Luận văn: Nghiên cứu điều tra số trên thiết bị di động thông minh

Luận văn thạc sĩ nghiên cứu quy trình điều tra số trên thiết bị di động. Phân tích, thu thập và phục hồi bằng chứng số trên hệ điều hành Android.

• Tác giả: Hoàng Thanh Nam
• Người hướng dẫn: PGS. Nguyễn Linh Giang
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Truyền Thông Và Mạng Máy Tính
• Đề tài: Nghiên Cứu Điều Tra Số Trên Thiết Bị Di Động Thông Minh
• Loại tài liệu: Luận Văn Thạc Sĩ Kỹ Thuật
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Tóm tắt

I. Khái niệm và tầm quan trọng của Điều tra số trên thiết bị di động

Điều tra số (Digital Forensics) là một lĩnh vực khoa học hiện đại giúp phát hiện, thu thập và phân tích bằng chứng số từ các thiết bị điện tử, đặc biệt là thiết bị di động Android. Trong thời đại số hóa, điều tra số trên Android đóng vai trò cực kỳ quan trọng trong các vụ án tội phạm máy tính, mạng, lừa đảo điện tử và các hành vi vi phạm pháp luật khác. Luận văn này tập trung vào quy trình điều tra số chuyên sâu cho nền tảng Android, cung cấp các phương pháp kỹ thuật pháp y số tiêu chuẩn quốc tế. Sự phát triển nhanh chóng của công nghệ di động đòi hỏi các chuyên gia pháp y số phải nắm vững các công cụ điều tra số hiệu quả và quy trình bảo vệ bằng chứng nghiêm ngặt.

1.1. Định nghĩa Điều tra số và Bằng chứng số

Bằng chứng số là thông tin được lưu trữ hoặc truyền dẫn dưới dạng nhị phân, có thể sử dụng trong tòa án. Điều tra số bao gồm các quy trình: xác định, bảo vệ, trích xuất, và phân tích dữ liệu từ thiết bị. Các quy định pháp lý tại Mỹ và các nước yêu cầu bằng chứng số phải được thu thập theo tiêu chuẩn SWGDE, ISO, và FBI.

1.2. Ứng dụng thực tiễn trong điều tra tội phạm

Điều tra số Android được ứng dụng trong các trường hợp: tội phạm mạng, lừa đảo tài chính, quấy rối trực tuyến, buôn bán nội dung bất hợp pháp. Thiết bị Android lưu trữ dữ liệu nhạy cảm như tin nhắn SMS, WhatsApp, email, cuộc gọi, GPS, ảnh, giúp các điều tra viên xây dựng chứng cứ mạnh mẽ.

II. Quy trình Điều tra số trên thiết bị Android

Quy trình điều tra số Android theo tiêu chuẩn quốc tế bao gồm các bước cụ thể, tuân thủ quy trình chuẩn (SOP - Standard Operating Procedures) của các tổ chức như ACPO, FBI, NIJ. Mỗi giai đoạn phải được ghi chép chi tiết, bảo đảm tính toàn vẹn dữ liệu và pháp lý của bằng chứng. Quá trình này bao gồm: tiếp nhận vụ việc, nhận dạng thiết bị, chuẩn bị, bảo vệ bằng chứng, xử lý, kiểm tra xác nhận, và lập báo cáo. Các công cụ điều tra như Autopsy, Oxygen Forensics, WinHex, Scalpel được sử dụng để trích xuất dữ liệu an toàn và hiệu quả.

2.1. Các giai đoạn chính của quy trình

Tiếp nhận vụ điều tra: ghi nhận thông tin vụ việc. Nhận dạng thiết bị: xác định model, phiên bản Android, số seri. Bảo vệ bằng chứng: sử dụng Faraday bag, ngắt kết nối mạng. Xử lý: sử dụng công cụ chuyên dụng để trích xuất. Kiểm tra: xác nhận dữ liệu bằng thuật toán MD5, SHA. Báo cáo: lập tài liệu chi tiết kết quả điều tra.

2.2. Thu thập và lưu trữ bằng chứng

Dữ liệu từ thiết bị Android được lưu trữ trong các thư mục: /data, /data/system, /data/data chứa cơ sở dữ liệu ứng dụng. Bản sao dữ liệu (forensic image) được tạo với hash value để xác minh tính toàn vẹn. Các file cơ sở dữ liệu như contacts.db, messages.db, call_log.db chứa thông tin quan trọng cần trích xuất và giải mã.

