The Net Jus Book Review Recensioni informatico-giuridiche RECENSIONE

Transcript

1 RECENSIONE J. ZDZIARSKI, iphone Forensics, O Reilly, Sebastopol, 2008, pp. 125, ISBN Le Premesse al Volume * * * L Opera qui recensita prende la forma di un volumetto agile, lungo poco più di un centinaio di pagine, ma dal taglio molto tecnico, pratico ed approfondito sulle tecniche investigative da adottare, come suggerite dall Autore, in presenza di un iphone di Apple. Il libro è stato redatto da un ricercatore che a tempo pieno si occupa dell hacking di dispositivi mobili e che ha contribuito ad «aprire» l iphone al fine di rendere facilmente installabili sullo stesso software prodotti da terze parti e non «approvati» e «firmati» da Apple. La prima parte dell Opera invita a comprendere, in primis, quanto i nuovi device possano diventare strumenti «privati», ovvero invasivi della privacy del soggetto e capaci di documentare, anche a fini processuali, numerosi aspetti intimi dell utilizzatore. Nota, infatti, l Autore come i dispositivi mobili odierni siano essenzialmente dei computer completi che hanno, sì, sistemi operativi ridotti («stripped down») ma che sono derivati direttamene dai «principali» software (Unix, Windows, OSX Leopard). Nel Volume si richiama, spesso, il principio secondo il quale, come nei sistemi operativi «di riferimento», anche sui dispositivi mobili l operazione di cancellazione di un file elimina unicamente il riferimento (reference) a quel dato e non, come molti utilizzatori comuni e poco esperti possono credere, il dato stesso. Ciò comporta che, in fase di analisi, i target dell investigatore saranno non solo i dati live presenti sul dispositivo ma anche quei dati che l utente crede di avere cancellato ma che, in realtà, si riveleranno facilmente recuperabili. Il passaggio successivo, nell economia del Volume, è l analisi del concetto di data recovery, ovvero il sistema migliore per recuperare da un iphone i dati cui si è fatto cenno poco sopra: l Autore nota come ciò che è memorizzato su strumenti quali l iphone sia molto di più rispetto a ciò che appare all utente che lo utilizza e a ciò che è accessibile tramite la sua interfaccia grafica, nonché a ciò che si pensa sia contenuto nello stesso. Vi è, subito dopo, un introduzione al concetto di tools (strumenti), ovvero a quei software che verranno utilizzati nel prosieguo dell esposizione delle tecniche investigative, insieme a strumenti e procedure particolari, al fine di accedere ai dati. Nota Zdziarski che, quando un criminale cerca di cancellare tutti i dati presenti su un dispositivo, di solito li rende unicamente inaccessibili all utente medio, fornito di competenze normali: strumenti di questo tipo mantengono Anno 1 n. 3 Dicembre 2008 ISSN N

2 lontani dai dati solo le persone di media competenza, non gli investigatori esperti. Ogni criminale che si rispetti, dice l Autore, dovrebbe usare sul suo computer tecniche di cifratura o altri strumenti più idonei per nascondere le sue intenzioni criminali: con l utilizzo di una crittografia forte, gran parte dei metodi usati dagli investigatori, o previsti dalle leggi, si possono rivelare assolutamente inutili, anche se una corretta adozione di questa tecnologia richiede tempo e conoscenze. Il lato positivo, nota il ricercatore, è che sono molto pochi i criminali che usano sofisticate tecniche di cifratura o altri mezzi tecnici per nascondere i loro dati, per cui i device utilizzati, quale l iphone oggetto dell Opera, si rivelano quasi sempre vere e proprie miniere di informazioni. Da questa prima esposizione introduttiva si origina un principio interessante: già il fatto stesso di optare, in fase di scelta iniziale, per l utilizzo di un determinato strumento può comportare la gestione di un maggiore o minore numero di informazioni e, quindi, una maggiore o minore privacy del soggetto. 