Desafios e soluções para a perícia forense em dispositivos portáteis

Por Luiz Sales Rabelo*

A pergunta é: você consegue se imaginar hoje sem um aparelho de telefonia celular? A resposta provavelmente será NÃO. E essa dependência dos aparelhos celulares vai além da necessidade de comunicação das pessoas.

Os telefones celulares hoje vão muito além da função para o qual foram concebidos. Os chamados smartphones são capazes de integrar em um mesmo bloco de circuitos impressos, todas as funções esperadas de um telefone celular, tais como chamadas e mensagens SMS, somados a diversos recursos avançados, como uma câmera digital poderosa, uma filmadora HD, um receptor de GPS, um receptor de TV digital, um MP3 player, um cliente de e-mail, jogos, acesso a internet, e por aí vai... A capacidade de processamento de alguns smartphones é comparável a computadores de dois ou três anos atrás!

E para desempenhar tais tarefas, podemos contar com uma infinidade de fabricantes e diversos modelos, cada qual com uma interface de navegação diferente: os principais são Blackberry, Symbian, Android e iOS... Isso sem mencionar os menos populares (Palm WebOS, maemo, MeeGo), as interfaces proprietárias (Sony Ericson, Samsung, LG, Blackberry), as variações possíveis para as interfaces (Symbian v60, Symbian v90, Android 1.6, Android 2.0) e o ciclo de atualizações de cada versão de sistema operacional (iOS 3.2, iOS4.0, Android 1.5, Android 1.6...).

Talvez você até consiga navegar nos menus de um Blackberry Curve, um Motorola Android 1.6 e um Apple iPhone 4 para buscar o histórico de acessos web, histórico de chamadas discadas/recebidas/não atendidas, lista de contatos... Mas quando agentes de forças da lei realizam buscas e apreensões, Symbians, Androids e suas variações são apenas a ponta do iceberg...

E, como se este cenário já não fosse complexo o suficiente, alguns smartphones resolveram crescer e viraram tablets: iPad e Galaxy Tab são os principais exemplos desta turma que apresenta forte tendência para crescimento em 2011. Imagine o tipo de informação que poderemos encontrar nestes novos dispositivos tablets! Adicionamos à nossa lista inicial de informações sensíveis: arquivos de texto, planilhas eletrônicas, apresentações de slides, livros digitais, arquivos PDF...

Como realizar um dump da memória física de um Ipad/iPhone? Onde estão os contatos neste Motorola? As mensagens de texto deste Nokia Symbian, onde estão? Os e-mails deste Blackberry?

Observe que é complexo, praticamente impossível, traçar um paralelo entre uma investigação desempenhada em uma estação de trabalho rodando Windows ou Linux e outra em um dispositivo portátil: a forma de armazenamento dos dados é diferente, o tipo da informação armazenada é diferente (para o histórico de chamadas, por exemplo). Como realizar um dump da memória física de um Ipad/iPhone? Onde estão os contatos neste Motorola? As mensagens de texto deste Nokia Symbian, onde estão? Os e-mails deste Blackberry?

Como solução, poderia dissertar aqui centenas de páginas sobre onde estas informações estão dispostas no sistema de arquivos destes dispositivos e como recuperá-las, mas estão disponíveis no mercado livros e outras documentações que descrevem detalhadamente os passos para investigar estes dispositivos portáteis. Mas este processo manual seria viável para o caso de apreensão de um ou dois dispositivos suspeitos: imagine o trabalho de análise da apreensão de centenas de celulares?!


Já existem hoje no mercado soluções específicas para os mais variados tipos de dispositivos: TDMA, CDMA, GSM, iDEM... As diferentes formas de conexões de dados, muitas vezes proprietárias, também não são problemas: os fabricantes das soluções de investigação incluem kits contendo mais de 40 cabos específicos para cada modelo de cada fabricante, além de contar com interfaces infrared e bluetooth para a captura de informações nos dispositivos suspeitos.

A grande vantagem em se utilizar uma solução deste tipo é a simplicidade de operação e agilidade no tempo de resposta: uma vez capturada a informação do dispositivo, a mesma interface utilizada para vasculhar os dados de um dispositivo, será utilizada para todas as análises, sem necessidade do investigador se adequar aos menus do Blackberry ou Android... E na ocasião do lançamento de um novo modelo, basta atualizar o seu sistema de investigação para conseguir capturar as informações do novo dispositivo.

Vou falar um pouco mais sobre as soluções disponíveis para investigação de dispositivos portáteis em um próximo texto!

Aproveitando o ensejo, Rob Adams escreveu um artigo muito bom sobre este tema.


* Luiz Sales Rabelo é analista de Segurança e consultor em computação forense da Techbiz Forense Digital. Desde outubro de 2010, é instrutor autorizado pela AccessData a transmitir os conhecimentos sobre a ferramenta FTK 3. É MCP (Microsoft Certified Professional) e ACE (AccessData Certified Examiner).