安卓手機(jī)取證方法的有效性分析

文/代城濤

隨著信息技術(shù)的不斷發(fā)展，智能手機(jī)的功能也越來(lái)越全面，能夠像傳統(tǒng)計(jì)算機(jī)系統(tǒng)一樣根據(jù)用戶(hù)的基本需求安裝各類(lèi)實(shí)用軟件，能夠同時(shí)滿(mǎn)足用戶(hù)的游戲娛樂(lè)、影視觀看、信息、網(wǎng)絡(luò)連接等多種需求，是一個(gè)綜合全面的信息終端設(shè)備。據(jù)相關(guān)統(tǒng)計(jì)顯示，我國(guó)安卓手機(jī)的市場(chǎng)占有率以及達(dá)到了86.4%，僅2017年第一季度，安卓手機(jī)的全國(guó)銷(xiāo)量統(tǒng)計(jì)便已達(dá)到了3.271億臺(tái)，可見(jiàn)安卓手機(jī)在我國(guó)使用的普遍性。隨之而來(lái)的安卓手機(jī)在各類(lèi)犯罪活動(dòng)中所占的比例也在不斷增加，可見(jiàn)，對(duì)犯罪分子安卓手機(jī)的查調(diào)查在當(dāng)今犯罪偵查中的重要性。

1 安卓手機(jī)取證的現(xiàn)狀

安卓手機(jī)是移動(dòng)信息技術(shù)的終端設(shè)備，與傳統(tǒng)手機(jī)相比，安卓智能手機(jī)的作用更多，能夠根據(jù)用戶(hù)需求自行安裝各類(lèi)溝通、游戲以及辦公等軟件，為人們的生活工作提供了更多的便利條件。實(shí)際調(diào)查工作過(guò)程中，各類(lèi)職務(wù)犯罪中安卓手機(jī)中包含的信息證據(jù)也越來(lái)越多，對(duì)犯罪分子手機(jī)中各類(lèi)信息數(shù)據(jù)的調(diào)查和取證也越來(lái)越重要。因此，提高安卓手機(jī)的取證質(zhì)量在是檢驗(yàn)鑒定工作中各類(lèi)技術(shù)的重點(diǎn)關(guān)注內(nèi)容。

2 安卓手機(jī)取證的難點(diǎn)

（1）由于手機(jī)的社會(huì)需求量巨大，有大量的手機(jī)生產(chǎn)廠商比如“三星、華為、小米、OPPO、vivo”等等，這些我們熟知的手機(jī)廠商。這些廠商都不同的對(duì)安卓的源代碼進(jìn)行的加工，這些加工與優(yōu)化，都給我們?nèi)∽C工作帶來(lái)了很多困難。

（2）安卓手機(jī)常見(jiàn)手芯片有：聯(lián)發(fā)科、高通、三星Exynos、華為海思等。這些芯片都有其特點(diǎn)，取證方式也有不同之處，譬如高通芯片的手機(jī)在9008模式下，一般可以獲取其手機(jī)鏡像，而聯(lián)發(fā)科芯片的手機(jī)是通過(guò)MTK模式下獲取手機(jī)鏡像。

3 安卓手機(jī)取證方法

安卓手機(jī)取證工作主要是對(duì)手機(jī)內(nèi)各類(lèi)信息內(nèi)容進(jìn)行手機(jī)和分析，獲取有效的線(xiàn)索和證據(jù)支持，安卓手機(jī)取證工作開(kāi)展中主要包括以下幾點(diǎn)：

（1）確保手機(jī)包含充足電量，或配備好手機(jī)充電器，以備隨時(shí)充電，以確保能夠配合完成整個(gè)取證流程，防止手機(jī)取證過(guò)程中因電量過(guò)低而關(guān)機(jī)。大部分安卓手機(jī)中各類(lèi)數(shù)據(jù)刪除后并不會(huì)被及時(shí)清除掉，多數(shù)信息是在重啟后才會(huì)徹底清除，這是安卓手機(jī)獨(dú)有的特點(diǎn)，因此，在安卓手機(jī)取證中首先要確保電量充足。

（2）手機(jī)在取證過(guò)程中需設(shè)置為飛行模式并且將手機(jī)自身的無(wú)線(xiàn)網(wǎng)絡(luò)連接關(guān)閉，防止在手機(jī)取證過(guò)程中由于各類(lèi)信號(hào)干擾影響正常取證或者對(duì)手機(jī)內(nèi)各類(lèi)數(shù)據(jù)信息造成破壞。

4 安卓手機(jī)取證工具

安卓手機(jī)取證工具類(lèi)型比較多，不同取證工具的操作方式以及取證重點(diǎn)也有所區(qū)別，本文主要介紹了DC-4501和Final Shield手機(jī)取證軟件的特點(diǎn)。