2. La computer forensics e la sua funzione Illustrate queste premesse, l Autore descrive in termini molto generici ai profani cosa sia la computer forensics, ovvero il processo scientifico di documentazione di un evento o di un fatto con metodi strettamente rispettosi delle regole di procedura di ogni singola giurisdizione. La computer forensics viene definita, più in dettaglio, come una branca della forensics science che riguarda l applicazione di principi scientifici e di metodologie al fine di preservare, recuperare e documentare fonti di prova elettroniche. Invece di trattare esseri umani morti, nota l Autore con un paragone un po lugubre, si trattano hard disk morti. Alcuni strumenti contenenti dati, si legge, sono però espressamente pensati per essere, anche «da morti», intenzionalmente chiusi, per essere volontariamente resi ostici all analista e non sono pensati per il recupero dei dati: l iphone, si vedrà, è un esempio di questo tipo. Prima di addentrarsi nell analisi delle tecniche migliori per affrontare un iphone da un punto di vista investigativo, Zdziarski pone una premessa legale, ovvero che l attività di indagine su tale dispositivo debba essere condotta nei limiti precisi indicati dalla legge, al fine di «pesare» il valore della fonte di prova, di valutare la sua resistenza in giudizio davanti ad eventuali contestazioni e la possibilità di convincere il giudice sul valore del fatto documentato. Sono cinque, per l Autore, i punti da tenere in considerazione prima di «mettere le mani» su un iphone: (1) Ammissibilità. La prova deve essere stata acquisita dall iphone, e preservata, in una modalità che le consenta di essere ammissibile di fronte a un giudice, dal momento che possono essere numerosi gli errori commessi che portino un giudice ad affermare che tale prova è inammissibile. Anno 1 n. 3 Dicembre 2008 ISSN N

3 (2) Autenticità. La prova deve essere rilevante per il caso, e l esaminatore deve essere in grado di dare sempre conto dell origine della prova. (3) Completezza. Quando la fonte di prova è presentata, deve «narrare» l intera storia, e deve essere esposto un quadro chiaro e completo di come la prova si sia originata. Una prova parziale può essere di grande danno per un soggetto innocente (si pensi al caso di immagini pedopornografiche immesse da un virus sul computer di un soggetto poi incarcerato ingiustamente). (4) Affidabilità. La prova raccolta deve essere affidabile, e ciò dipende direttamente dal metodo usato per acquisirla. La tecnica utilizzata deve essere credibile, comunemente accettata e usata nel mondo scientifico, e se l esaminatore commette errori o usa tecniche non ortodosse, questo può creare problemi nel caso trattato. (5) Comprensibile e degna di fede. Un esaminatore deve essere in grado di spiegare, con chiarezza e in modo conciso, che processi abbia usato e come abbia preservato l integrità delle prove; se è lo stesso esaminatore, per primo, a non comprende fino in fondo cosa ha fatto, si pensi a cosa possa comprendere il giudice o l altra parte. Di conseguenza, buona regola sarebbe quella di cercare sempre di semplificare al massimo le procedure. L Autore prosegue riportando una sorta di checklist, ovvero ciò che lo stesso definisce un «buon metodo» di conduzione di un indagine: preservare la fonte di prova, non lavorare mai sugli originali e neppure sulle copie originali, non appena si recupera una fonte di prova creare una read only master copy e controllarla in modo digitale per vederne la corrispondenza all originale, poi mettere al sicuro quella copia e lavorare su copie della master copy (le copie, ricorda l Autore, sono comunque identiche all originale, dal momento che si opera nell ambito del dato digitale). Il motivo per cui l Autore insiste sovente, nel corso di tutto il Volume, circa la necessità di una corretta procedura di copia è il fatto che alcuni tools, se usati impropriamente, possono effettuare delle modifiche ai dati sui quali si sta lavorando; si raccomanda, poi, di non «lanciare» mai un applicazione sul device prima che si sia effettuata una copia verificata dei dati, ricordando che ogni volta che si usa uno strumento avvengono dei cambiamenti sul disco, e che Anno 1 n. 3 Dicembre 2008 ISSN N

4 occorre sempre mantenere l «intrusione» sul computer analizzato ai livelli minimi. Il passo successivo descritto nel Volume è quello di documentare con cura la fonte di prova: ogni qualvolta viene effettuata una master copy, occorre usare un sistema di digest crittografico quale l MD5 per assicurarsi che la fonte di prova non si sia alterata in qualche modo durante la fase di copia, e il digest deve essere memorizzato in una locazione diversa rispetto ai dati, di modo che sia più difficile manometterlo. I digest e la documentazione servono a garantire, come è noto, che non vi sia stata contaminazione nel processo di copia. La fase seguente è quella della documentazione dei metodi, ossia documentare tutti