{"id":352,"date":"2019-11-02T01:23:30","date_gmt":"2019-11-02T00:23:30","guid":{"rendered":"http:\/\/www.forlex.it\/blog\/?p=352"},"modified":"2019-11-02T01:23:54","modified_gmt":"2019-11-02T00:23:54","slug":"mobile-forensics-fruttuosa","status":"publish","type":"post","link":"http:\/\/www.forlex.it\/index.php\/2019\/11\/02\/mobile-forensics-fruttuosa\/","title":{"rendered":"Mobile Forensics  &#8220;fruttuosa&#8221;"},"content":{"rendered":"\n<p>La Cellular o Mobile Forensics \u00e8 la scienza che si occupa di recuperare prove da dispositivi mobili, conservandone l\u2019integrit\u00e0 probatoria mediante l\u2019uso di idonee metodologie di estrazione e di analisi. In campo investigativo, le informazioni ricavate da tali dispositivi sono sempre pi\u00f9 richieste come elementi probatori.<\/p>\n\n\n\n<p>Per loro natura i dispositivi mobili contengono potenziali prove digitali: sms; mms; rubrica telefonica; ultimi contatti; posizioni gps; connessioni internet e a reti wifi, ecc\u2026. L\u2019estrazione di tali informazioni necessitano, per\u00f2, di un protocollo di acquisizione e di analisi atto a preservare l\u2019integrit\u00e0 probatoria di tali informazioni e la fruibilit\u00e0 delle stesse in aule giudiziarie.<\/p>\n\n\n\n<p>Essenzialmente esistono due differenti tipologie di acquisizione:<\/p>\n\n\n\n<ul><li>&nbsp;Logica \u2013 copia dei dati e ricostruzione mediante software (open source o e-commerce) ed interfacce dedicate che collegano il dispositivo mobile al pc <\/li><li>Fisica \u2013 copia dei dati mediante estrazione fisica dei chip di memoria.<\/li><\/ul>\n\n\n\n<p>Quello di cui vorrei parlare oggi \u00e8 l\u2019estrazione logica dei dati presenti sulla famiglia dei dispositivi iPad, iPod, iPhon mediante software \u201copen source\u201d ed un comunissimo MacBook.<\/p>\n\n\n\n<table class=\"wp-block-table\"><tbody><tr><td>\n&nbsp;\n&nbsp;\nL\u2019esigenza nasce dalla possibilit\u00e0 che per una volta (in realt\u00e0 capita spesso causa mancanza di fodi) bisogna estrarre i dati, di un iPad, senza l\u2019adeguato struttura hardware e software di tipo ferense. A tal fine \u00e8 possible estrarre i dati importanti utilizzando un software free\/open source per Mac preservando l\u2019integrit\u00e0 della memoria del iPad\n<\/td><td>\n&nbsp;\n<\/td><\/tr><\/tbody><\/table>\n\n\n\n<p>Il primo passo \u00e8 quello di effettuare il backup della memoria interna del iPad. Tale operazione pu\u00f2 essere eseguita mediante l\u2019utilizzo di iTunes.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img src=\"images\/stories\/apple_forensic\/fig02.png\" alt=\"fig02\"\/><\/figure>\n\n\n\n<p><strong>Impostiamo iTunes<\/strong><\/p>\n\n\n\n<p>Per prima cosa bisogna andare all\u2019interno delle preferenze di iTunes ed assicurarsi che sia spuntata l\u2019opzione: \u201c<em>Impedisci a iPod, iPhone e iPad di sincronizzarsi automaticamente<\/em>\u201d<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img src=\"images\/stories\/apple_forensic\/fig03.png\" alt=\"fig03\"\/><\/figure>\n\n\n\n<p>Successivamente possiamo procedere con il collegamento del iPad con il nostro Mac. Il nostro iPad &nbsp;apparir\u00e0 nella barra a sinistra.Con il pulsante destro del mouse facciamo \u201c<em>clic<\/em>\u201d sul nome del iPad e selezioniamo &nbsp;\u201c<em>backup<\/em>\u201d.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img src=\"images\/stories\/apple_forensic\/fig04.png\" alt=\"fig04\"\/><\/figure>\n\n\n\n<p>Una volta che il backup sar\u00e0 effettuato \u00e8 memorizzato nella cartella:<\/p>\n\n\n\n<p><strong>\/Users\/NOMEUTENTE\/Library\/Application Support\/MobileSync\/Backup.<\/strong><\/p>\n\n\n\n<figure class=\"wp-block-image\"><img src=\"images\/stories\/apple_forensic\/fig05.png\" alt=\"fig05\"\/><\/figure>\n\n\n\n<p>Nella cartella principale troveremo una serie di files che rappresentano il nostro backup<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img src=\"images\/stories\/apple_forensic\/fig06.png\" alt=\"fig06\"\/><\/figure>\n\n\n\n<p>A conclusione della nostra procedura di acquisizione dobbiamo \u201capporre i sigilli\u201d su i dati acquisiti. Dobbiamo conservare l\u2019integrit\u00e0 probatoria dei dati estratti e non solo da un punto di vista fisico ma anche da un punto di vista logico applicando una vera e propria firma digitale su ogni singolo files mediante un algoritmo di hash.