4.1 DC-4501手機(jī)取證軟件

DC-4501 手機(jī)取證系統(tǒng)是一款便攜式手機(jī)調(diào)查取證勘察箱設(shè)備。采用GPU運(yùn)算技術(shù)用于手機(jī)微信數(shù)據(jù)等各類(lèi)手機(jī)相關(guān)密鑰解析。支持手機(jī)數(shù)據(jù)提取、刪除數(shù)據(jù)恢復(fù)，支持幾十種手機(jī)應(yīng)用程序解析，提供近20個(gè)手機(jī)取證工具集，可有效解決手機(jī)取證過(guò)程中遇到的權(quán)限提升、密碼解析等疑難問(wèn)題。另可做為后臺(tái)系統(tǒng)的數(shù)據(jù)采集前端。這款軟件筆者認(rèn)為在自動(dòng)取證方面是做的很不錯(cuò)的，其交互界面也比較簡(jiǎn)潔。

4.2 Final Shield

Final Shield與XRY相比差別較大，F(xiàn)inal Shield屬于信號(hào)屏蔽工具，該工具有其自備的內(nèi)部USB連接點(diǎn)，由此將Final Shield工具與安卓手機(jī)進(jìn)行聯(lián)合，進(jìn)而鏈接到電腦端，使用Final Shield的PC端軟件對(duì)安卓手機(jī)內(nèi)容進(jìn)行研究分析，從而獲取相關(guān)的信息內(nèi)容。而Final Shield技術(shù)中的屏蔽作用能夠防止操作取證過(guò)程中受到各類(lèi)通過(guò)信號(hào)傳輸?shù)挠绊?，?dǎo)致原始取證結(jié)果受到影響，同時(shí)，手機(jī)信號(hào)的屏蔽還能夠?qū)⒁垣@取的數(shù)據(jù)信息進(jìn)行標(biāo)記鎖定。

5 安卓手機(jī)取證工具的發(fā)展趨勢(shì)

隨著安卓手機(jī)中各類(lèi)信息技術(shù)的不斷發(fā)展，手機(jī)中存儲(chǔ)的軟件以及數(shù)據(jù)內(nèi)容也在不斷增多，職能手機(jī)在取證過(guò)程中面臨的難度也在不斷增加，傳統(tǒng)取證工具在實(shí)際應(yīng)用過(guò)程中所面臨的問(wèn)題也在不斷增加，很容易出現(xiàn)操作不細(xì)致，取證不徹底等情況。由此可見(jiàn)安卓取證工作在未來(lái)的發(fā)展過(guò)程中需要不斷完善優(yōu)化取證工具，引入更加先進(jìn)的信息技術(shù)。

5.1 融入交互界面

當(dāng)前安卓手機(jī)取證工具在實(shí)際應(yīng)用中操作較為繁瑣，步驟較為復(fù)雜，很多工具在實(shí)際應(yīng)用中都需要人工修改各類(lèi)參數(shù)，就要求工作人員具備相關(guān)的操作能力，且須熟練了解各類(lèi)安卓手機(jī)的系統(tǒng)內(nèi)容，不利于安卓手機(jī)中各類(lèi)數(shù)據(jù)信息的統(tǒng)計(jì)和處理。將交互界面融入到安卓手機(jī)取證工具之中，能夠有效提升電子取證的操作性，簡(jiǎn)化手機(jī)取證操作步驟，為工作人員提供良好的操作環(huán)境，對(duì)于操作人員的要求不高，即使不具有相關(guān)知識(shí)技巧也能夠熟練使用并且起到信息收集處理的效果。

5.2 加強(qiáng)數(shù)據(jù)挖掘

數(shù)據(jù)挖掘技術(shù)在安卓手機(jī)取證工具中的融入和應(yīng)用，能夠有效提升安卓手機(jī)取證的精準(zhǔn)性。數(shù)據(jù)挖掘技術(shù)的應(yīng)用能夠在傳統(tǒng)取證工具內(nèi)容的效果上提升信息挖掘效果，幫助研究人員獲取更加精細(xì)的數(shù)據(jù)信息。數(shù)據(jù)挖掘技術(shù)在實(shí)際操作中的應(yīng)用是完全自動(dòng)的，操作人員不需要進(jìn)行手動(dòng)控制。根據(jù)不同的犯罪類(lèi)型可以指定相適合的模塊，以此來(lái)完成不同的取證工具。將不同的取證要求及條件輸入到模塊中，能夠達(dá)到多種犯罪取證的目的。

6 結(jié)束語(yǔ)

綜上可知，安卓手機(jī)作為移動(dòng)通信工具應(yīng)用面較廣的工具，對(duì)人們生活及工作的影響都是不容忽視的。安卓手機(jī)取證過(guò)程中需要不斷引入多種數(shù)據(jù)工具，根據(jù)不同的犯罪類(lèi)型制定相適合的數(shù)據(jù)模塊，以滿(mǎn)足相應(yīng)調(diào)查需求。