Smartphone Tracking - Theorie und Wirklichkeit -

Transkript

1 Smartphone Tracking - Theorie und Wirklichkeit - Andreas Dhein Polizei Koblenz / Universität Koblenz

2 Gliederung Motivation / Einordnung MSE Untersuchung ios iphonetracker (Warden/Allan) iphonetrackerle Erfahrungen/Probleme Natives GPS (harvesting-tabellen) Untersuchung Android ByteStreamAnalyzer AndroidTrackerLE Erfahrungen/Probleme Ausblick Aktueller Forschungsstand Zukunft der Ortungsdienste 2

3 Motivation SMARTPHONETRACKING 3

4 Locationgate 04/2011 4

5 ... aus Sicht des Benutzers Bilder Around me Navigon Maps 5

6 Mobile System Engineering (?!) Ziel immer und überall verfügbar ressourcenschonend, schnell... aus Sicht der Entwickler Problem GPS (nicht in Gebäuden, frisst Batterien) Funkzellen (keine Geokoordinaten) WiFi (keine Geokoordinaten) Lösung Schwarm-Kartierung 6

7 Untersuchung APPLE IOS 7

8 locationdaemon /-Datenbank Speicherort: /private/var/root/library/caches/locationd seit ios 4.0 bis ios consolidated.db (im itunes-backup, keine Speicherfrist) seit ios consolidated.db (im itunes-backup, leer) cache.db (im physical-backup, bis zu 7 Tage) in ios 5.x, ios 6.x consolidated.db (im itunes-backup, leer) cache.db (im physical-backup, leer) cache_encrypteda.db (im physical-backup, unverschlüsselt! bis zu 5 Tage, Speicherung noch restriktiver) In ios 7.x??? Daten liegen in einer SQLite3-Datenbank... 8

9 SQLite Abfragen CellLocation WiFiLocation SELECT mcc, mnc, lac, ci, timestamp, latitude, longitude, horizontalaccuracy, altitude, verticalaccuracy, speed, course, confidence FROM CellLocation SELECT mac, timestamp, latitude, longitude, horizontalaccuracy, altitude, verticalaccuracy, speed, course, confidence FROM WifiLocation 9

10 GeoDaten von Apple CellLocation WiFiLocation Individuelle Repräsentation der Quelle MCC, MNC, LAC, CI (Funkzellen) MAC (WLAN) Datum des Abrufs der Daten von Apple Zeitstempel in CFAbsoluteTime Geo-Position der Quelle Längen- und Breitengrad Sendereichweite der Quelle Horizontale- und Vertikale Akkuratesse Verlässlichkeit der Ortsgenauigkeit 10

11 iphonetracker 11

12 iphonetrackerle Keine Rasterung!!! Unterscheidung zw. Funkzellen- und WiFi- Daten Einzelne Zeitstempel auswählbar Bericht generieren 12

13 Erfahrungen / Probleme APPLE IOS 13

14 Erfahrungen / Probleme Mehrere Quellen für einen Zeitstempel Wo war das iphone? i.d.r. im Mittel» Kann schief gehen! 14

15 Erfahrungen / Probleme Ergebnis kann nicht konsolidierte Daten enthalten Bsp. Cebit Hanover 15

16 Wie funktioniert assisted GPS SWARM-MAPPING (HARVESTING) 16

17 Gerätelokalisierung FIX Refine Request search determine Locate Transmit 17

18 Schwarmkartierung 1. Daten sammeln auf dem iphone 2. Daten übermitteln Daten consolidieren 3. Daten abrufen von Apple 18

21 Schwarmkartierung Harvest Transmit Consolidate Es muss also auch irgendwo GPS-Daten geben?! 21

22 Bewegungsprofil Das iphone verfügt über einen GPS-Sensor kein Bezug für Andere zu viele Datensätze!!! 22

23 Reduktion Interessante Informationen (Funkzellen und WiFi) Echte GPS-Daten des iphones führt zu einer erheblichen Datenreduktion 23

24 LocationHarvest Datumsangabe zu dem gespeicherten Wegpunkt Zeitstempel in CFAbsoluteTime (lokal) Geo-Position des iphones Längen- und Breitengrad, Höhenangabe Genauigkeit der Positionsbestimmung Horizontale- und Vertikale Akkuratesse Navigationsinformationen Geschwindigkeit in m/s Kurs in Grad 000 = Norden 090 = Osten 180 = Süden 270 = Westen Verlässlichkeit der Ortsgenauigkeit confidence immer 90 (höchste Genauigkeit) TripId and Context Nutzen bisher unbekannt, wird nicht weiter benutzt 24

