Digitalforensischer Prozess in Verfahren betreffend Entsiegelung von elektronischen Datenträgern

Transkript

1 Tagung ZMG/TMC Digitalforensischer Prozess in Verfahren betreffend Entsiegelung von elektronischen Datenträgern Maurizio Tuccillo Dr. phil. nat.

2 Agenda (1) Einleitung Bedeutung der digitalen Spurenlage in Verfahren Allgemeine Problemfelder: Zugang, Erschliessung, Menge Normaler digitalforensischer Prozess Sicherstellung der digitalen Spurenlage Datenspiegelung Aufbereitung und Erschliessung der Information anhand der Originalspur (Kopie) Analyse der Information durch Iteration Isolation und Präsentation der relevanten Information

3 Agenda (2) Digitalforensischer Prozess im Entsiegelungsverfahren Geänderter Ablauf Daraus resultierende Schwierigkeiten Definition der Filterungskriterien Triage der Information (Verlust von Kontext, Änderung der Originalspur) Präsentation der Information zur Entscheidung Aushändigung partieller Information Beispiele aus der Praxis Fazit & Fragen

4 Einleitung

5 «Cyber» ein altes Schlagwort macht neu die Runde Eintrag Duden «Kybernetik»: [englisch cybernetics, 1948 geprägt von dem amerikanischen Mathematiker N. Wiener ( ), zu griechisch kybernētikḗ (téchnē) = Steuermannskunst, zu: kybernḗtēs = Steuermann, zu: kybernãn = steuern] wissenschaftliche Forschungsrichtung, die Systeme verschiedenster Art (z. B. biologische, technische, soziologische Systeme) auf selbsttätige Regelungs- und Steuerungsmechanismen hin untersucht.

6 Was ist der moderne Cyberspace? Durch den (weltumspannenden) Zusammenschluss lokaler Netzwerke entstehender, digitaler Datenraum Erzeugt räumlich anmutende virtuelle Bedienungs-, Arbeits-, Kommunikations- und Erlebnisumgebungen Alle können mitmachen, solange er/sie/es IP spricht! Fast vollständig fehlende Regulierung! Aktionsraum digitaler Identitäten! Digitale Identitäten stehen in Bezug zu realen Personen

7 Ausmass von Cyberkriminalität Quelle: KOBIK Rechenschaftsbericht 2014

8 Prozentuale Entwicklung nach StGB-Artikel Quelle: KOBIK Rechenschaftsbericht 2014

9 Definition Digitale Forensik Die im Rahmen einer kriminaltechnischen (gerichtlichen) Untersuchung angewandten wissenschaftlichen Methoden zur Sicherstellung, Bewahrung, Aufbereitung, Analyse und Interpretation von Daten in digitaler Form mit dem Ziel, gerichtsfeste, fallrelevante Informationen (Indizien) zu liefern. Dabei sind die zu untersuchenden IT-Mittel entweder das Ziel, das Werkzeug oder ein zufälliges Hilfsmittel einer verbotenen, verdächtigen oder ungewöhnlichen Handlung.

10 Grundsätze der digitalen Forensik Rechtmässigkeit bei der Beschaffung von Daten einhalten Verhältnismässigkeit der Massnahmen wahren Authentizität der Spuren gewährleisten (Fallbezug herstellen) Integrität der Spurenlage bewahren (Unversehrtheit) Nachvollziehbarkeit des Vorgehens sicherstellen Bedeutung der Hinweise belegen und begründen

11 Problemfeld: explodierende Datenmengen

12 Problemfeld: explodierende Datendichten

13 Problemfeld: Datenverschlüsselung Built-In oder Out-of-the-box (ohne Zusatzkosten) Easy to use (erfordert kein Spezialwissen) High Quality (bietet hohe Sicherheit) Brute Force Raten 1 kpps pro GPU (BitLocker) 1 Gpps pro GPU (AES) Zeitbedarf für Brute Force Bitlocker-PW 6-stellig 30y AES y

14 Problemfeld: Cloud Storage Out-of-the-box (ohne Zusatzkosten) Easy to use (erfordert kein Spezialwissen) High Quality??? Security??? Wie feststellen? Wie lokalisieren? Wie Zugriff erlangen?

15 Normaler digitalforensischer Prozess

16 Normaler digitalforensischer Prozess Konzentration auf vier Hauptphasen Identification Erkennung: Was ist relevant? Wo liegt es? Sicherstellung: Wie kann es mitgenommen werden? Preservation Konservierung: Wie wird es unversehrt aufbewahrt? Erschliessung/Aufbereitung: Wie kann es zugänglich gemacht werden? Analysis Interpretation: Was bedeutet es? Presentation Präsentation: Schlüssige, belegbare Darstellung des Befunds!

