SITUAÇÃO GERAL DA PERITAGEM FORENSE SOBRE TELEMÓVEIS

Transcrição

1 SITUAÇÃO GERAL DA PERITAGEM FORENSE SOBRE TELEMÓVEIS Técnico Superior de 1.ª classe da Divisão de Informática Forense da PJ Kuan Kim Fei I. INTRODUÇÃO Com o rápido desenvolvimento dos dispositivos móveis e a vulgarização do uso dos smartphones, as pessoas podem desfrutar das facilidades trazidas por esses equipamentos, tais como o despertador, recepção das informações meteorológicas e dos noticiários, acesso às redes sociais etc. Os criminosos, porém, também aproveitam estas características para efectuar as suas actividades ilícitas, por exemplo, efectuar burlas via SMS, enviar programas maliciosos etc., este tipo de prática tem vindo a aumentar nos últimos anos, pondo em risco a segurança. Assim torna-se necessário, na investigação, utilizar várias técnicas para recolher as provas contidas nos telemóveis, de modo a obter provas electrónicas importantes. Características e serviços da tecnologia de comunicação móvel II. EVOLUÇÃO DA TECNOLOGIA DOS DISPOSITIVOS MÓVEIS (I) Tecnologia de comunicação móvel de primeira geração (1G) A tecnologia de comunicação móvel de primeira geração (1G) começou a ser usada no início dos anos 80, na altura os dispositivos móveis mais populares eram aqueles que em chinês eram conhecidos como Dai Koi Dai (o antepassado dos telemóveis actuais). A tecnologia de comunicação móvel de primeira geração era de tipo analógico, podia-se somente comunicar através da voz, a estabilidade da ligação era escassa assim como também a segurança. A tecnologia de comunicação móvel de 1G funcionava com vários protocolos, os mais conhecidos são: 1. NMT (Nordic Mobile Telephone), utilizado nos países nórdicos, leste europeu e União Soviética; 2. AMPS (Advanced Mobile Phone System), utilizado nos Estados Unidos da América e Austrália; 3. TACS (Total Access Communications System), utilizado no Reino Unido; 4. C-Netz (Funktelefonnets-C), utilizado na Alemanha Ocidental, em Portugal e na África do Sul; 5. Radiocom 2000, utilizado na França; 6. RTMI (Radio Telefono Mobile Integrato), utilizado na Itália; 7. TZ 801, TZ 802 e TZ-803, utilizados no Japão. 128

2 (II) Tecnologia de comunicação móvel de segunda geração (2G) Com a entrada em serviço do primeiro Sistema Global para Comunicação Móvel (GSM), no início dos anos 90, na Finlândia, a tecnologia de comunicação móvel passou imediatamente da primeira geração de comunicações analógicas para comunicações digitais. A tecnologia de comunicação móvel de segunda geração vinha com novas funções, possibilidade de enviar mensagens de texto (SMS), fax e também os serviços de dados, naquela altura usava-se o Serviço de Rádio de Pacote Geral (GPRS) para a comunicação digital. Esta geração também era caracterizada por vários protocolos de comunicação: 1. GSM, a tecnologia de comunicação do TDMA (Acesso Múltiplo por Divisão de Tempo), no início era apenas utilizado na Europa, mais tarde acabou por espalhar-se em quase todo o mundo; 2. D-AMPS (Digital AMPS), baseado na tecnologia de comunicação do TDMA, era utilizado principalmente nas Américas; 3. IDEN (Integrated Digital Enhanced Network), baseado na tecnologia de comunicação TDMA, era utilizado nos Estados Unidos da América; 4. PDC (Personal Digital Cellular), baseado na tecnologia de comunicação TDMA, era utilizado somente no Japão; 5. CDMA-One, baseado na tecnologia de comunicação CDMA (Acesso Múltiplo por Divisão de Código), era utilizado principalmente nas Américas e em alguns dos países asiáticos. (III) Tecnologia de comunicação móvel de terceira geração (3G) O padrão 3G é baseado nas normas da União Internacional de Telecomunicações Comparação da velocidade de download entre 3G e 2G (UIT) criado em meados dos anos 90, no âmbito do Programa Internacional de Telecomunicações Móveis (IMT-2000). Através dos serviços de comunicação 3G é possível efectuar e receber chamadas de voz e dados (consultar websites, s, conversas em tempo real etc.), a velocidade de transmissão dos dados também é mais elevada em comparação com os 2G. Os principais protocolos do 3G são: 1. TD-SCDMA (Time Division Synchronous Code Division Multiple Acess) tecnologia de 3G desenvolvida pela China, operada pela China Mobile; 2. CDMA-2000 (Code Division Multiple Access-2000) desenvolvido pelos Estados Unidos da América, utilizado pela China, Hong Kong, Macau, Japão, Taiwan, Correia do Sul e alguns dos operadores de internet dos Estados Unidos da América; ( I V ) T e c n o l o g i a d e comunicação móvel de quarta geração (4G) A tecnologia 4G fornece aos utilizadores uma velocidade muito mais elevada e também satisfaz uma necessidade de uso cada vez mais alargada, dando a possibilidade de passar do serviço tradicional de chamada de 129