III. Công cụ và kỹ thuật Điều tra số hiện đại

Các công cụ điều tra số chuyên dụng hiện nay cung cấp khả năng mạnh mẽ để phân tích bằng chứng số từ thiết bị Android. Autopsy là nền tảng forensics mở, hỗ trợ phân tích tệp hệ thống NTFS, FAT. Oxygen Forensics và AFLogical cho phép trích xuất dữ liệu ứng dụng như WhatsApp, Gmail, lịch sử duyệt web. WinHex và Scalpel được sử dụng để khôi phục file bị xóa, phát hiện dữ liệu ẩn. Các kỹ thuật Chip-off, JTAG được áp dụng khi thiết bị bị khóa. SQLite Browser giúp mở và phân tích cơ sở dữ liệu SQLite chứa thông tin SMS, cuộc gọi, liên lạc Gmail.

3.1. Các công cụ điều tra chính

Autopsy: phân tích hình ảnh forensics, xem tệp hệ thống. Oxygen Forensics: trích xuất dữ liệu ứng dụng như WhatsApp, lịch sử cuộc gọi. WinHex: chỉnh sửa hex, khôi phục dữ liệu. Scalpel: phục hồi file bị xóa dựa trên file signature. JADX, IDA Pro: giải mã ứng dụng Android (APK).

3.2. Kỹ thuật khôi phục dữ liệu bị xóa

Dữ liệu bị xóa vẫn tồn tại trong bộ nhớ trong cho đến khi bị ghi đè. Scalpel quét file signature để phát hiện file bị xóa. Oxygen Forensics khôi phục tin nhắn, ảnh, video từ phân vùng empty space. Công cụ Chip-off trích xuất dữ liệu từ chip bộ nhớ nếu phần mềm không khôi phục được.

IV. Phân tích ứng dụng WhatsApp và các ứng dụng tin nhắn

WhatsApp là ứng dụng nhắn tin phổ biến nhất, chứa nhiều bằng chứng pháp y quan trọng. Cơ sở dữ liệu WhatsApp được lưu tại /data/data/com.whatsapp/databases/ với file msgstore.db, wa.db mã hóa bằng SQLCipher. Luận văn này cung cấp phương pháp giải mã cơ sở dữ liệu WhatsApp để trích xuất tin nhắn, tệp tin, lịch sử cuộc gọi, xác định thời gian gửi nhận, và danh tính người dùng. Ngoài ra, các file backup trên Google Drive, backup tải về cũng chứa dữ liệu quan trọng. Các kỹ thuật phân tích bao gồm: trích xuất lưu trữ cấp ứng dụng, giải mã bằng key file master.key, phục hồi tin nhắn bị xóa từ unallocated space.

4.1. Cơ sở dữ liệu và lưu trữ WhatsApp

msgstore.db chứa tin nhắn, người gửi, thời gian, trạng thái. wa.db lưu danh bạ, cài đặt, thông tin liên lạc. Media folder (/WhatsApp/Media) lưu ảnh, video, tài liệu tải về. Backup folder chứa bản sao tự động từ Google Drive. File master.key dùng để mã hóa/giải mã toàn bộ dữ liệu ứng dụng.

4.2. Kỹ thuật phân tích tin nhắn và khôi phục

Chuyển đổi thời gian Unix thành định dạng có thể đọc. Trích xuất metadata như ID tin nhắn, loại nội dung, trạng thái đã gửi. Giải mã tin nhắn từ database dump bằng SQLCipher decoder. Phục hồi tin nhắn bị xóa bằng Scalpel, Autopsy trong unallocated space. Xác định người gửi/nhận thông qua phone number, contact name.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của công nghệ di động trong thập kỷ qua đã định hình lại hoàn toàn phương thức giao tiếp và xử lý thông tin xã hội. Vào năm 2016, hệ điều hành Android chiếm lĩnh hơn 80% thị phần thiết bị di động thông minh toàn cầu, trở thành nền tảng phổ biến nhất trên thế giới. Tuy nhiên, sự phát triển nhanh chóng này cũng kéo theo nguy cơ gia tăng các loại tội phạm công nghệ cao, khi hơn 70% các vụ án hình sự và an ninh mạng hiện đại có xuất hiện chứng cứ số lưu trữ trên điện thoại thông minh. Các thiết bị này lưu trữ một khối lượng khổng lồ thông tin nhạy cảm như lịch sử cuộc gọi, tin nhắn SMS, dữ liệu ứng dụng nhắn tin OTT, lịch sử duyệt web và dữ liệu định vị vệ tinh GPS.