<\/p>\n\n\n\n<p>Per compiere quest\u2019operazione ho preparato un piccolo script in bash<\/p>\n\n\n\n<pre class=\"wp-block-preformatted\">#!\/bin\/bash<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\">#############################################################################<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\"># questo script permette di applicare l\u2019algoritmo md5 su una serie di files #<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\"># presenti in una cartella, salvando l\u2019informazione su un file di testo&nbsp;&nbsp;&nbsp;&nbsp; #<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\"># md5_script - - by GDI&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; #<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\">#############################################################################<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\">for FILE in $1\/*; do<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\">md5 $FILE &gt;&gt; md5.txt<\/pre>\n\n\n\n<pre class=\"wp-block-preformatted\">done<br><br>Una volta impostati gli opportuni permessi con il comando \u201c<strong>chmod 755 md5_script<\/strong>\u201d, lo script permette di salvare su un documento di testo (md5.txt) i codici md5 di ogni singolo files inserito nella cartella di backup che \u00e8 stata creata da iTunes\nIn pratica lo script md5_script esegue un ciclo all\u2019interno della directory impostata come variabile \u201c$1\u201d.<strong><br><br>.\/md5_script <\/strong><strong>\/Users\/NOMEUTENTE\/Library\/ApplicationSupport\/MobileSync\/Backup\/NOMEBACKUP<\/strong><br><br>\nSiamo alla fine dell\u2019opera. Abbiamo il nostro backup, abbiamo il nostro file di testo con le firme digitali eseguite su ogni singolo files di backup, \nma non abbiamo un\u2019informazione intellegibile, non abbiamo la c.d. copia Polizia Giudiziaria. <br>La copia Polizia Giudiziaria \u00e8 una copia utile per eseguire i lavori di analisi sulle informazioni contenute all\u2019interno del nostro backup.\nVi \u00e8 un ottimo software gratuito per MacOSX e Windows che consente di estrarre singoli files presenti nel backup fatto da iTunes: \nJuicePhone (<a href=\"http:\/\/www.addpod.de\/juicephone\">http:\/\/www.addpod.de\/juicephone<\/a>.)Una volta installato, basta scegliere il nome del dispositivo che si desidera aprire il backup, scegliere la posizione in cui si desideraestrarre i file ed eseguire una completa estrazione.I file sono estratti nella directory di nostra scelta, secondo la logica AppleLe applicazioni installate sul nostro iPad possono essere analizzate dalla cartella Application Data e le informazioni su i vari programmi e utility (rubrica, maps, calendario, ecc\u2026.) del iPad nelle Librerie presenti nella directory Home\/Library\/eccPer quanto riguarda i dati testuali (rubrica, note, messaggi di testo, e calendario), questi sono memorizzati all\u2019interno di databasein formato SQLite ed \u00e8 necessario utilizzare un software speciale per accedervi, ma questo \u00e8 argomento per un prossimo articolo.\n\n<\/pre>\n","protected":false},"excerpt":{"rendered":"<p>La Cellular o Mobile Forensics \u00e8 la scienza che si occupa di recuperare prove da dispositivi mobili, conservandone l\u2019integrit\u00e0 probatoria mediante l\u2019uso di idonee metodologie di estrazione e di analisi. In campo investigativo, le informazioni ricavate da tali dispositivi sono &hellip;<\/p>\n<p class=\"read-more\"> <a class=\"\" href=\"http:\/\/www.forlex.it\/index.php\/2019\/11\/02\/mobile-forensics-fruttuosa\/\"> <span class=\"screen-reader-text\">Mobile Forensics  &#8220;fruttuosa&#8221;<\/span> Read More &raquo;<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[5],"tags":[],"_links":{"self":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts\/352"}],"collection":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/comments?post=352"}],"version-history":[{"count":1,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts\/352\/revisions"}],"predecessor-version":[{"id":353,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/posts\/352\/revisions\/353"}],"wp:attachment":[{"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/media?parent=352"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/categories?post=352"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.forlex.it\/index.php\/wp-json\/wp\/v2\/tags?post=352"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}