3 voz aos serviços multimédia. O padrão do 4G nasceu em 2008 através da Internacional Telecommunication Union Radio (ITU-R), designado por IMT-Advanced. Basea-se na definição do ITU, qualquer das redes sem fio que atingirem os 100Mbps são consideradas como 4G, até ao momento (Agosto de 2014) existem as seguintes tecnologias 4G: 1. LTE Advanced, Long Term Evolution Advanced; 2. WiMAX, Worldwide Interoperability for Microwave Access. III. PRINCÍPIOS DA PERITAGEM FORENSE SOBRE TELEMÓVEIS (I) Conceito de Peritagem Forense sobre Telemóveis Hoje em dia, as funções dos smartphones são muito completas, semelhantes àquelas de um pequeno computador, mas muito mais flexíveis e convenientes do que o computador de mesa. Além dos aplicativos de negócios e entretenimento, possivelmente os criminosos também utilizam os telemóveis para contactar com as pessoas envolvidas em casos criminais, ou podem armazenar dados relacionados com actividades ilícitas nos telemóveis, tais como registos de chamada, SMS, dados da lista de contactos, memorandos, fotografias, gravações sonoras, informações de localização ou registos dos websites consultados, entre outros. Na investigação, para poder obter pistas importantes para a resolução de um caso, temos de efectuar a recolha de provas, exame e análise desses dispositivos móveis imprescindíveis e utilizados por todos. As provas digitais podem estar armazenadas em diferentes dispositivos, por exemplo em computadores de mesa, laptop, servidores de redes, telemóveis, entre outros equipamentos, assim, devido à variedade das técnicas e características de armazenamento dos dados desses dispositivos, precisamos de usar ferramentas específicas e técnicas profissionais para efectuar o trabalho de peritagem, de forma a obter provas digitais importantes. A peritagem forense sobre telemóveis é a recolha, conservação, inspecção e análise das provas digitais relativas a um crime nos dispositivos móveis (tablets, telemóveis, smart cards, memory cards, etc.), para serem utilizados em tribunal. (II) Normas e Princípios da Recolha de Provas nos Telemóveis A característica mais marcante das provas electrónicas é a facilidade com que estas podem ser danificadas ou alteradas, este facto torna-se muito mais real nas provas guardadas nos telemóveis. Se o telemóvel for desligado manualmente ou se se apagar por falta de bateria, os dados em execução, a hora do sistema e outras informações poderão ficar perdidas. Se um telemóvel apagado for ligado arbitrariamente, os SMS recém-recebidos ou as novas chamadas poderão apagar ou substituir os registos anteriores, causando também a perda de provas electrónicas importantes. Por isso, no trabalho da recolha de provas efectuado nos telemóveis, além de tomar decisões de acordo com a experiência, precisamos também de cumprir uma série de normas e princípios sobre a recolha de provas ditadas por instituições de renome. Na área da peritagem forense, o Good Practice Guide for Computer Based Electronic Evidence da Association of Chief Police Officers (ACPO) do Reino Unido, é um dos guias mais reconhecidos da recolha de provas, inclui os seguintes 4 princípios: 130

