞的實(shí)效性。其中包括：users/Desktop/Recovered iphone files等目錄，且能實(shí)現(xiàn)相關(guān)聯(lián)數(shù)據(jù)在整體程序中有效運(yùn)行，在數(shù)據(jù)處理過程中，相應(yīng)管理人員要利用具體操作進(jìn)行集中數(shù)據(jù)庫分析，利用SQLite對(duì)Addressbook、SQLitedb以及addressbookimages.sqlitedb兩個(gè)數(shù)據(jù)庫進(jìn)行集中的數(shù)據(jù)處理，真正實(shí)現(xiàn)有效的取證技術(shù)整合。

取證人員能通過相應(yīng)的瀏覽工具進(jìn)行數(shù)據(jù)的處理和分析，真正實(shí)現(xiàn)主數(shù)據(jù)閾限的有效控制。除此之外，相關(guān)取證人員也可以利用GPS系統(tǒng)跟蹤進(jìn)行有效的取證數(shù)據(jù)分析，保證對(duì)人員的時(shí)間信息以及空間信息進(jìn)行直接的指引和運(yùn)用，也能利用GPS系統(tǒng)對(duì)用戶的興趣點(diǎn)和愛好進(jìn)行詳細(xì)信息的收集和整理沒保證利用歷史記錄進(jìn)行有效信息的取證。

5 結(jié)束語

總而言之，在智能手機(jī)取證技術(shù)運(yùn)行的過程中，取證人員要針對(duì)具體問題建立具體分析機(jī)制，保證對(duì)有效信息進(jìn)行集中的收集，并且遵循信息取證原則，嚴(yán)格遵守相應(yīng)的取證標(biāo)準(zhǔn)進(jìn)行取證操作，在取證過程中優(yōu)化運(yùn)行相應(yīng)的取證技術(shù)，提高取證工具的安裝行為，建立最為有效的取證操作。我國智能手機(jī)用戶已經(jīng)突破了10億，要進(jìn)行優(yōu)化的取證工作，就需要相關(guān)取證人員在實(shí)際工作中不斷更新思路，建立最優(yōu)化取證路徑，推動(dòng)整體工作的可持續(xù)發(fā)展。

參考文獻(xiàn)

[1] 辛蔚妮.智能手機(jī)：醫(yī)學(xué)教育的新工具[C].第七屆東西方聯(lián)盟大會(huì)暨第十四屆海峽兩岸及香港地區(qū)醫(yī)學(xué)教育研討會(huì)論文集.2013：59，135.

[2] AnneDiNardo，周怡.掌上革命在繼續(xù)——零售商利用智能手機(jī)技術(shù)成為趨勢[C].第十五屆國際商業(yè)論壇論文集.2012：51-51.

[3] 蔣文明，楊志新，蔣敏等.智能手機(jī)應(yīng)用程序圖標(biāo)設(shè)計(jì)的可用性研究[J].人類工效學(xué)，2015，21（03）：21-24，30.

作者簡介：

代禮維（1983-），男，貴州遵義人；主要研究方向和關(guān)注領(lǐng)域：電子數(shù)據(jù)現(xiàn)場勘察、電子物證取證。

李?yuàn)W（1984-），男，貴州安順人；主要研究方向和關(guān)注領(lǐng)域：電子數(shù)據(jù)現(xiàn)場勘察、電子物證取證。