25 CellLocationHarvest Individuelle Repräsentation der Quelle MCC, MNC, LAC, CI (wie in CellLocation) zusätzlich: ARFCN, PSC, RSCP, ECN0, Operator, Transmit, BundleId Datumsangabe zu dem gespeicherten Wegpunkt Zeitstempel in CFAbsoluteTime (lokal) Geo-Position der Quelle Längen- und Breitengrad, Höhenangabe Genauigkeit der Positionsbestimmung Horizontale- und Vertikale Akkuratesse Navigationsinformationen Geschwindigkeit in m/s Kurs in Grad 000 = Norden 090 = Osten 180 = Süden 270 = Westen Verlässlichkeit der Ortsgenauigkeit confidence immer 90 (höchste Genauigkeit) 25

26 WiFiLocationHarvest Individuelle Repräsentation der Quelle MAC-Adresse (wie in WifiLocation) zusätzlich: Channel, Hidden, RSSI (db), Age, BundleId Datumsangabe zu dem gespeicherten Wegpunkt Zeitstempel in CFAbsoluteTime (lokal) Geo-Position der Quelle Längen- und Breitengrad, Höhenangabe Genauigkeit der Positionsbestimmung Horizontale- und Vertikale Akkuratesse Navigationsinformationen Geschwindigkeit in m/s Kurs in Grad 000 = Norden 090 = Osten 180 = Süden 270 = Westen Verlässlichkeit der Ortsgenauigkeit confidence immer 90 (höchste Genauigkeit) 26

27 CellLocationLocal Dem Namen nach Heimatfunkzelle (...) Übersteht i.d.r. die Datenübertragung an Apple für einen schnelleren GPS-fix (?) 27

28 Positionsbestimmung und Genauigkeit APPLE IOS 28

29 Positionsbestimmung I Reduktion auf eine Position pro Zeitstempel Erster Eintrag Mittelwert/Schwerpunkt Letzter Eintrag forensisch notwendig! 29

30 Positionsbestimmung II Auswertungen haben ergeben: Erster Eintrag Mittelwert/Schwerpunkt Letzter Eintrag am häufigsten. 30

31 Zusammenfassung Apple Wichtigster Grundsatz -sätze: Es geht nicht um die Sender, sondern um das Gerät!!! (Phone) Es geht nicht um das Gerät, sondern um die Sender!!! (Apple) Datenumfang Häufig viele Daten in CellLocation, WiFiLocation Meistens weniger bis keine Daten in den Harvesting Tabellen Genauigkeit Harvesting-Daten sind zu bevorzugen Forensik Positionsschätzung bietet brauchbare Ergebnisse Positionsdaten sind in jedem Fall zu validieren 31

32 Speicherfristen und Datenumfang Merkmal(/(Tabellenname( ios(4.3.2( ios(4.3.3( ios5.x( ( ios6.x( ios7.x( filename( consolidated.db(( cache.db( cache_encrypteda.db( cache_encrypteda.db(???( size((max)( 12,8(MB( 1,4(MB( 0,5(MB( 3,4(MB(???( stored(data((max)( 9(months,(20(days( <(7(days( <(5(days( <(5(days(???( CellLocation(( >(8500(( ~(1000(( ~(500(( ~(2000(???( WiFiLocation(( >(80000(( ~(10000(( ~(5000(( ~(500(???( LocationHarvest( >(2400(( ~1400(( 0(( ~17000(!(???( CellLocationLocal( >(60(( 1(entry( ~30(( ~500(???( CellLocationHarvest( >(90(( ~45(( ~15(( ~350(???( WifiLocationHarvest( >(130(( ~130(( ~80(( ~300(???( AppHarvest((>iOS6)( ( ( ( ~20(???( ( 32

33 Antiforensik Heute nicht J 33

34 Untersuchung GOOGLE ANDROID 34

35 Untersuchung an Google Android Phones adb (Android Debugging Bridge) Android Data Extractor Lite Spreitzenbarth, Freiling, Schmitt 35

36 Keine Ortungsdaten? Standardmäßig ist Assisted-GPS deaktiviert Folglich keine Cachingdaten L Pfad /data/data/com.google.android.location/files/ cache.cell cache.wifi 36