4 1. Não danificação Neste contexto, a danificação refere-se ao estado físico do próprio dispositivo, e também aos dados digitais armazenados nesse dispositivo. Há várias formas correctas para o fazer, por exemplo durante o transporte podemos embalar o telemóvel para impedir a entrada de água, poeira, electricidade estática, ou usar materiais que protegem das interferências RFI/EMI, assim como não se deve ligar ou desligar o dispositivo móvel com ligeireza. 2. Evitar o uso dos originais Quando a situação o permite, devemos fazer uma cópia completa dos dados armazenados no dispositivo e guardá-los, e efectuar apenas os exames e analisar as cópias feitas expressamente para a peritagem. 3. Registar as operações feitas Desde o momento em que é feita a cópia até à análise desses dados, temos que fazer um registo de todas as operações feitas, para garantir a reprodutibilidade do resultado das provas, de modo a aumentar a credibilidade da perícia. 4. Cumprir a lei e os regulamentos desta área Além de cumprir as normas e os princípios da recolha das provas digitais, devemos ainda cumprir as regulamentações e disposições convencionais da recolha das provas. relatórios, entre estas a mais importante é a recolha de provas, a seguir apresentamos os diferentes métodos da recolha de provas sobre telemóveis: (I) Recolha de provas através de fotografias R e g i s t a r as informações através de fotos tiradas ao exterior e às informações mostradas no ecrã do telemóvel, tendo o cuidado que o dispositivo móvel esteja ligado e a funcionar normalmente. A vantagem deste método é a capacidade de mostrar a observação intuitiva e de forma clara das provas electrónicas, mas a desvantagem é a necessidade de muito trabalho efectivo, bem como o risco de perda das provas electrónicas, se houver falhas na execução. (II) Recolha de provas lógicas IV. MÉTODOS DA RECOLHA DE PROVAS EM TELEMÓVEIS Segundo o Guidelines on Mobile Device Forensics publicado pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos da América (NIST), o trabalho de peritagem sobre telemóveis é dividido em 4 fases, conservação, recolha de provas, análise e elaboração de Na inspecção dos telemóveis, a recolha dos dados lógicos é o método mais comum. Normalmente, usam-se ferramentas específicas para a recolha de dados, fazendo ligações 131

5 com o telemóvel através de cabos, bluetooth e infravermelho entre outros, a seguir, com o sistema operativo de Interface de Programação de Aplicações (API), obtêm-se todos os dados e ficheiros armazenados no dispositivo, que geralmente incluem as seguintes informações: 1. Dados básicos do dispositivo: marca, modelo, identificação internacional de equipamento móvel (IMEI) etc.; 2. Registo das chamadas, incluindo as chamadas não atendidas, recebidas e efectuadas; 3. Mensagens de texto (SMS), e multimediais (MMS); 4. Lista dos contactos; 5. Agenda pessoal: agenda do dia, calendário, memorando etc.; 6. Ficheiros multimédia: imagens, vídeos, áudio etc.; 7. Informações das aplicações: registo de conversas online, registo dos websites visitados e registo das localizações pesquisadas entre outros. (III) Recolha de provas físicas sistemas operativos (Symbian OS da Nokia, Android OS da Google, ios do Apple etc.), procede-se à descodificação, traduzindo os códigos em informações que possam ser interpretados por qualquer pessoa. Por esta razão a recolha de provas físicas é baseada na técnica do dump, que faz uma cópia completa do espaço de armazenamento, poderão assim recuperar-se os dados que foram apagados mas que ainda estão na memória. No entanto, com a abundância de construtoras de telemóveis, modelos diversificados por cada uma dessas marcas, juntamente com equipamentos de diferentes sistemas operativos, assim como diferentes interfaces de transferência de dados, aumentam as dificuldades de recolha de provas físicas. De um modo geral, os equipamentos dos telemóveis que suportam a recolha de provas físicas são muito menos em comparação com a recolha de provas lógicas. (IV) Chip Off Este método causa a destruição física do telemóvel, efectua-se através da remoção da memória flash de NAND (Negative AND) ou NOR (Negative OR) do circuito, depois através dos equipamentos de descodificação, interpretam-se os códigos armazenados nesse dispositivo. Contudo, este método é considerado de alto risco e é difícil de recuperar as provas originais, por isso, é pouco usado. Na realidade, os dados contidos nos telemóveis estão armazenados num espaço chamado memória flash, a recolha das provas físicas é o dump completo dos dados armazenados na memória flash, ou seja, uma cópia do primeiro ao último bit dessa memória, depois, de acordo com os vários 132