i metodi utilizzati per raccogliere ed estrarre le fonti di prova, e dettagliare le proprie annotazioni fino a un punto che altri esaminatori le possano riprodurre. Il lavoro fatto dovrebbe essere riproducibile in ogni momento da un altro soggetto che voglia, per ipotesi, contestare le fonti di prova. Se una fonte di prova non può essere nuovamente riprodotta, potrebbe essere dichiarata inammissibile Vi è poi la fase fondamentale della documentazione dei cambiamenti: anche i bit possono essere modificati quando si entra in una scena del crimine, proprio come quando si calpestano tracce di sangue, capelli o impronte digitali. Sarebbe quindi opportuno, scrive l Autore, documentare sempre tutto il processo di recovery e, in modo particolare, ogni cambiamento causato intenzionalmente. Si noti, infine, che anche alcuni strumenti di forensics, per effettuare certe operazioni (copia), modificano il disco. Appare opportuno documentare il reboot del device, la sincronizzazione con un desktop, l uso di una certa applicazione. Un passo successivo riportato nel libro oggetto della presente recensione è quello di stabilire una checklist delle investigazioni, dal momento che è vero che ciascuna investigazione è differente, ma tutte dovrebbero condividere, almeno di massima, le stesse pratiche di recovery e di disamina. Impostare sulla carta un processo e redigere una checklist di come le cose andrebbero fatte consente di prevenire la dimenticanza di alcuni dettagli e permette ai componenti del team di condurre l esame allo stesso modo, garantendo anche intercambiabilità negli operatori. «Essere dettagliati» è l ultima regola proposta, ovvero si afferma che il caso deve essere solido soprattutto se è presente un avvocato, dall altra parte, che vuole screditare l operato di acquisizione: che tutti i dettagli siano esposti e limpidi, dal momento che se manca qualche dettaglio la teoria può vacillare. 3. Le premesse all analisi dell Iphone Il Volume entra nel vivo nel momento in cui si occupa, come promesso dal titolo, dell analisi di un iphone in ottica investigativa, e i Capitoli successivi sono suddivisi, intelligentemente, nelle quattro fasi tipiche: gestione fisica dell apparecchio (handling), stabilimento di una comunicazione con Anno 1 n. 3 Dicembre 2008 ISSN N

5 l apparecchio (serve per la copia dei dati), recupero dei dati in una modalità forensically sound e discovery delle prove che si possono ricavare dai dati. L handling, ossia la gestione fisica del dispositivo, precede ovviamente il suo esame: l Autore raccomanda di assicurarsi di essere in possesso dell equipaggiamento giusto per trattare quel dispositivo, ma anche per mantenerlo carico e connesso se è un dispositivo mobile, sin dal momento della rimozione della SIM o del posizionamento in una gabbia di Faraday, utile per bloccare i campi elettromagnetici, compresa la trasmissione del segnale alle celle. La fase dell attivazione di un canale di comunicazione con il dispositivo è molto importante nel caso di forensics sui device mobili, dal momento che, a differenza di un sistema desktop (dove, ad esempio, un hard disk può essere rimosso), alcuni device mobili non possono generalmente essere «processati» facendo l immagine del disco a meno che l investigatore non sia in possesso di equipaggiamento speciale (ad esempio per fare il dump di chip particolari). Occorre, in particolare, «parlare» col dispositivo al fine di recuperare le prove, ovvero creare un network fisico e informatico che permetta di connettersi allo stesso, solitamente per installarci sopra un forensics toolkit e iniziare a recuperare i dati. La terza fase, quella dell electronic discovery, consiste in quel processo che analizza i dati copiati e cerca fonti di prova: in pratica, i file cancellati sono recuperati e viene analizzato il file system, nel passo finale prima del report/perizia, ovvero prima che ciò che si è trovato venga illustrato in un documento. 