Vấn đề cốt lõi đặt ra trong công tác thực thi pháp luật là làm thế nào để thu thập, trích xuất và bảo toàn các dữ liệu này mà không làm biến đổi cấu trúc gốc, đảm bảo giá trị chứng cứ nguyên vẹn trước tòa án. Luận văn thạc sĩ kỹ thuật chuyên ngành Truyền thông và mạng máy tính của tác giả Hoàng Thanh Nam, dưới sự hướng dẫn khoa học của PGS. Nguyễn Linh Giang tại Trường Đại học Bách Khoa Hà Nội, tập trung giải quyết bài toán cấp thiết này. Mục tiêu nghiên cứu cụ thể bao gồm việc chuẩn hóa quy trình điều tra số trên nền tảng Android, phân tích các rào cản bảo mật, và thực nghiệm các kỹ thuật trích xuất, khôi phục dữ liệu đã bị xóa từ bộ nhớ trong cũng như các ứng dụng phổ biến. Nghiên cứu cung cấp hệ thống giải pháp toàn diện dài 142 trang, nâng cao tỷ lệ thu hồi chứng cứ số chính xác đạt 100% tính toàn vẹn theo các tiêu chuẩn pháp lý quốc tế.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên các khung tiêu chuẩn điều tra kỹ thuật số quốc tế được ban hành bởi Nhóm khoa học làm việc trên bằng chứng số (SWGDE), Viện Tư pháp Quốc gia Hoa Kỳ (NIJ), Tổ chức Tiêu chuẩn hóa Quốc tế (ISO/IEC 27037) và Hiệp hội Cảnh sát Trưởng Vương quốc Anh (ACPO). Khung lý thuyết của ACPO thiết lập 4 nguyên tắc nền tảng: không thực hiện hành động làm thay đổi dữ liệu trên thiết bị, người can thiệp phải có đủ năng lực chuyên môn, ghi chép toàn bộ nhật ký chuỗi quản lý chứng cứ (Chain of Custody), và người phụ trách phải chịu trách nhiệm hoàn toàn về việc tuân thủ quy trình.

Bên cạnh đó, tác giả phân tích sâu về kiến trúc hệ điều hành Android gồm 5 tầng chính: nhân Linux, tầng trừu tượng phần cứng (HAL), thư viện hệ thống C/C++ cùng máy ảo Dalvik, khung ứng dụng (Application Framework) và tầng ứng dụng người dùng. Nghiên cứu cũng ứng dụng lý thuyết mật mã học thông qua các thuật toán hàm băm an toàn MD5 và SHA-256 để xác thực tính toàn vẹn của tệp ảnh sao lưu bit-stream, đồng thời khai thác cấu trúc phân vùng tệp tin FAT, ext4 và hệ quản trị cơ sở dữ liệu quan hệ SQLite phục vụ bóc tách dấu vết điện tử.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu thực nghiệm từ 1 thiết bị di động Android vật lý đại diện, kết hợp với hệ thống giả lập môi trường Android SDK và cơ sở dữ liệu của hơn 10 ứng dụng dịch vụ mạng phổ biến. Phương pháp chọn mẫu là phương pháp chọn mẫu có chủ đích (purposive sampling), tập trung vào các mẫu thiết bị có bật cơ chế bảo vệ màn hình bằng khóa hình vẽ (pattern lock) và chứa dữ liệu giao tiếp đa nền tảng như WhatsApp, trình duyệt Web và tin nhắn hệ thống.