37 cache.cell, cache.wifi Daten liegen als Bytestream vor Informationen in Nicht ASCII Zeichen L 37

38 ByteStreamAnalyzerLE U I I D D L 38

39 Bytestream interpretieren Header Information 2 byte Version 1 bislang immer 1 2 byte Einträge n Anzahl der Datensätze Location Entry(ies) n bytes Schlüssel [mcc:mnc:lac:cid] cell [xx:xx:xx:xx:xx:xx] wifi 4 byte Sendebereich [-1:2 31 ] m 4 byte Verlässlichkeit [0:100] % 8 byte Breitengrad [-90:90] 8 byte Längengrad [-180:180] 8 byte Zeitstempel [-2 63 :2 63 ] s UNIX-timestamp 39

40 Probleme und Erfahrungen GOOGLE ANDROID 40

41 Positionsbestimmung Zeitstempel für Mobilfunk und WLAN unterscheiden sich Gerät war in Bewegung» Zeitstempel für Mobilfunk und WLAN sind gleich» Gerät befindet sich im Bereich des WLAN 41

42 Genauigkeit der Daten Wenn WLAN-Sendebereich außerhalb des Senderadius der Funkzelle liegt, dann Aufenthaltsort nicht bestimmbar Sendebereich der Funkzelle zu klein 42

43 Zusammenfassung Android Alle Positionsdaten werden (von Google) berechnet und müssen daher validiert werden! Im Idealfall betrachtet man Kombinationen von WLAN und Mobilfunkdaten pro Zeitstempel Wenn - Sendebereich Drahtlosnetzwerk innerhalb - Sendebereich Mobilfunknetzwerk dann - liegt die aktuelle Position innerhalb des WLAN-Bereiches 43

44 Aktuelle Forschung 44

45 Promotion An der Uni Koblenz Bei Prof. Grimm Seit Arbeitstitel Begründete Absicherung der analytischen Interpretation der Datenquellen für Geolokalisation im Mobilfunk zur forensischen Auswertung Assuring the analytic interpretation of geolocation resources in the field of mobile forensics 45

46 Forschungsfragen How accurate are the data? i.e. is there a measurement of accuracy for the mapping of the data (i.e. geographical data) regarding the reality the data is about (i.e. geographical place)? How complete are the data? i.e. is there a measurement of completeness for the mapping of the data available from the context the device was in, when the location data were produced? How reliable are the data with respect to errors and manipulations? What are the dimensions for proof of quality for these data in court: are completeness, accuracy, reliability sufficient? Is there a model for proof of quality that is independent from a concrete operation system and hardware? i.e. may the experiences from analysing ios data be transferred to other mobile systems like Android? 46

47 iostracker iphonetrackerle als iphone-app Erforschen verschiedener Einstellungsmöglichkeiten des CLFramework Live-Betrachtung der Daten der cache_encrypteda.db sowie separate Protokollierung Korrelation der protokollierten Daten in Bezug zu den Daten der cache-datenbank Evaluation der Genauigkeit der GPS-Daten Wann werden welche Daten an Apple übermittelt... 47

48 MapView (CoreLocationDaemon) Kartenansicht Detailansicht 48

49 DBView (cache_encrypteda.db) Tabellenansicht Detailansicht 49

50 Aktuellle Entwicklungen APPLE IOS 50

51 iostracker (ios6) Neuer Kartenprovider Neue Tabelle: AppHarvest 51

52 WWDC2012 Neu: Verbesserte Positionsberechnung 10x mehr Access Points 60x mehr Abdeckung Neu: Global Navigation Satellite Systems (GNSS) NavStar (GPS) GLONASS Neu: Straßentracking 52

53 Mehr AssistedGPS Daten bisher Bessere Komprimierung, weniger Nachladen Ab ios6 Verbesserte Energieeffizienz, Schlechter für die Forensik J 53

54 Wann geht s weiter?! Apple ios7 Noch kein Jailbreak verfügbar Keine Möglichkeit der Datenextraktion Google Android > 2.3 agps Mechanismus hat sich geändert Keine cache.cell, cache.wifi Dateien mehr Jailbreak Anfang Suche im RAM?! - LiME 54

55 Vielen Dank für die Aufmerksamkeit!!! Artikel zum Vortrag Kriminaldirektion Koblenz, K15 Dipl.-Inform. Andreas Dhein Moselring Koblenz @4rensiker 55