4. La conoscenza del dispositivo L Autore si raccomanda, come prima cosa, di comprendere al meglio lo strumento, in questo caso l iphone: sapere come è fatto, da cosa è composto, come funzionano i componenti ma, soprattutto, capire quali dei componenti sono interessanti da un punto di vista investigativo. Tre sono segnalati, a tal fine, come critici: il Disk (Samsung 65-nm 8/16 GB, 4GB MCL NAND Flash) la Flash Memory (Intel 32 MB NOR + 16 MB SRAM) e la Mobile version del sistema operativo Mac OS X 10.5 Leopard. L iphone si può rivelare uno strumento un po ostico nel suo trattamento, dal momento che vanta molte particolarità originali rispetto a sistemi e hardware più standard: si pensi alla architettura ARM, diversa dalla tipica architettura 386 e derivata da RISC, ad hardware speciale quali sensori di prossimità, accelerometri e multitouch screen, a una interfaccia utente proprietaria pensata proprio per gestire tutti questi aspetti nuovi (l uso delle dita, finestre particolari, movimento dello schermo) e un Kernel «firmato», disegnato appositamente per prevenire la manomissione. Molti hacker di iphone hanno iniziato, negli anni scorsi, come è noto, a cercare di sbloccare tale kernel al fine di creare applicazioni software o per sbloccare alcune funzioni del telefono: si parla, in tal caso, di jailbreaking (tale termine suggestivo deriva da una pratica Unix, detta jail, che consiste nel posizionamento di servizi Anno 1 n. 3 Dicembre 2008 ISSN N

6 in un area ristretta di directory chiamata, appunto, jail): alcuni degli strumenti usati per il jailbreaking dell iphone sono utili anche per le necessità di un analisi forense. Un Capitolo del Volume è dedicato a spiegare che cosa c è nell iphone, ovvero quali siano i dati contenuti nel device che possono avere una valenza investigativa. La premessa dell Autore è che solo una limitata porzione di dati può essere «vista» direttamente sull iphone usando l interfaccia GUI dell utente prevista dal software dell iphone, mentre molto più interessante è andare a vedere i dati nascosti ed ottenibili esaminando la raw disk image, che è poi il fine ultimo della forensics. Nota Zdziarski come la tipica contrapposizione «Live vs. stored» sia valida anche in questa sede: non interessano solo i dati live, ma anche le informazioni cancellate. Dal momento che un ammontare significativo di informazioni personali sono memorizzate in file di database, alcune informazioni cancellate rimangono live sul filesystem anche per mesi e anni. Nota il ricercatore come sia estremamente difficile cancellare in maniera permanente i dati da un iphone, anche se alcuni software recenti hanno aggiunto la funzione di wipe. Anche il restore consentito da itunes, che molti credono sia in grado di formattare il device, in realtà lascia la maggior parte dei dati intatti ma solo non direttamente visibili. Si pensi, ricorda l Autore, che alcuni dispositivi refurbished mantenevano, ancora recuperabili, alcuni dati di utenti Apple. Circa le informazioni reperibili su un iphone e utili a fini investigativi, l Autore ricorda le keyboard caches, ossia nomi utenti, password, chiavi e termini di ricerca e frammenti storici di comunicazioni digitate. Quasi ogni informazione digitata dalla tastierina dell iphone è memorizzata in una keyboard cache, che può rimanere anche dopo essere stata cancellata. A ciò si aggiungono gli screenshots, ossia l ultimo stato di un applicazione, catturata in formato grafico se il tasto home era premuto o se si è usciti da una applicazione: tale funzione è usata per creare effetti zoom artistici, e di solito fornisce dozzine di scatti di attività dell utente. Potenzialmente utili sono anche le immagini cancellate dalla libreria di foto dell utente, rullini fotografici interi, e la cache del browsing con immagini che possono essere recuperate agevolmente usando un data carving tool. Vi sono, poi, indirizzi cancellati dalla rubrica, contatti, eventi di calendario e altri dati personali che rimangono sul frammento di un disco, oltre allo storico completo delle chiamate in aggiunta a quelle mostrate: più o meno le ultime 100 chiamate sono memorizzate nel database delle chiamate e si possono recuperare usando un client SQLite. Interessati le immagini di mappe create dalla applicazione Google Maps, così come le direzioni immesse e coordinate di latitudine e longitudine delle precedenti ricerche, compresi gli scan del GPS; tale tipo di dato è utile quando si cerca di trovare qualcuno o di associare una foto o un elemento ad un luogo geografico La cache dei browser e gli oggetti cancellati che identificano un sito o chi lo ha visitato, ad esempio i cookies, rimangono anch essi in memoria. Anno 1 n. 3 Dicembre 2008 ISSN N

