Articolo Pubblicazioni

L’iPhone (2007) e l’analisi forense dei telefoni cellulari: che cosa cambia

di · Pubblicato il 12 novembre 2007

Abstract

Il 29 giugno 2007 Apple ha messo in vendita negli Stati Uniti l’iPhone, un telefono con schermo tattile, sistema operativo derivato da Mac OS X e accesso completo a Internet. Per chi analizza i telefoni cellulari è un cambio di scala. L’articolo descrive i dati che un dispositivo di questo tipo conserva, le difficoltà tecniche di acquisizione rispetto ai cellulari tradizionali, il ruolo dei backup creati da iTunes e le indicazioni delle nuove linee guida del NIST sulla cell phone forensics pubblicate a maggio.

Vincenzo Calabrò | L’iPhone (2007) e l’analisi forense dei telefoni cellulari: che cosa cambia
 

Un telefono che è un computer

Presentato a gennaio e messo in vendita negli Stati Uniti il 29 giugno, l’iPhone ha venduto più di un milione di esemplari in poco più di due mesi. In Italia manca ancora una distribuzione ufficiale, eppure il telefono circola già attraverso canali paralleli, spesso sbloccato per funzionare con le SIM degli operatori nazionali. Al di là del successo commerciale, l’iPhone segna una svolta per chi si occupa di analisi forense dei telefoni.
Fino a oggi un cellulare era soprattutto un apparecchio per telefonare e inviare SMS, con una rubrica, un registro delle chiamate e, nei modelli più evoluti, qualche foto. L’iPhone ha un sistema operativo derivato da Mac OS X, una memoria da 4 o 8 GB, un browser completo, la posta elettronica, le mappe e una connessione Wi-Fi. In pratica è un piccolo computer, e conserva le tracce della vita digitale del suo proprietario come un computer.

Quali dati conserva

Le informazioni utili a un’indagine sono molte di più rispetto a un cellulare tradizionale:
  • SMS, registro delle chiamate e rubrica, memorizzati in database interni;
  • messaggi di posta elettronica e account configurati;
  • cronologia, segnalibri e cache del browser;
  • foto con data e ora di scatto;
  • note, calendario e messaggi della segreteria visuale;
  • reti Wi-Fi a cui il telefono si è collegato e ricerche effettuate sulle mappe.
Molti di questi dati sono conservati in piccoli database SQLite. Un record cancellato non sempre viene eliminato subito dal file, e con gli strumenti adatti può essere recuperato.

Come si acquisisce oggi un cellulare

Per i telefoni tradizionali si usano tre livelli di acquisizione. Quella manuale consiste nello scorrere i menu e fotografare lo schermo, ed è l’ultima risorsa quando nessuno strumento supporta il modello. Quella logica estrae rubrica, chiamate, messaggi e file attraverso il cavo e i protocolli di sincronizzazione del produttore. Quella fisica copia l’intera memoria, spesso con apparecchi nati per riprogrammare i telefoni, e permette di recuperare anche dati cancellati.
La SIM va trattata a parte. Contiene l’identificativo dell’abbonato (IMSI), il numero di serie della carta (ICCID), una parte della rubrica, alcuni SMS e l’ultima area di localizzazione. Si legge con un lettore dedicato, dopo aver annotato se il codice PIN è attivo, perché tre tentativi sbagliati bloccano la carta e richiedono il codice PUK fornito dall’operatore.

Le difficoltà di acquisizione

Con i cellulari tradizionali l’acquisizione segue una prassi ormai consolidata. Si legge la SIM con un lettore dedicato e si estraggono i dati dalla memoria del telefono attraverso il cavo e il protocollo del produttore. L’iPhone complica le cose per diversi motivi:
  • la memoria è saldata sulla scheda e non può essere rimossa e copiata come un disco;
  • il sistema operativo è chiuso e non esistono ancora strumenti ufficiali per installare programmi di terze parti;
  • gli strumenti commerciali per l’analisi dei cellulari non lo supportano ancora o lo supportano solo in parte;
  • il telefono può essere cancellato o modificato da remoto se resta collegato alla rete.
In questi mesi la comunità di appassionati ha trovato modi per aggirare le protezioni del sistema, il cosiddetto jailbreak, e accedere al file system. Sono tecniche che permettono di copiare i dati, ma che modificano il dispositivo. Usarle in un’indagine richiede di documentare con precisione ogni intervento e di valutare se l’accertamento sia ancora ripetibile.

Il computer di sincronizzazione

Una fonte di prova spesso trascurata è il computer con cui l’iPhone viene sincronizzato. A ogni collegamento iTunes crea un backup che contiene buona parte dei dati del telefono, compresi messaggi, contatti, calendario e impostazioni. Se il telefono non è disponibile o non si riesce ad acquisirlo, il backup sul computer può contenere le stesse informazioni, a volte anche più vecchie. In caso di sequestro conviene quindi acquisire anche il computer di sincronizzazione.

Le linee guida del NIST

A maggio 2007 il NIST ha pubblicato la Special Publication 800-101, «Guidelines on Cell Phone Forensics». Il documento descrive le caratteristiche dei telefoni e delle reti cellulari, i dati che si possono trovare sul dispositivo, sulla SIM e presso l’operatore, e le fasi del lavoro forense. Alcune indicazioni valgono a maggior ragione per i nuovi smartphone:
  1. isolare il telefono dalla rete subito dopo il sequestro, con una busta schermata o un ambiente che blocchi il segnale, per evitare la ricezione di nuovi dati e la cancellazione da remoto;
  2. mantenere il dispositivo alimentato, se è acceso, per non perdere l’accesso ai dati protetti da codice;
  3. documentare lo stato del telefono e fotografarne lo schermo prima di ogni operazione;
  4. preferire strumenti verificati e conservare i valori di controllo dei dati estratti;
  5. descrivere nel verbale ogni operazione che modifica il dispositivo.

Che cosa aspettarsi

Altri produttori seguiranno la strada aperta da Apple, e tra pochi anni i telefoni con schermo tattile e accesso a Internet saranno la norma. L’analisi forense dovrà adattarsi. Serviranno strumenti in grado di estrarre il file system di dispositivi chiusi, competenze sui database e sui formati delle applicazioni e procedure che tengano conto della sincronizzazione con i computer e con i servizi in rete. Per i consulenti tecnici significa aggiornare in fretta formazione e attrezzatura.
Anche gli avvocati e i magistrati dovranno abituarsi all’idea che un telefono sequestrato può contenere quanto un computer portatile. Chiedere al consulente di estrarre soltanto la rubrica e gli SMS significa trascurare la posta, le foto, la navigazione e le reti frequentate, che spesso raccontano molto di più dei messaggi.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn