Hướng dẫn pháp y để thu thập dữ liệu tin nhắn trên iOS

quantri 2021-07-25 Bài viết chia sẻ thông tin, Điều tra dữ liệu

Các ứng dụng nhắn tin đã trở nên rất thân thuộc trong cuộc sống của chúng ta. Trong công việc, cuộc sống hay các vấn đề khác, việc nhắn tin bằng văn bản, hình ảnh thông qua các ứng dụng như iMessage, Skype, Telegram, WhatsApp, Signal, Zalo là việc hàng ngày của mọi người. Chính vì vậy, việc thu thập dữ liệu các cuộc trò chuyện tin nhắn và lịch sử giao tiếp có thể có vai trò cực kỳ quan trọng đối với việc điều tra tội phạm. Trong bài viết này, chúng tôi so sánh sáu ứng dụng tin nhắn tức thời hàng đầu trong bối cảnh trích xuất, phân tích dữ liệu điện tử của chúng.

Trích xuất và phân tích dữ liệu điện tử

Nói về iOS, có một số phương pháp để thu thập thông tin liên lạc thông qua ứng dụng nhắn tin tức thì. Cuộc tấn công MITM (man-in-the-middle) thực tế nằm ngoài câu hỏi đối với hầu hết các ứng dụng nhắn tin tức thời hiện đại hiện nay; nếu có ngoại lệ, chúng tôi không nói về những điều đó (tham khảo từ khóa “Pegasus NSO”). Ngay cả trên các thiết bị Android, một cuộc tấn công MITM sẽ yêu cầu cài đặt chứng chỉ SSL của bên thứ ba và thậm chí điều đó có thể không hoạt động đối với một số trình nhắn tin tức thì.

Khả năng có được lịch sử giao tiếp từ nhà cung cấp dịch vụ là một công cụ tuyệt vời trong tay cơ quan thực thi pháp luật. Các chính sách của các nhà cung cấp khác nhau rất khác nhau, từ công bố đầy đủ gần như tức thì đến không công bố thông thường với các điểm dừng ở giữa. Chúng tôi sẽ thảo luận chi tiết về nó cho từng ứng dụng nhắn tin.

Có thể khai thác dữ liệu một số nguồn cloud, bao gồm dữ liệu được đồng bộ hóa iCloud (bao gồm dữ liệu được mã hóa đầu cuối), sao lưu iCloud và sao lưu độc lập trong iCloud Drive. Nhà cung cấp quyết định vị trí và cách thức lưu trữ dữ liệu.

Cuối cùng, dữ liệu có thể được trích xuất từ chính thiết bị iPhone. Đối với một số ứng dụng nhắn tin, trích xuất hợp lý thông qua các bản sao lưu kiểu iTunes backup là đủ, trong khi một số ứng dụng nhắn tin khác không lưu trữ bất kỳ thứ gì trong các bản sao lưu cục bộ. Hình ảnh hệ thống tệp (và trong một số trường hợp, giải mã chuỗi khóa) luôn đủ để có được quyền truy cập đầy đủ vào lịch sử hội thoại.

Vì vậy, hãy để chúng tôi xem các tùy chọn trích xuất khác nhau có sẵn cho sáu ứng dụng nhắn tin tức thì hàng đầu dành cho iOS.

iMessage

iMessage được cài đặt sẵn trên mọi iPhone và iPad. Là một ứng dụng được cài đặt sẵn, iMessage được hưởng lợi từ cơ sở người dùng khổng lồ của toàn bộ hệ sinh thái Apple. Dựa trên những thông tin được Apple chia sẻ, iMessage ước tính có khoảng 1,6 tỷ người dùng đang hoạt động trên toàn thế giới, con số này chủ yếu dựa vào số lượng người dùng iPhone. Trở lại năm 2016, dịch vụ này đã xử lý khoảng 200.000 iMessages mỗi giây.

Yêu cầu pháp lý: Mặc dù Apple vẫn duy trì lịch sử các cuộc trò chuyện iMessage trên máy chủ của mình, nhưng dữ liệu được bảo vệ với cái mà Apple gọi là “mã hóa đầu cuối”. Cuối cùng, Apple không cung cấp iMessages khi phục vụ các yêu cầu của chính phủ.
Dữ liệu Cloud: Apple giữ một bản sao của các cuộc trò chuyện iMessage trong iCloud. Dữ liệu được mã hóa bằng khóa được bảo vệ bằng mật khẩu khóa màn hình hoặc mật khẩu hệ thống của người dùng. Mặc dù có thể lấy được iMessages từ iCloud, nhưng người ta sẽ cần bộ thông tin xác thực hoàn chỉnh bao gồm ID Apple và mật khẩu của người dùng; yếu tố xác thực thứ hai; và mật mã khóa màn hình hoặc mật khẩu hệ thống của một trong các thiết bị của người dùng.
Local Backups: iMessages luôn có sẵn trong các bản sao lưu cục bộ. Thu thập logic cho phép trích xuất các thông điệp.
iCloud Backups: Apple chỉ lưu trữ iMessages trong bản sao lưu iCloud nếu đồng bộ hóa (Tin nhắn iCloud) không được bật.
iCloud Drive: n/a.
File System (Hệ thống tệp): iMessage không có bất kỳ tính năng bảo vệ bổ sung nào đối với cơ sở dữ liệu đang hoạt động. Sau khi hình ảnh hệ thống tệp được chụp từ iPhone, việc trích xuất và phân tích các cuộc trò chuyện iMessage rất đơn giản.

Đánh giá việc thu thập dữ liệu iMessage: Việc thu thập thông tin liên lạc iMessage của người dùng là có thể nhưng khó khăn vì có nhiều biến số khác nhau. Các cuộc hội thoại iMessage có thể được trích xuất từ nhiều nguồn, tuy nhiên, danh sách chính xác của chúng phụ thuộc vào cấu hình của người dùng.

Với hơn 2 tỷ người dùng trên toàn thế giới, WhatsApp là một trong những ứng dụng nhắn tin tức thời phổ biến nhất (nếu không muốn nói là phổ biến nhất) trên toàn thế giới. Mặc dù giao tiếp WhatsApp dựa trên giao thức Signal sử dụng mã hóa end-to-end, nhưng thực tế đó không làm cho WhatsApp an toàn hơn các ứng dụng nhắn tin khác vì WhatsApp giữ bản sao lưu lịch sử hội thoại của nó, giúp chúng có thể dễ dàng truy cập bằng một số kỹ thuật chuyển đổi.

Yêu cầu pháp lý: WhatsApp không lưu trữ lịch sử trò chuyện trên máy chủ của mình. Do đó, chỉ có thể nhận được các tin nhắn đang chờ xử lý (chưa gửi) khi có yêu cầu pháp lý.
Dữ liệu Cloud: Facebook không giữ các cuộc trò chuyện WhatsApp trên máy chủ của mình và việc mua lại đám mây nói chung không thể thực hiện được với một ngoại lệ. Các tin nhắn chưa gửi (đang chờ xử lý) vẫn được lưu trữ trên máy chủ và có thể được tải xuống bằng phần mềm pháp y bằng cách xác thực dưới dạng ứng dụng WhatsApp mới.
Local Backups: Lịch sử giao tiếp của WhatsApp hiển thị trong cả local backups iOS và cloud (vẫn có ngoại lệ).
iCloud Backups: Tương tự như trên. Thông thường, lịch sử cuộc trò chuyện WhatsApp có thể được trích xuất từ các bản sao lưu iCloud.
iCloud Drive: WhatsApp có tùy chọn để lưu các bản sao lưu độc lập, độc quyền trong iCloud Drive. Mặc dù có thể dễ dàng tải xuống các bản sao lưu này, nhưng chúng được bảo vệ bằng mã hóa đầu cuối. Do đó, người ta phải xác thực là ứng dụng khách WhatsApp để giải mã bản sao lưu. Điều này yêu cầu quyền truy cập vào số WhatsApp đã đăng ký của người dùng.
File System (Hệ thống tệp): WhatsApp không có bất kỳ tính năng bảo vệ bổ sung nào đối với cơ sở dữ liệu đang hoạt động. Sau khi hình ảnh hệ thống tệp được chụp từ iPhone, việc trích xuất và phân tích các cuộc trò chuyện trên WhatsApp rất đơn giản.

Đánh giá việc thu thập dữ liệu WhatsApp: Việc thu thập dữ liệu WhatsApp của người dùng dễ dàng hơn mức trung bình. Các cuộc trò chuyện WhatsApp có thể được trích xuất từ gần như mọi nguồn có sẵn bao gồm các bản sao lưu cục bộ và đám mây.

Telegram cung cấp một trong những trải nghiệm nhắn tin đa nền tảng tiên tiến nhất trong thế giới của các trình nhắn tin tức thì. Cung cấp các ứng dụng cho hầu hết mọi nền tảng có thể tưởng tượng được, Telegram có thể được sử dụng trên nhiều thiết bị di động và máy tính để bàn. Không giống như WhatsApp một ứng dụng khách hoàn toàn, người dùng Telegram có thể đăng nhập trên nhiều thiết bị cùng một lúc. Năm 2018, Telegram đạt 200 triệu người dùng hoạt động hàng tháng với gần 300 triệu tin nhắn được gửi hàng ngày.

Telegram sử dụng dịch vụ Cloud để gửi, lưu trữ và đồng bộ hóa các tin nhắn. Dịch vụ cung cấp cho người dùng có ý thức về quyền riêng tư tùy chọn trò chuyện riêng tư với tùy chọn được gọi là ‘trò chuyện bí mật’. Các cuộc trò chuyện bí mật, không giống như các cuộc trò chuyện thông thường, không bao giờ được lưu trữ trên máy chủ Telegram.

Yêu cầu pháp lý: Telegram lưu giữ lịch sử toàn diện về các cuộc trò chuyện thường xuyên (không bí mật) của người dùng trên các máy chủ của nó. Các cuộc trò chuyện thông thường và nhóm có thể được thực hiện khi có yêu cầu pháp lý tùy thuộc vào khu vực tài phán. Các cuộc trò chuyện bí mật không bao giờ được lưu trữ và không thể lấy được khi có yêu cầu hợp pháp. Telegram đáng chú ý vì đã bỏ qua các yêu cầu pháp lý ở một số khu vực pháp lý, điều này đã khiến dịch vụ bị cấm ở một số quốc gia.
Dữ liệu Cloud: Như đã đề cập ở trên, Telegram giữ lịch sử trên các máy chủ của riêng mình. Bằng cách xác thực với tư cách là người dùng, người ta có thể lấy các thông tin liên lạc đó (ngoại trừ các cuộc trò chuyện bí mật) từ các máy chủ Telegram.
Local Backups: Telegram không lưu trữ các cuộc hội thoại trong bản sao lưu cục bộ. Thay vào đó, lịch sử cuộc trò chuyện được đồng bộ hóa bằng dịch vụ đám mây của Telegram.
iCloud Backups: Tương tự như trên. Telegram không lưu trữ lịch sử hội thoại trong các bản sao lưu iCloud.
iCloud Drive: Không có bản sao lưu độc lập nào trong iCloud Drive.
File System (Hệ thống tệp): Telegram không có bất kỳ tính năng bảo vệ bổ sung nào đối với cơ sở dữ liệu đang hoạt động. Sau khi hình ảnh hệ thống tệp được chụp từ iPhone, việc trích xuất và phân tích các cuộc trò chuyện Telegram bao gồm các cuộc trò chuyện bí mật và tệp đính kèm là điều không cần thiết.

Đánh giá việc thu thập dữ liệu Telegram: Chúng tôi coi mức độ phức tạp của việc mua lại Telegram ở mức trung bình. Các cuộc trò chuyện Telegram (bao gồm cả các cuộc trò chuyện bí mật) có thể được trích xuất từ hình ảnh hệ thống tệp iOS. Các cuộc trò chuyện thông thường có thể được thực hiện khi có yêu cầu pháp lý từ Telegram.

Signal

Dựa theo những số liệu được công bố công khai, Signal dường như không phổ biến rộng rãi. Tuy nhiên, ứng dụng nhắn tin tức thời này đã được phát triển và tiếp thị như một công cụ cung cấp quyền riêng tư và bảo mật tối ưu cho thông tin liên lạc. Chỉ đạt được nửa triệu người dùng, Signal đã trở thành lựa chọn giao tiếp trên thực tế của những người có điều gì đó muốn che giấu.

Signal triển khai một giao thức truyền thông bảo mật cao sử dụng mã hóa end-to-end. Không giống như WhatsApp, dựa trên cùng một giao thức, việc triển khai của Signal an toàn hơn rất nhiều. Signal mã hóa các tin nhắn đang chuyển tiếp và không lưu trữ lịch sử hội thoại trên máy chủ của nó. Hơn nữa, Signal mã hóa cơ sở dữ liệu hoạt động của nó, khiến việc thu thập khó khăn ngay cả khi một người có quyền truy cập vào thiết bị vật lý.

Yêu cầu pháp lý: Signal không lưu giữ lịch sử giao tiếp trên máy chủ của mình. Vì không có gì để yêu cầu, không thể nhận được các cuộc trò chuyện Signal với các yêu cầu pháp lý.
Dữ liệu Cloud: Signal không lưu giữ các cuộc trò chuyện trên máy chủ của nó. Không thể mua lại đám mây.
Local Backups: Signal không lưu trữ các cuộc trò chuyện trong bản sao lưu cục bộ (iTunes).
iCloud Backups: Tương tự như trên. Signal không lưu trữ lịch sử hội thoại trong các bản sao lưu iCloud.
iCloud Drive: Không có bản sao lưu độc lập trong iCloud Drive.
File System (Hệ thống tập tin): Cơ sở dữ liệu Signal được mã hóa. Khóa mã hóa được lưu trữ trong chuỗi khóa với lớp bảo vệ cao nhất. Cần phải trích xuất và giải mã chuỗi khóa để giải mã cơ sở dữ liệu Signal.

Đánh giá việc thu thập dữ liệu Signal: Signal là một trong các công cụ khó trích xuất và phân tích. Cách duy nhất để trích xuất cuộc hội thoại Signal yêu cầu trích xuất hình ảnh hệ thống tệp và giải mã chuỗi khóa. Các trích xuất logic, đám mây và biện pháp pháp lý là vô ích.

Skype

Skype là một trong những ứng dụng nhắn tin tức thời lâu đời nhất. Dịch vụ nhắn tin tức thời do Microsoft sở hữu có các ứng dụng cho hầu hết các nền tảng phổ biến. Vào tháng 3 năm 2020, Skype được 100 triệu người sử dụng hàng tháng. Khoảng 40 triệu người sử dụng nó hàng ngày. Microsoft giữ lại lịch sử hội thoại Skype trên các máy chủ của mình. Không cung cấp các tùy chọn liên lạc ‘riêng tư’ hoặc ‘bí mật’ và sẵn sàng hợp tác với các chính quyền địa phương, Microsoft cung cấp dịch vụ thân thiện với cơ quan thực thi pháp luật nhất trong số đó.

Yêu cầu pháp lý: Microsoft lưu giữ lịch sử toàn diện về các cuộc trò chuyện Skype của người dùng trên máy chủ của mình. Microsoft sẵn sàng hợp tác với cơ quan thực thi pháp luật, cho phép nhận thông tin liên lạc qua Skype thông qua các yêu cầu pháp lý.
Dữ liệu Cloud: Microsoft lưu giữ các cuộc hội thoại Skype trên máy chủ của mình. Các chuyên gia có thể tải xuống lịch sử Skype bằng cách đăng nhập vào Tài khoản Microsoft của người dùng.
Local Backups: Skype không còn giữ các cuộc hội thoại trong bản sao lưu cục bộ. Thay vào đó, lịch sử hội thoại được đồng bộ hóa thông qua Tài khoản Microsoft của người dùng.
iCloud Backups: Tương tự như trên. Microsoft không lưu trữ lịch sử hội thoại trong các bản sao lưu iCloud.
iCloud Drive: Không có bản sao lưu Skype độc lập nào trong iCloud Drive.
File System (Hệ thống tệp): Skype không có bất kỳ tính năng bảo vệ bổ sung nào đối với cơ sở dữ liệu đang hoạt động. Sau khi ảnh hệ thống tệp được chụp từ iPhone, việc trích xuất và phân tích các cuộc trò chuyện trên Skype là đơn giản.

Đánh giá việc thu thập dữ liệu Skype: Chúng tôi coi mức độ phức tạp của việc mua lại Skype là ở mức trung bình. Skype không có các cuộc trò chuyện ‘bí mật’, cũng như không sử dụng mã hóa đầu cuối cho cơ sở dữ liệu của mình. Các cuộc hội thoại Skype có thể được trích xuất từ hình ảnh hệ thống tệp iOS. Microsoft sẵn sàng hợp tác với cơ quan thực thi pháp luật, cho phép nhận thông tin liên lạc qua Skype thông qua các yêu cầu pháp lý. Ngoài ra, liên lạc Skype có thể được trích xuất từ Cloud bằng cách xác thực với tư cách là người dùng.

Zalo

Với khoảng 64 triệu người dùng thường xuyên và 1,7 tỷ tin nhắn được gửi đi mỗi ngày, Zalo của VNG hiện đang là ứng dụng nhắn tin tức thời phổ biến nhất (nếu không muốn nói là phổ biến nhất) tại Việt Nam. Zalo không sử dụng mã hóa đầu cuối end-to-end , nó lưu giữ bản sao lưu lịch sử hội thoại của nó trên thiết bị, giúp chúng có thể dễ dàng truy cập bằng một số kỹ thuật chuyển đổi.

Yêu cầu pháp lý: Zalo không lưu trữ lịch sử trò chuyện trên máy chủ của mình một cách tự động mà chỉ lưu trữ thủ công theo yêu cầu của người dùng. Tuy nhiên, chưa có thông tin xác thực rằng Zalo cung cấp dữ liệu người dùng khi có yêu cầu từ cơ quan thực thi pháp luật
Dữ liệu Cloud: VNG đang phát triển tính năng Cloud để lưu giữ tệp tin và tin nhắn. Các dữ liệu thuộc phiên bản trước đây nếu có lưu thì sẽ sử dụng Google drive để lưu trữ.
Local Backups: Lịch sử giao tiếp của Zalo hiển thị trong cả local backups iOS và cloud.
iCloud Backups: Lịch sử cuộc trò chuyện WZalo có thể được trích xuất từ các bản sao lưu iCloud.
iCloud Drive: Không có bản sao lưu độc lập nào của Zalo trên iCloud Drive.
File System (Hệ thống tệp): Zalo không có bất kỳ tính năng bảo vệ bổ sung nào đối với cơ sở dữ liệu đang hoạt động. Sau khi hình ảnh hệ thống tệp được chụp từ iPhone, việc trích xuất và phân tích các cuộc trò chuyện trên Zalo rất đơn giản.

Đánh giá việc thu thập dữ liệu Zalo: Việc thu thập dữ liệu Zalop của người dùng dễ dàng. Các cuộc trò chuyện Zalop có thể được trích xuất từ gần như mọi nguồn có sẵn bao gồm các bản sao lưu cục bộ và đám mây.

KẾT LUẬN

Có rất nhiều công cụ nhắn tin tức thời xung quanh mà chúng ta khó có thể giải quyết trong một bài viết. Line, Viber, QQ, WeChat, Facebook Messenger và nhiều ứng dụng nhắn tin khác có sẵn cho nhiều nền tảng khác nhau. Chúng tôi sẽ tiếp tục nghiên cứu, dần dần bổ sung hỗ trợ cho các công cụ giao tiếp bổ sung.