7 Si trovano anche messaggi di in cache o cancellati, messaggi SMS e altri tipi di comunicazione, oltre ai corrispondenti timestamps e flags per identificare quando e in che direzione le comunicazioni sono avvenute. Appaiono poi, dopo un analisi accurata, le registrazioni di voic cancellate, che possono essere recuperate ed ascoltate con QuickTime o con qualsiasi altro strumento di playback che supporti il codec AMR. Infine, interessanti possono essere tutti i dati di «accoppiamento» che stabiliscono i rapporti tra un computer e un dispositivo mobile, dalla sincronizzazione ad altri mezzi di comunicazione. 5. Come suggerisce di operare l Autore Le modalità di svolgimento dell indagine, consigliate dall Autore, sono le seguenti: a) procurarsi l equipaggiamento: un computer netbook o desktop con Mac OSX o Windows. Di solito gli strumenti esistono per tutti e due i sistemi, ma essendo iphone basato su un filesystem nativo HFS sarebbe più facile, secondo l Autore, operare sul filesystem live di iphone con un Mac con Leopard. Serve poi un iphone dock connector o cavo USB, al fine di installare il forensics toolkit per il recovery in una locazione non distruttiva del device e per tenere carico/alimentato il device durante il processo di recovery. Indispensabile è una connessione wi-fi funzionante tra il computer e un access point cui sono collegati sia l iphone sia il computer, meglio se sicura: ciò serve per fare delle copie attraverso un tunnel SSH per rendere ancora più sicuro il dato in transito. Dal punto di vista software, sarà utilizzata una implementazione di SSH (Secure Shell) sul desktop con i tools ssh e scp, parte del pacchetto OpenSSH, il software itunes di Apple, nella versione adatta per il firmware che è presente sull iphone (7.6 per FW 1.x e 7.7. Per firmware 2.x) e un adeguato spazio su disco sulla macchina desktop per contenere copie della partizione media di iphone (il minimo raccomandato è tre volte la capacità dichiarata del device: una per l immagine attuale del disco, una per la copia sulla quale lavorare e una per il recupero digitale dei dati). I primi intoppi che si possono rivelare, avverte l Autore, possono consistere nel fatto che lo strumento è protetto da password: sarà allora necessario aggirare questa misura di protezione ed evitare di fare l upgrade del firmware da 1.x a 2.x, altrimenti vi è il rischio di distruggere possibili fonti di prova. Il disco dell iphone, di default, è configurato con due partizioni: tali partizioni non risiedono su un disco fisico, dal momento che l iphone non è dotato di un disco fisico ma utilizza una memoria a stato solido NAND flash che, però, è trattata come un disco con una tavola delle partizioni e un filesystem formattato sulla flash. La prima partizione è di 300 MB di sistema, root partition, usata per ospitare il sistema operativo e tutte le applicazioni precaricate usate dall iphone. Questa partizione è montata di default come read only, ed è creata per stare in uno factory Anno 1 n. 3 Dicembre 2008 ISSN N

8 state per tutta la vita dell iphone (ovvero in uno stato identico a come è uscito dalla fabbrica o modificato solo dal produttore). Lo spazio rimanente disponibile è assegnato alla partizione utente (o media) che è montata come /private/var sull iphone. Questa seconda partizione è dove tutti i dati degli utenti sono scritti, dalla musica ai contatti. Lo schema/sistema a due partizioni è stata la via più logica per Apple per consentire delle upgrade facili al software, dal momento che la prima partizione può essere formattata da itunes senza cancellare nessun dato dell utente. Dal momento che la partizione di sistema è destinata a rimanere nel factory state di default, non esiste alcuna utile fonte di prova che si possa ricavare da questa partizione, ed è quindi essenzialmente irrilevante per la forensics ma può essere sicura e utilizzabile per installarvi degli strumenti di forensics. La seconda partizione è dove risiedono tutte le informazioni utili. I tools usati dagli investigatori che operano su un iphone servono essenzialmente per «rimontare» la partizione di sistema come read-write al fine di permettere l installazione di un tool di forensics open source. Ciò avverrà senza mutare il comportamento dell iphone e delle sue applicazioni installate, e senza «toccare» la parte di telefono e di dati dell utente contenente i dati dello stesso. Le possibilità, per l investigatore, di comunicare con il dispositivo che si vuole analizzare sono le più varie. L iphone può comunicare attraverso tanti canali: porta seriale, bluetooth, wi fi: nel libro l Autore ha scelto di utilizzare i canali seriale e wi fi. AFC (Apple File Connection), in particolare, è il protocollo per porta seriale usato da itunes per copiare file da e per il dispositivo, e per inviare comandi a livello di firmware (ad esempio ordinare un boot del dispositivo o entrare in restore mode). AFC si usa per qualsiasi cosa, dal copiare musica a installare software, e si basa su un connettore USB e un ambiente denominato Mobile Device. Di default, ad itunes, durante queste operazioni, non è permesso di accedere a tutto l iphone ma la sua azione viene relegata in un jailed environment, ovvero in un ambiente con delle restrizioni, stabilite a livello di amministrazione, su dove si può accedere. In altre parole, itunes può accedere solo ad alcuni file sull iphone (nella directory Media). Si parla allora di jailbreaking, come si è accennato in precedenza, quando si sono diffusi i primi hack di iphone volti a rompere queste restrizioni di ambiente e a permettere al protocollo AFC di leggere e scrivere file in ogni area e punto del device. Il primo problema che si è posto agli investigatori, nota l Autore, è che AFC non è in grado di leggere i dispositivi in modo RAW, quindi non può essere usato per il recovery di un immagine del disco o, meglio, si potrebbe utilizzare ma con procedimenti che potrebbero essere obiettabili da un punto di vista della forensics perché basati su metodi non proprio ortodossi. Occorrerà allora cercare di ottenere l immagine del disco tramite wi-fi dopo l installazione di strumenti di network che permettano l accesso via shell e compiere azioni ad hoc, come generare un digest md5 sul disco prima di trasmetterlo. Il trasferimento di un immagine via wireless da una connessione sicura viene considerato dal Anno 1 n. 3 Dicembre 2008 ISSN N

9 ricercatore un metodo più tipico, più generalmente compreso e con un più alto livello di affidabilità ed integrità, dal momento che usa protocolli standard e sistemi di controllo dell integrità noti. Con riferimento alla upgrade del firmware del telefono, l Autore suggerisce di fare molta attenzione: di solito non causa la perdita di dati, ma rinomina i files e può scrivere su partizioni. La regola generale è di non fare l upgrade del firmware per fini di indagine forense. Per quanto riguarda invece l attivazione del restore mode tramite itunes, il ricercatore fa presente che, nel caso qualcuno cercasse di distruggere le prove presenti sul suo iphone, potrebbe premere e tenere premuti insieme i tasti home e power fino a che lo strumento non vada in recovery mode. A quel punto il telefono «chiede» di essere collegato a itunes per il restore, ma non distrugge il file system, comunicandogli semplicemente di non fare il boot. Tutti i dati, quindi, sono rimasti intatti, e se non è iniziato il processo di restore con il collegamento a itunes si può fare il boot di nuovo al sistema operativo senza perdere i dati. Se il dispositivo è invece già stato collegato a itunes e il soggetto ha avuto o tempo di iniziare un processo di restore tramite itunes e il device è stato formattato o è in corso di formattazione, l Autore suggerisce di lasciare terminare il processo. Dice infatti che sarebbe molto più pericoloso staccarlo dal cavo, dal momento che, anche se viene riportato allo stato di fabbrica, il dispositivo non è stato sottoposto ad un wipe dei dati ma semplicemente formattato. Molti dati sarebbero quindi ancora recuperabili con procedure di data carving (ad esempio con il software Scalpel) oppure, se si è fortunati, recuperando il backup dello stesso sulla macchina desktop. L Autore nota, però che, il firmware v.2 prevede una procedura di secure wipe, configurando una situazione nella quale potrebbe essere opportuno, per l investigatore, interrompere ogni operazione in corso (il segnale è l apparire di un logo Apple con un termometro) e porre il device in DFU (Device Failsafe Utility). Attenzione particolare va anche prestata al rischio della cosiddetta cross contamination, ovvero alla possibilità di «contaminazione incrociata» sincronizzando un iphone su cui si sta operando con un computer di proprietà dell investigatore. Premesso che iphone è portato in ogni momento a sincronizzare i dati con un computer, può sempre essere attuale e contingente il rischio di contaminazione incrociata: l investigatore collega l iphone al