17 1. Identification Spurensicherung Ziel: Erkennen und sicherstellen der digitalen Spurenlage in bestmöglicher Qualität Fokus auf materielle Spuren Vollständigkeit der Daten anstreben Authentizität der Daten belegen Integrität der Daten gewährleisten Sicheres Bewahren der Daten gewährleisten Nachvollziehbarkeit und Überprüfbarkeit des Vorgehens sicherstellen

18 Konservierung Datenspiegelung Forensische Datenspiegelung vor Ort Physischer oder logischer Schreibschutz Hashwert-Berechnung Spezielle Container-Formate Eigene Zieldatenträger Physische Sicherstellung der Datenträger Forensische Datenspiegelung im Labor Bedingungen wie oben

19 Datenspiegelung Integrität bewahren! Veränderungen der (digitalen) Spurenlage soweit möglich vermeiden! Nur lesend auf Daten zugreifen! Physikalischer Schreibschutz (elektronisch) Logischer Schreibschutz (Software) Hashwert über Daten bilden Ursprungs-Hash (1. Hashwert) Acquisition Hash (2. Hashwert) Verification Hash (3. Hashwert)

20 2. Preservation Konservierung / Aufbereitung Ziel: Bewahren und erschliessen der digitalen Spurenlage Fokus auf immaterielle Spuren Vollständigkeit der Informationen anstreben Authentizität der Informationen belegen Integrität der Daten gewährleisten Sicheres Bewahren der Daten gewährleisten Nachvollziehbarkeit und Überprüfbarkeit des Vorgehens sicherstellen

21 Aufbereitung Erschliessen (unvollständig) gelöschter Daten Dateisystem-Artefakte Kopien (Backup, Shadow Copies) Erschliessen (passwort-)geschützter Daten Erschliessen verschlüsselter Daten Lesbar machen von Inhalten durch geeignete Dekodierung Umfeld Datenanalyse / Reverse Engineering Konsolidieren der gesamten Spurenlage Indexierung aller Textinformationen Extraktion von Bildmaterial Bilden von Timelines

22 3. Analysis Interpretation Ziel: Deuten und erklären der digitalen Spurenlage Fokus auf Gesamtheit der immateriellen Spuren Entwickeln von Hypothesen Plausibilisierung resp. Falsifizierung der Hypothesen Authentizität der Informationen belegen Dokumentation als Basis für die Präsentation

23 Iterativer Prozess Hypothese aufstellen, anpassen Verstehen! Belege prüfen, deuten Belege suchen

24 4. Presentation Ziel: Objektive Erklärung der Entstehung der Spurenlage Fokus auf das Verstehen des (Tat-)Hergangs Belegbare Deutung der Spurenlage Nachvollziehbare Vorgehensweise des Prozesses

25 Digitalforensischer Prozess im Entsiegelungsverfahren

26 Digitalforensischer Prozess im Entsiegelungsverfahren Modifikation der vier Hauptphasen Identification Erkennung: Was ist relevant? Wo liegt es? Sicherstellung: Wie kann es mitgenommen werden? Siegelung/(Teil-)Entsiegelung: Was wird entsiegelt? Preservation Konservierung: Wie wird es unversehrt aufbewahrt? Erschliessung/Aufbereitung: Wie kann es zugänglich gemacht werden? Analysis Interpretation: Was bedeutet es? Presentation Presentation: Schlüssige, belegbare Darstellung des Befunds!

27 Vorgehen bei (Teil-)Entsiegelung Festlegung der Auswahlkriterien Suchbegriffe Interessierende Dokumenttypen Betrachteter Zeitraum Zu berücksichtigende Ablage-/Suchorte Erschliessung und Aufbereitung der Datenlage Verwendete Applikationen Backups und Archive Passwortschutz und Verschlüsselungen Entscheid zur (Teil-)Entsiegelung Auszug von relevanter Information auf separaten Datenträger Prüfung durch Einsichtnahme Festlegung der Auslieferungsform

28 Übertragung von realen Kriterien in digitales Umfeld Kommunikation in einer reale Personengruppe Reale Identitäten bekannt Virtuelle Identitäten Reale Kommunikationsinhalte Formulierte Texte Realer Zeitraum der Kommunikation Digitale Zeitstempel Reale Kommunikationskanäle Dienste, Applikationen, Geräte Belege zu realen Vorgängen (Verträge, Rechnungen, ) Reale Identitäten Virtuelle Identitäten Reale Kommunikationsinhalte Formulierte Texte Realer Zeitraum der Kommunikation Digitale Zeitstempel Reale Dokumente Originaldokumente, Druckformate, Scans, Erfordert Verständnis der darunter liegenden (Digital-)Technik Erfordert vorgängige Abklärungen und Analysen

29 Fiktives Szenario A. Sammler ersteigert in einer Auktion das Gemälde Sonnenblumen von Van Gogh Um anonym zu bleiben lässt er B. Bieter den Kauf abwickeln B. Bieter beauftragt C. Maler eine hochwertige Kopie des Gemäldes anzufertigen und bietet dafür 10% des erzielten Auktionspreises B. Bieter bezahlt C. Maler, gibt die Fälschung und das Echtheitszertifikat des Auktionshauses an A. Sammler weiter und behält den echten Van Gogh für sich A. Sammler bemerkt den Schwindel und erhebt Strafanzeige B. Bieter beruft sich bei der Hausdurchsuchung auf sein Berufsgeheimnis (Mandanten) und verlangt eine Datensiegelung