Lý do lựa chọn phương pháp phân tích này là nhằm tái hiện chính xác môi trường thực tế của các vụ án hình sự, nơi thiết bị thường xuyên bị khóa hoặc đối tượng đã chủ động xóa bỏ dấu vết phạm tội. Quá trình phân tích kết hợp đồng thời 3 cấp độ trích xuất dữ liệu khoa học: trích xuất thủ công (Manual Extraction), trích xuất logic (Logical Extraction qua giao diện ADB và AFLogical OSE), và trích xuất vật lý (Physical Extraction qua tệp ảnh thô dd kết hợp công cụ WinHex, Scalpel, Autopsy, Oxygen Forensic). Toàn bộ quá trình thực nghiệm và kiểm tra chéo được triển khai liên tục trong khung thời gian 6 tháng nghiên cứu.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Nghiên cứu đã đạt được 3 phát hiện kỹ thuật mang tính đột phá trong công tác giám định pháp y số:

Thứ nhất, luận văn đã giải mã thành công cơ chế bảo vệ màn hình khóa dạng hình vẽ (gesture pattern lock) bằng cách phân tích trực tiếp tệp gesture.key tại đường dẫn hệ thống /data/system. Tác giả đã chuyển đổi dữ liệu chuỗi hex sang hàm băm SHA-1 và đối sánh với bộ từ điển gồm 389.112 tổ hợp khả dĩ. Thời gian bẻ khóa hoàn tất trong chưa đầy 5 giây, đạt tỷ lệ truy cập thành công 100% mà không làm mất dữ liệu người dùng trên các thiết bị chưa kích hoạt mã hóa toàn bộ đĩa (FDE).

Thứ hai, việc phân tích cấu trúc cơ sở dữ liệu SQLite trong các tệp msgstore.db, contacts2.db và browser2.db đã cho phép trích xuất 100% lịch sử cuộc gọi, danh bạ đồng bộ với Gmail và hơn 92% nội dung tin nhắn trao đổi trên ứng dụng WhatsApp. Ngay cả khi các bản ghi đã bị xóa khỏi bảng hiển thị chính, kỹ thuật phân tích các trang trống (freelist pages) và tệp nhật ký ghi trước (Write-Ahead Logging - WAL) vẫn khôi phục thành công các đoạn hội thoại gốc.

Thứ ba, thực nghiệm trích xuất vật lý và tạo ảnh thô (raw bit-stream image) kết hợp kỹ thuật bóc tách tập tin (File Carving) bằng công cụ Scalpel đã phục hồi được 88% các tập tin đa phương tiện và tài liệu tải về bị đối tượng xóa khỏi bộ nhớ trong NAND Flash và thẻ nhớ mở rộng SD Card.

Thảo luận kết quả

Các kết quả thực nghiệm chứng minh rằng các cơ chế xóa tập tin thông thường trên hệ điều hành Android chỉ đơn thuần giải phóng con trỏ định vị trong bảng phân bổ chỉ mục, trong khi nội dung nhị phân thực tế vẫn tồn tại nguyên vẹn trong không gian chưa cấp phát (unallocated space). Dữ liệu nghiên cứu có thể được biểu diễn trực quan qua biểu đồ phân tích hiệu suất thu hồi chứng cứ: trích xuất vật lý đạt tỷ lệ bao phủ dữ liệu toàn diện lên tới 95-98%, vượt trội hoàn toàn so với mức 60-65% của phương pháp trích xuất logic thông thường.

Ngoài ra, việc đối chiếu bảng giá trị băm kép MD5 và SHA-256 trước và sau mỗi phiên trích xuất bảo đảm độ tương đồng tuyệt đối 100%, loại bỏ hoàn toàn nguy cơ bằng chứng bị bác bỏ tại tòa án theo quy định của Bộ luật Tố tụng Hình sự. Kết quả này tương đồng với các khuyến nghị quốc tế của FBI và NIST, khẳng định tính đúng đắn của việc áp dụng quy trình chuẩn hóa trong môi trường thực tiễn tại Việt Nam.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu toàn diện, tác giả đưa ra 4 nhóm khuyến nghị hành động cụ thể:

Thứ nhất, chuẩn hóa quy trình điều tra số trên thiết bị di động thành quy chuẩn tác nghiệp chuẩn (SOP) gồm 5 giai đoạn: Tiếp nhận vụ việc, Nhận dạng và bảo vệ hiện trường, Thu thập và trích xuất chứng cứ, Phân tích dữ liệu chuyên sâu, và Lập hồ sơ báo cáo giám định. Mục tiêu là giảm 40% thời gian xử lý ban đầu tại hiện trường và loại trừ 100% rủi ro nhiễm bẩn dữ liệu số trong vòng 12 tháng tới, do các cơ quan điều tra hình sự và giám định kỹ thuật thuộc Bộ Công an chủ trì thực hiện.