suo computer, non si ricorda di avere attivo un sistema di sync automatico e il danno è fatto. Occorre quindi disabilitare sempre il sync automatico, usare un CD bootable o una virtual machine per operare o, meglio, una utenza creata ad hoc (evidence box) per ogni caso analizzato, al fine di operare da un ambiente asettico. L accesso in concreto al telefono viene fatto, dall Autore, tramite l installazione di un forensics recovery toolkit, una serie di strumenti finalizzati ad ottenere una copia raw / immagine del disco di iphone. Questo toolkit consiste in un semplice archivio zip, contenente alcuni strumenti, messo sul telefono e poi aperto. L aspetto più importante è che Anno 1 n. 3 Dicembre 2008 ISSN N

10 questi strumenti salvaguardino la scrittura sulla parte del telefono dedicata ai dati degli utenti. Il tool utilizzato nel libro si chiama iliberty+ ed è pensato per sbloccare iphone e ipod e per installare varie applicazioni anche se non firmate e permesse da Apple. Il toolkit installato comprende un «sistema Unix» di base, una secure shell, il tool netcat per inviare dati attraverso un network, il tool md5 per creare un digest cifrato dell immagine del disco e il comando dd per creare copie dell immagine del disco. L Autore si pone anche, nel corso dei capitoli finali, il problema dell aggiramento di blocchi presenti sul device, dal momento che iphone può avere due blocchi, un SIM lock e una password a livello di sistema operativo. Il SIM lock è il più facile da aggirare: si rimuove la SIM o si sostituisce. La password a livello di OS si aggira con un comando bypass passcode che sposta i configuration file della stessa in un altra area di memoria, per cui quando il sistema del telefono li cerca non li trova e si avvia. Lo stesso risultato, nota l Autore, si può raggiungere anche con il software iphone Utility Client che consente un bypass manuale. La fase di recupero dei dati avviene utilizzando OpenSSH, che accetta connessioni, e usando il mini sistema Unix e i suoi comandi. In primis occorre configurare iphone affinchè comunichi con il desktop per effettuare alcune operazioni essenziali (in particolare: trasferire un immagine del disco via wireless e SSH). Ricapitolando la situazione disegnata nel libro, si è in presenza di un toolkit per la forensics che ora risiede sul telefono in un area che non contamina l area utente, il telefono è collegato in maniera sicura al computer dell investigatore grazie ad un network senza fili e si è pronti ad utilizzare i tools dd e nc (netcat). Il primo crea un immagine del disco, il secondo lo invia via rete. Prima di trasmettere, però, l Autore decide di usare md5 digest al fine di garantirsi una prova che la partizione non sia stata alterata o manomessa mentre è «in viaggio». Il risultato è che sul computer dell investigatore arriva una immagine di un iphone perfettamente leggibile e pronta anche per operazioni di data carving sull intera memoria per recuperare tutti i dati possibili, con tools quali Foremost o Scalpel. La fase di analisi, immediatamente successiva, muove dalla premessa che ora si è in possesso di una copia del disco e di tutti i file recuperati, e occorre dare un senso a ciò si è recuperato. Particolare importanza in questa sede, nota l Autore, assumono i timestamps: sono informazioni temporali che si possono rivelare essenziali. Il filesystem è montato in HFS/x e può essere letto tranquillamente sia sotto Windows sia sotto Mac; per prima cosa l Autore consiglia di «navigare» tra i file, facendo anche attenzione alle immagini che contengono geotags (il ricercatore suggerisce l utilizzo del software Exifprobe al fine di estrarre dalle immagini, se presenti, i tag geografici, ovvero i metadata incorporati nelle immagini che rivelano latitudine e longitudine dello scatto e il momento esatto dell azione). Anno 1 n. 3 Dicembre 2008 ISSN N

11 Tutti i dati oggetto di analisi e creati dalle applicazioni dell iphone sono in standard database diffuso, SQLite, e comprendono i contatti nella rubrica, anche con foto, i dati di Google Maps, gli eventi annotati nel calendario, l archivio storico delle chiamate, tutto ciò che riguarda , SMS, appunti, casella vocale, ma anche i file con informazioni sugli account, sui cookies, sulle password, sui bookmarks e sulle azioni di comunicazione tra il dispositivo mobile e il desktop. [GIOVANNI ZICCARDI] Anno 1 n. 3 Dicembre 2008 ISSN N