30 Visualisierung der Fakten Adalbert Sammler Sonnenblumen, van Gogh (Kopie) Christoph Maler Beni Bieter Sonnenblumen, van Gogh (Original)

31 Suchbegriffe (1) Identitätsmerkmale (Namen, Adressen) Unbekannte Beteiligte, variierende Schreibweisen, persönliche Anreden, Namenswechsel, Decknamen Technische Adressen (offizielle und geheime) Technische Speicherformate (Codierungen, Logos) Beispiel C. Maler Zum Zeitpunkt des Antrags auf Entsiegelung noch unbekannt Heisst Christoph nennt sich aber ChrisMa Wird von B. Bieter in Mails mit Picasso angesprochen Technische Adresse Verwendet einen Mac (dadurch erscheinen bei B. Bieter Umlaute falsch codiert)

32 Suchbegriffe (2) Textuelle Inhalte Verwendete Sprache (Fremdsprachen, Dialekte, Milieusprachen), Orthographie, geheime Botschaften Technische Speicherformate (Codierungen, Bildformate) Beispiel Sonnenblumen, Van Gogh, Kopie, Fälschung, B. Bieter: Hey Picasso, wann kann ich den Blumenstrauss abholen? C. Maler: Hoi Beni, bi fertig! Esch sehr guet cho. =FC4r muess vor em iipacke aber no chli tr=fc6chne. Bringen n=fc6chscht Ziischtig verby ok? Lg ChrisMa B. Bieter: Hey Picasso, freue mich riesig. Der kommt ins Arbeitszimer. Bezahlung wie abgemacht bar bei Lieferung. Übrigens könnte ich dir noch einen andern Auftrag vermitteln: D. Liebhaber möchte einen Mondrian machen lassen. Interessiert? Beni

33 Interessierende Dokumenttypen Bild-/Videomaterial Unzählige technische Speicherformate (Codecs) Breite Palette von Aufnahmegeräten Breite Palette von Bearbeitungssoftware Suche und Interpretation nur durch Sichtung Textdokumente Zahlreiche technische Speicherformate (Office-Dokumente, PDF, Bildformate) Druckformate Scans, Screenshots, Fotos von Textdokumenten

34 Betrachteter Zeitraum Vorgang im Zeitraum bis Unterschiedliche Zeitstempel, abhängig vom verwendeten System File Created: Anlegen der Datei am Ablageort Last Written: Letzte Modifikation am Inhalt Last Accessed: Letzter Zugriff auf die Datei Entry Modified: Letzte Änderung am Verzeichniseintrag Zeitstempel abhängig von Vorgeschichte (Erzeugen, Kopieren, Verschieben, Sichern, ) Vertrauenswürdige Referenzzeit? Fehlende / manipulierte / gelöschte Metadaten?

35 Zu berücksichtigende Ablage-/Suchorte Dokumente ab Notebook Lokales Dateisystem, lokaler Verzeichnisbaum Erweiterter Verzeichnisbaum, Cloud? Shadow Copies? Lokale oder ausgelagerte Backups? Lokale oder ausgelagerte Datenarchive? Lokale Mailablagen? Mailattachements? System Caches? Gelöschte Datenbereiche?

36 Auszug von Information auf separaten Datenträger Einzelne vollständige Dateien im Allgemeinen problemlos Verlust von Metainformation (Kontext) Gelöschte Dateien Abgrenzung von andern gelöschten Inhalten Fehlende Metainformation Einzelne Objekte (z.b. , Chatnachrichten), Teilinformation (Textpassage), Einzelinformation (Eintrag in Browserverlauf, Logeintrag) Existieren nur in angestammter Umgebung als solche (Kontext) Abgrenzung zu anderer Information teilweise nicht möglich Extraktion/Export verändert die Spur (Integrität) Extraktion/Export verursacht Informationsverlust (Authentizität)

37 Prüfung und Einsichtnahme Einzelne vollständige Dateien im Allgemeinen problemlos Erfordert geeignete Betrachtungssoftware Gelöschte Dateien Je nach Grad der Wiederherstellung (Fragmente) schwierig Technisches Verständnis erforderlich Herstellen von Fallbezug schwierig Einzelne Objekte (z.b. , Chat), Teilinformation (Textpassage), Einzelinformation (Eintrag in Browserverlauf, Logeintrag) Erfordert geeignete Betrachtungssoftware Herstellen von Fallbezug schwierig Auslieferungsform Digital birgt Gefahr von unkontrollierten Schatteninformation Beispiel: GPS Daten in Bildern

38 Fazit Eigentlich wäre Negativ-Liste statt Positiv-Liste einfacher! Iteration (Analyse) in Entsiegelungsprozess vorziehen 1. Runde offene Suchkriterien (Bsp. alle s im Zeitraum X) 2. Runde einschränkende Suchkriterien (Bsp. s zwischen B und C) 3. Runde definitive Auswahl (Bsp. s hinsichtlich Auftrag, Auszug) Beizug der sachverständigen Person bei der Formulierung der Suchkriterien Definition durch Gesuchsteller Technische Umsetzbarkeit durch Sachverständigen Prüfung durch Gegenpartei Beauftragung durch Gericht

39 Fragen