Thứ hai, trang bị và nâng cấp đồng bộ hệ thống phần cứng điều tra chuyên dụng, bao gồm túi chống sóng Faraday, thiết bị chống ghi dữ liệu (Write-Blocker), máy trích xuất cầm tay UFED Touch Ultimate, cùng các trạm hàn vi mạch phục vụ kỹ thuật nạp chip trực tiếp (JTAG) và bóc chip nhớ (Chip-off). Giải pháp này hướng tới mục tiêu nâng tỷ lệ thu hồi dữ liệu từ các thiết bị bị khóa mã phức tạp hoặc hư hại vật lý lên trên 85% trong lộ trình 2 năm tới, do các phòng thí nghiệm trọng điểm triển khai.

Thứ ba, tổ chức các khóa huấn luyện chuyên sâu với thời lượng tối thiểu 120 giờ thực hành mỗi năm dành cho đội ngũ giám định viên kỹ thuật số. Nội dung đào tạo cần tập trung vào kỹ năng dịch ngược ứng dụng, truy vấn cơ sở dữ liệu SQLite mức thấp, và phân tích tệp dump bộ nhớ RAM trên nền tảng Linux/Android do các học viện an ninh mạng và trường đại học kỹ thuật phối hợp tổ chức.

Thứ tư, xây dựng cơ sở dữ liệu tập trung lưu trữ chữ ký tập tin (file signatures) và cấu trúc bảng mã hóa của các ứng dụng mạng xã hội mới với chu kỳ cập nhật 3 tháng một lần, nhằm đảm bảo công cụ giám định luôn theo kịp các bản vá bảo mật của nhà sản xuất.

Đối tượng nên tham khảo luận văn

Nội dung luận văn mang lại giá trị ứng dụng thực tiễn cao cho 4 nhóm đối tượng trọng tâm:

Nhóm thứ nhất là các giám định viên kỹ thuật hình sự, điều tra viên tội phạm công nghệ cao tại các cơ quan thực thi pháp luật. Tài liệu cung cấp hướng dẫn thao tác chi tiết từng bước để cô lập sóng vô tuyến, bẻ khóa hình vẽ, trích xuất dữ liệu SQLite và trích xuất bộ nhớ thô mà không phá hủy tính toàn vẹn của bằng chứng.

Nhóm thứ hai là các chuyên gia bảo mật, chuyên viên phân tích điều tra số và ứng cứu sự cố an ninh thông tin (DFIR) tại các ngân hàng, doanh nghiệp và tổ chức tài chính. Luận văn giúp họ nắm vững phương pháp điều tra các vụ rò rỉ dữ liệu nội bộ qua smartphone và phân tích mã độc trên thiết bị Android của nhân viên.

Nhóm thứ ba là giảng viên, học viên cao học và sinh viên các chuyên ngành An toàn thông tin, Truyền thông và mạng máy tính, Công nghệ thông tin. Cuốn sách 142 trang này là tài liệu tham khảo học thuật chuẩn mực về cấu trúc nhân hệ điều hành, phân vùng bộ nhớ và cơ chế an toàn trên Android.

Nhóm thứ tư là luật sư, kiểm sát viên và cán bộ tư pháp tham gia các vụ án hình sự liên quan đến chứng cứ điện tử. Luận văn cung cấp nền tảng lý thuyết để đánh giá tính hợp pháp, chuỗi bảo quản và độ tin cậy của các báo cáo giám định kỹ thuật số trước hội đồng xét xử.

Câu hỏi thường gặp

Tại sao phải sử dụng túi Faraday và thiết bị chống ghi ngay khi thu giữ điện thoại Android tại hiện trường? Túi Faraday ngăn chặn 100% các kết nối sóng vô tuyến (Wi-Fi, 3G/4G, Bluetooth), loại bỏ nguy cơ đối tượng thực hiện lệnh xóa dữ liệu từ xa (remote wipe). Thiết bị chống ghi bảo đảm dữ liệu gốc trên bộ nhớ flash không bị hệ điều hành tự động ghi đè trong quá trình tạo ảnh bit-stream, giữ nguyên giá trị băm toàn vẹn.

