Mostrando entradas con la etiqueta analisis. Mostrar todas las entradas
Mostrando entradas con la etiqueta analisis. Mostrar todas las entradas

domingo, 14 de febrero de 2016

Las evidencias vía WhatsApp

 claro que las pruebas en papel de una comunicación o conversación mantenida por un sistema de mensajería instantánea, por sí solas, no son suficientes para demostrar la autenticidad de las mismas por lo que son susceptibles de impugnación y que, de hecho, es necesario que quien pretenda aprovechar la idoneidad probatoria de las mismas sea el que tenga la carga de la prueba que, en este caso, podría ser proporcionada mediante un informe pericial.



Dentro de las comunicaciones por mensajería tendrían la misma consideración que los mensajes de Twitter, de los cuales trata la sentencia anterior, los mensajes vía WhatsApp, los SMS, los Correos Electrónicos, los mensajes de Facebook, etc.

Una vez asumido que no basta con el papel para demostrar la autenticidad y la integridadde los contenidos reflejados en un mensaje y que es, totalmente, necesario realizar una validación o verificación del contenido de la comunicación en su formato electrónico, nace la necesidad de establecer dónde está el límite demostrativo pericial para llegar al convencimiento de la autenticidad y no manipulación de los mensajes de la conversación o mensajes relevantes en la misma.

A fin de poder realizar la labor pericial se han de cumplir una serie de premisas en la actuación pericial para obtener las suficientes y necesarias garantías en el proceso:

En primer lugar se ha de validar la legitimidad de quien autoriza la actuación pericial para llevarla a cabo y dejar constancia de la misma puesto que al examinar el contenido de las comunicaciones se entra plenamente en el terreno de la privacidad de los individuos intervinientes. De no tenerse en cuenta esta validación básica se estaría creando una situación de “Fruto del árbol envenenado”.

En segundo lugar se ha de identificar de forma unívoca cual es el dispositivo o repositorio en el cual se encuentra depositada la información que se desea tratar, tanto si se trata del dispositivo desde el cual se ha envido o recibido el mensaje como si se trata del dispositivo en el cual reside el repositorio (base de datos o copia de seguridad) de la información.

En tercer lugar se ha de establecer cuál es el nivel de proporcionalidad adecuado para la actuación pericial que, en buena lógica, debe estar de acorde a la gravedad de los hechos que se deseen demostrar puesto que cada nivel de profundidad en el análisis requiere un nivel de recursos económicos, técnicos y de tiempos diferentes.

Del mismo modo que no sería correcto ni lógico obtener dos decimales en una operación de división cuando se trata de determinar en cuántas porciones se divide un pastel, sin embargo, por otro lado, sería totalmente imprescindible considerar los decimales para el cálculo de un componente químico en una formulación química de un medicamento o compuesto, ocurre lo mismo con la proporcionalidad del análisis de los mensajes por WhatsApp en el que la actuación no sería la misma para un caso que se quisiese demostrar simplemente demostrar la existencia de una información o una injuria o, en mayor nivel de gravedad, una calumnia.



En este sentido, es el perito quien en su experiencia profesional y personal debiera, junto con el abogado determinar, cuál es el nivel de profundidad que se ha de establecer en el análisis forense de los mensajes de WhatsApp pudiéndose identificar, a priori, tres diferentes niveles de profundidad en la recopilación de evidencias o análisis de las mismas.

a) Nivel Básico o Elemental

Consiste en la recopilación de los mensajes para la obtención de evidencias en un formato electrónico de una forma sencilla y básica sin mayor nivel de análisis que la verificación y constatación visual que el los mensajes existen bien sea con fotografías de la conversación en cuestión o con captura de pantalla.

b) Nivel Intermedio o Normal

Consiste en el envío por correo electrónico de la conversación con los ficheros contenidos dentro del mismo, realizándose un análisis del correo recibido y del fichero adjunto (con la conversación WhatsApp). Se pueden añadir las operaciones actuaciones del Nivel Básico.

c) Nivel Profundo Forensic o Especial

Consiste en la extracción de la conversación desde el dispositivo propio (Base de Datos de WhatsApp) o bien desde una copia de seguridad que se posea guardada y preservada de la misma. Se pueden añadir las operaciones actuaciones del Nivel Básico y/o las del Nivel Intermedio.

Es comprensible y fácil de entender que a mayor nivel de garantía y de exigencia en la actuación pericial, mayor es el tiempo y los recursos implicados y, consecuentemente, se necesita una mayor cantidad de tiempo para su ejecución, coste y nivel profesional del perito implicado.

Como siempre añadir, como opinión personal, que en este tipo de encargos, aunque a primera vista parezca algo no demasiado complejo, mi recomendación es que no dejen la recopilación y tratamiento de sus evidencias en manos de quien podría malograrlas de forma definitiva e irremediable y, por lo tanto, sean consecuentes en la elección del profesional perito que les va a soportar en estas actividades.

miércoles, 10 de febrero de 2016

Análisis Forense. Cadena de Custodia de la evidencia digital



El concepto Cadena de Custodia (también referenciado en la literatura como CdC) no es algo que solamente se utilice en el entorno del Análisis Forense informático, sino que es un concepto ligado al ámbito legal y judicial, y es algo que incumbe a la recopilación de evidencias de cualquier tipo.

Para entender su importancia pongamos como ejemplo un caso que, desgraciadamente, está a la orden del día: un caso de corrupción.



Cuando la policía y los investigadores entran en la casa del sospechoso, resulta que encuentran un montón de documentación en papel referente a contratos inflados económicamente para estafar a la Administración Pública, por tanto, el sospechoso tiene muchas papeletas de ser culpable. Ahora imaginemos que el encargado de custodiar esas evidencias es amigo íntimo del sospechoso y que no se lleva ningún control de trazabilidad sobre las mismas. Cuando esas pruebas llegan al juez, todos esos contratos que antes eran la prueba de un delito ahora son completamente normales y responden a la más absoluta legalidad, por lo que el juez no tiene más remedio que desestimar la acusación. Para evitar que estas situaciones se produzcan en la realidad existe el concepto de Cadena de Custodia.

La CdC establece un mecanismo o procedimiento, que asegura a quienes deben juzgar que los elementos probatorios (indicios, evidencias o pruebas) no han sufrido alteración o contaminación alguna desde su recolección, examen y custodia, hasta el momento en el cual se presentan como prueba ante el Tribunal. Este procedimiento debe controlar dónde y cómo se ha obtenido la prueba, qué se ha hecho con ella (y cuándo), quién ha tenido acceso a la misma, dónde se encuentra ésta en todo momento y quién la tiene y, en caso de su destrucción (por la causa que sea), cómo se ha destruido, cuándo, quién, dónde y porqué se ha destruido. Este procedimiento de control debe ser absolutamente riguroso, de manera que no pueda dudarse ni por un instante de la validez de la prueba.

Sin embargo, la evidencia digital tiene ciertas peculiaridades con respecto a otro tipo de evidencias, y es que la información que se puede presentar como medio de prueba la podemos encontrar en diferentes estados:
Almacenada estáticamente. Información que se encuentra almacenada de manera persistente en un dispositivo a la espera de ser recuperada o utilizada.
Almacenada dinámicamente o en procesamiento. Información que se encuentra almacenada de manera temporal en un dispositivo volátil y que se perderá en el momento que el dispositivo deje de recibir corriente eléctrica.
En tránsito o desplazamiento. Información que se encuentra en movimiento por la red en forma de paquete de información que puede ser capturado y/o almacenado.

Especialmente de estos dos últimos estados hablaba cuando me refería a las peculiaridades de la evidencia digital. La mayoría de las veces que se habla de CdC se habla de la preservación de la prueba material incautada y relacionada con un delito, pero en informática, ese control de la prueba material carece de sentido cuando hablamos de memorias volátiles, por ejemplo. Pongámonos en el caso de una memoria RAM. La información que contiene puede ser valiosísima a la hora de resolver una investigación (procesos en ejecución, credenciales de usuario, etc.), sin embargo, esta información se perderá en el momento en que la memoria deje de percibir corriente eléctrica, y antes o después el equipo donde esté alojada esa memoria RAM deberá ser apagado. Entonces, ¿qué sentido tiene la cadena de custodia simplemente sobre la memoria RAM como dispositivo físico? Ya respondo yo, ninguno.

Con este pequeño ejemplo se pone de manifiesto que cuando hablamos de CdC no podemos referirnos solamente a las pruebas materiales relacionadas con el delito, sino que hay que hablar también de aquellos datos obtenidos de dispositivos volátiles, y que se generan “sobre el terreno”. Por ejemplo, para preservar la información contenida en un dispositivo volátil de manera que después pueda ser analizada por un experto, habrá que copiar dicha información a un dispositivo no volátil. Ese dispositivo es una prueba generada “in situ” y deberá ser tratada como tal aplicándole el procedimiento de CdC y garantizando su validez legal en un proceso judicial.

Como vemos, la información volátil supone una gran peculiaridad, pero también la información no volátil, por las características propias de las evidencias digitales, supone una disrupción respecto a la definición tradicional de CdC. Por ello, la CdC no debe limitarse únicamente a aquellos dispositivos incautados, sino que debe aplicarse además a todos aquellos dispositivos que, por la razón que fuere, hayan sido duplicados o clonados, con el fin de que estas copias tengan la misma validez legal que la evidencia original. De esta manera, el dispositivo original estará protegido de terceros, en un lugar seguro, y libre de posibles manipulaciones o destrucciones.

De todo lo anterior se desprende una ventaja a la hora de trabajar con evidencias digitales, y es que estas evidencias nos permiten trabajar con copias idénticas de la prueba original, alejando el temor de que una prueba pueda ser contaminada. Y en el caso de que así sea, y una de estas copias idénticas se vea contaminada (por motivos del análisis de la misma en la mayoría de los casos), podrá volver a clonarse el original permitiendo comenzar de cero si fuera necesario. Esto supone una gran ventaja en este aspecto respecto a otros campos (pensemos en el ámbito de la medicina forense).

En resumidas cuentas, de todo esto podemos obtener como conclusión que la definición tradicional de CdC que gira en torno a las pruebas materiales incautadas queda muy “coja” en el entorno de la informática y la evidencia digital. En este sentido, podemos decir que la CdC (en el ámbito de la informática) es el protocolo de actuación relativo a la seguridad y manipulación que ha de seguirse durante el período de vida de una prueba, desde que ésta se consigue o se genera, hasta que se destruye o deja de ser necesaria.

Por último, quisiera hacer mención a la norma ISO/IEC 27037:2012 “Information technology – Security techniques – Guidelines for identification, collection, acquisition and preservation of digital evidence”, que ofrece una guía de cómo llevar a cabo la actuación pericial en el escenario de la recogida, identificación y secuestro de la evidencia digital, y en su capítulo 7 trata la cuestión de la CdC en este ámbito. Esta norma viene a sustituir a las antiguas directrices RFC 3227, norma más dirigida a dispositivos actuales y más acorde con el estado de la técnica actual.

Referencias
López Rivera, Rafael. Peritaje Informático y Tecnológico. Barcelona : s.n., 2012.
http://www.informaticoforense.eu/la-cadena-de-custodia-aplicada-a-la-informatica-i/
http://peritoit.com/2012/10/23/isoiec-270372012-nueva-norma-para-la-recopilacion-de-evidencias/

martes, 5 de enero de 2016

Analisis forense en android con viaextract sobre caine 7

Si alguna vez te has planteado llevar a cabo un análisis forense en un dispositivo móvil, sobre todo Android, habrás utilizado una herramienta llamada Viaextract. Esta fantástica herramienta, originalmente de la empresa Viaforensics (actualmente llamada Nowsecure), te permite en su versión libre, extraer toda la información disponible a nivel lógico. En la versión de pago, además es capaz, entre otras funciones, de hacer un análisis utilizando extracción física.


Viaextract, habitualmente viene incorporada dentro de una distribución Linux llamada Santoku, desarrollada originalmente por Viaforensics y mantenida actualmente por Nowsecure. En la web de Nowsecure se puede descargar una máquina virtual en formato virtualbox o en formato vmware, por la que se puede utilizar directamente la herramienta, tras arrancar la máquina virtual, en modo plug and play.



Santoku es una distribución Linux específica para análisis forense, y especializada en herramientas para dispositivos móviles. Es una de mis distribuciones preferidas, fundamentalmente por la inclusión de Viaextract. Sin embargo, en mi opinión, no es tan completa para el análisis forense del resto de sistemas, por lo que en otras ocasiones he declarado mi preferencia por CAINE. Incluso en ese post hablaba de la posibilidad de incluir los repositorios de Santoku, permitiendo tener lo mejor de dos mundos, en cuanto a posibilidades de herramientas se refiere.

Al haberse publicado hace un mes la última versión de Caine, la 7, he querido incluir un procedimiento a seguir para hacer funcionar Viaextract en Caine, según lo hice para el portátil que utilizo habitualmente para peritaje y análisis forense.

Así pues, si queréis poder instalar las herramientas de Santoku Linux en Caine 7 (o en cualquier otra distro basada en Ubuntu 14.04) podéis seguir los siguientes pasos:

1.-) sudo apt-key adv --keyserver hkp://p80.pool.sks-keyservers.net:80 --recv-keys F6D8FCF5A647374B

2.-) sudo apt-key adv --keyserver hkp://p80.pool.sks-keyservers.net:80 --recv-keys F6D8FCF5A647374B

Con esto, recuperamos las claves públicas necesarias para poder instalar paquetes firmados por viaforensics y nowsecure.

3.-) Añadir a /etc/apt/sources.list o crear un fichero nuevo con extensión .list en /etc/apt/sources.list.d con el siguiente contenido:
deb https://apt.nowsecure.com/repo/ trusty main
# deb-src https://apt.nowsecure.com/repo/ trusty main
deb http://packages.santoku-linux.com/ubuntu trusty main

4.-) adduser santoku

Necesario puesto que el paquete viaextract hace referencia a este usuario (el que viene por defecto con contraseña santoku1 en la distro Santoku Linux)

5.-) apt-get remove android-tools-adb

La herramienta adb viene incluída por el paquete android-sdk (en los repositorios de nowsecure o de santoku, no recuerdo ahora), que es dependencia del paquete viaextract, por lo que si no eliminamos el paquete android-tools-adb, no se instalará

6.-) apt-get update && apt-get install viaextract

Varios megabytes después, se instalará viaextract. El siguiente paso será licenciar el producto correctamente, ya sea con la versión community o con la de pago, ejecutando vactivate en una terminal.

Y ya por fin, desde línea de comandos también, ejecutar viaextract o hacer un enlace directo en el escritorio (o donde más rabia os de) a /usr/bin/viaextract