6 V. OBSERVAÇÕES A TER EM CONTA NA PERITAGEM DE TELEMÓVEIS Após ter falado das normas e dos princípios da recolha de provas nos telemóveis, vamos falar dos procedimentos e dos diferentes métodos de recolha de provas, a seguir vamos partilhar algumas observações a ter durante a fase de trabalho: (I) Provas convencionais Durante o tratamento das provas electrónicas não podemos ignorar a importância das provas convencionais, pelo que na investigação, as provas convencionais e as electrónicas possuem o mesmo valor e importância, portanto, precisamos de estar atentos e proteger as provas convencionais durante o nosso trabalho, por exemplo as impressões digitais, vestígios de sangue etc.; (II) Equipamentos e mensagens relacionados com o dispositivo móvel Na recolha de provas relativas aos telemóveis no local do crime, devemos verificar se haverá outros equipamentos relacionados com o dispositivo móvel, tais como memory card, smart card, cabos, carregador de baterias, papéis com registo de senhas etc.; (III) Tratamento a dar às provas electrónicas As provas electrónicas armazenadas nos telemóveis podem ser facilmente alteradas, são instáveis (basta a chegada de uma nova chamada, a recepção de uma mensagem ou a bateria estar vazia) e os dados perdem-se facilmente. Por isso, na investigação devemos trabalhar o mais rápido possível, garantindo assim a integridade das provas obtidas; (IV) Sequência das provas As provas recolhidas durante a investigação devem estar ligadas com os factos do caso, estas precisam ser algo significativo para provar um crime, pois o método de recolha das provas deve ser efectuado de acordo com a lei, fazendo sempre um registo completo desde a descoberta das provas, assim como na apreensão, transporte, transferência, conservação, inspecção, análise etc., fazendo com que esta sequência consiga eliminar qualquer dúvida e nos permita levar as provas até ao julgamento; (V) PIN do smart card Normalmente, o Número de Identificação Pessoal (PIN) dos smart card é pré-definidos pelos operadores dos serviços de telecomunicações, mas também pode ser modificado pelo utilizador. Se o PIN for introduzido erradamente por três vezes, o smart card ficará temporariamente bloqueado, sendo necessário utilizar o PUK (PIN Unblock Key) fornecido pelo operador dos serviços de telecomunicações, mas se a introdução do PUK estiver errada por 10 vezes, o smart card ficará bloqueado permanentemente, assim não será possível ter acesso aos dados armazenados; (VI) Equipamentos de protecção contra as interferências RFI/EMI No transporte e recolha das provas nos telemóveis é muito difícil evitar a recepção de novas chamadas ou mensagens, enquanto o telemóvel estiver ligado, e com um espaço de armazenamento limitado, as provas electrónicas importantes poderão ser substituídas. Além disso, com a popularização de smartphones e tablets, equipados com funções cada vez mais potentes, os produtores 133

7 de smartphones aumentam a segurança e protecção da privacidade, hoje em dia quase todos estes aparelhos têm uma função de protecção anti-furto, se o telemóvel for perdido, esta função evita o furto dos dados pessoais gravados no telemóvel, desempenhando um papel muito importante na protecção da privacidade. O usuário pode mandar determinadas ordens ao smartphone perdido, através da internet, apagando assim, à distância, todos os dados nele contidos. Do mesmo modo, os criminosos utilizam também esta função para transmitir ordens aos telemóveis apreendidos, para apagar todos os dados contidos, com o objectivo de destruir as provas electrónicas armazenadas nesses telemóveis. Para evitar que o aparelho apreendido seja contactável pelo exterior e prevenir qualquer interferência ou danificação das provas armazenadas, assim como garantir a segurança, integridade e legitimidade dessas provas durante o processo de exame e análise, devemos fazer os possíveis para evitar estes riscos. Os equipamentos para proteger das interferências RFI/EMI usadas durante a inspecção têm exigências rigorosas, além de bloquear a conexão entre os telemóveis e os operadores dos serviços de telecomunicações, garantem que não haja qualquer comunicação, mesmo que pequena, durante o exame, eliminando assim o risco que haja influências externas. Por isso a peritagem dos dispositivos móveis deve ser efectuada num ambiente protegido das interferências RFI/EMI. VI. AS ACTUALIZAÇÕES DOS TELEMÓVEIS ULTRAPASSAM AS FERRAMENTAS PARA RECOLHA DE PROVAS Com o avanço e desenvolvimento da tecnologia de comunicações móveis e os derivados equipamentos, os poderosos smartphones das diferentes grandes marcas podem ser encontrados em todo o lado, oferecem muitas facilidades para o nosso dia-a-dia, a divulgação de um novo modelo ou tecnologia atrai certamente um grande número de compradores. Contudo, esta facilidade fornece inevitavelmente novos meios aos criminosos, os casos que envolvem ou que utilizam telemóveis têm aumentado substancialmente, trazendo muitos desafios às autoridades judiciais no que diz respeito ao trabalho de investigação e recolha de provas. No âmbito da peritagem sobre dados electrónicos, as ferramentas usadas na perícia sobre computadores são bem desenvolvidas, mas aquelas para peritagem nos telemóveis são poucas, pelo facto de os grandes fabricantes utilizarem, na produção dos telemóveis, tecnologias próprias e formatos específicos exclusivos da sua empresa, até na produção do mesmo modelo pelo mesmo fabricante, podem ser utilizadas diferentes estruturas tecnológicas, sendo esses design e tecnologias considerados como segredos comerciais pelos fabricantes, não serão facilmente divulgados. Além disso, com a actualização constante dos padrões dos hardwares e sistemas operativos, têm havido muitas dificuldades para a peritagem sobre estes aparelhos, a velocidade de desenvolvimento das ferramentas que auxiliam a recolha de provas não coincide com a velocidade com que chegam os novos produtos, muitas vezes não conseguimos examinar e analisar totalmente os dados armazenados nos telemóveis. Por isso, devemos apetrechar os laboratórios com as ferramentas necessárias de acordo com os novos produtos que aparecem no mercado, esta é uma das principais vias para melhorar a peritagem sobre telemóveis. 134

8 VII. CONCLUSÃO Com o avanço constante da tecnologia de comunicação móvel, bem como a taxa de penetração cada vez mais alta dos smartphones, os casos criminais relacionados com estes também aumentam, a velocidade dos novos telemóveis postos à venda é muito mais elevada da dos computadores, o trabalho de peritagem enfrenta assim cada vez mais desafios. Os dispositivos móveis possuem características de tamanho, peso, são equipados com poderosas funções, fáceis de transportar, muito populares etc., levando as pessoas a depender cada vez mais deles. Contudo, os criminosos também utilizam estas ferramentas para as suas actividades ilícitas, por isto os crimes de alta tecnologia tem vindo a aumentar constantemente. Assim, a recolha de provas electrónicas nos telemóveis é importante, para que estas possam ser apresentadas nos julgamentos, sendo isto algo imprescindível ao combate e prevenção criminal. Bibliografia: ACPO Good Practice Guide for Digital Evidence. Association of Chief Police Officers. Guidelines on Mobile Device Forensics Revision 1. Rick Ayers, Sam Brothers, Wayne Jansen.NIST Tapping into Wireless: The Savvy Investor s Guide to Profiting from the Wireless Wave. Tom Taulli. Dave Mock. McGraw-Hill GSM Mobile Phones in Forensic Investigation. Dogan Ibrahim. VDM Verlag Técnicas da Recolha de Provas nos Telemóveis, Sun Yi, Yang Pu, Sheng Da, Li Zhengxiang e Ma Ding, Editora Chinese People s Public Security University, Physical Acquisition Methods to the Development of Android Live SD Forensic System, Chen Shengwen, Yang Zhonghuang e Liu Jianzong, Comparação e Análise dos Sistemas Operativos dos Smartphones e Breve Apresentação do Padrão da Peritagem Forense das Provas Electrónicas, Lin Yilong, Wu Taiguo e Lu Zonglin. Crime Tecnológico e Forense Digital, Wang Xuzheng, Lin Zhuxing e Zuo Ruilin, Editora Dr. Master,