Làm cách nào để phá khóa màn hình hình vẽ Android mà không làm mất dữ liệu của thiết bị? Phương pháp thực hiện bằng cách trích xuất tệp gesture.key từ thư mục /data/system thông qua cầu nối gỡ lỗi ADB. Tệp này chứa chuỗi băm SHA-1 của mẫu hình vẽ 9 điểm. Bằng cách đối sánh với bảng từ điển 389.112 chuỗi băm tính toán trước, điều tra viên tìm ra chính xác hình vẽ trong dưới 5 giây.

Điểm khác biệt căn bản giữa trích xuất dữ liệu logic và trích xuất dữ liệu vật lý là gì? Trích xuất logic sử dụng API của hệ điều hành hoặc phần mềm trung gian để trích xuất các tệp tin người dùng đang nhìn thấy, chỉ đạt 60-70% dung lượng. Trích xuất vật lý sao chép từng bit nhị phân toàn bộ bộ nhớ flash (kể cả vùng nhớ unallocated), giúp khôi phục trên 85% dữ liệu đã bị xóa.

Làm thế nào để khôi phục các tin nhắn và hình ảnh đã bị xóa trong ứng dụng WhatsApp? Ứng dụng lưu trữ tin nhắn trong cơ sở dữ liệu SQLite msgstore.db. Khi xóa tin nhắn, bản ghi chỉ bị đưa vào danh sách ô trống (freelist). Bằng cách sử dụng các công cụ chuyên dụng như SQLite Forensic Browser và Scalpel để bóc tách tệp nhật ký WAL hoặc tệp ảnh thô, hơn 90% nội dung hội thoại được phục hồi.

Giá trị băm MD5 và SHA-256 có ý nghĩa quyết định như thế nào đối với bằng chứng số trước tòa án? Hàm băm đóng vai trò như dấu vân tay điện tử duy nhất của tệp bằng chứng. Nếu giá trị băm của bản sao trích xuất trùng khớp tuyệt đối 100% với giá trị băm của thiết bị đo lường lúc niêm phong ban đầu, chứng cứ đó được tòa án công nhận là nguyên bản, không bị chỉnh sửa hay làm sai lệch.

Kết luận

• Luận văn chuẩn hóa thành công quy trình điều tra số 5 giai đoạn trên hệ điều hành Android, đáp ứng đầy đủ các tiêu chuẩn pháp lý quốc tế khắt khe của ISO/IEC 27037, NIJ và ACPO.
• Làm chủ hoàn toàn phương pháp giải mã khóa màn hình hình vẽ gesture.key bằng kỹ thuật đối sánh hàm băm SHA-1 với độ chính xác đạt 100%.
• Thực nghiệm thành công kỹ thuật trích xuất vật lý và phân tích cơ sở dữ liệu SQLite mức thấp, khôi phục trên 85% dữ liệu tin nhắn, danh bạ và nhật ký duyệt web đã bị xóa.
• Xây dựng tài liệu thực hành chi tiết dài 142 trang với hệ thống công cụ giám định tiên tiến kết hợp giữa phần mềm mã nguồn mở như Autopsy, Scalpel và phần mềm chuyên dụng Oxygen Forensic.
• Đóng góp luận cứ khoa học và giải pháp kỹ thuật thực tiễn quan trọng cho công tác phòng chống tội phạm sử dụng công nghệ cao tại Việt Nam.

Trong vòng 6 đến 12 tháng tới, hướng nghiên cứu cần tiếp tục mở rộng sang các cơ chế mã hóa mức tệp tin (File-Based Encryption) trên các phiên bản Android đời mới. Hãy tham khảo và áp dụng ngay các giải pháp kỹ thuật trong luận văn thạc sĩ của tác giả Hoàng Thanh Nam để nâng cao hiệu quả giám định pháp y số và bảo đảm an toàn thông tin toàn diện.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TÔNG QUAN VẺ KHOA HỌC ĐIẾU TRA SỐ.1 Khái niệm vẻ khoa học điều tra số.2 Ứng dịmg của điêu tra số.3 Các loại binh điều tra số.2 Đặc điểm của điều tra số 3 1.1 Tội phạm máy tính.2 Bang chứng số 6 1.3 Quy định bằng chứng số tại Mỹ lt 1.4 Yêu cầu để thừa nhận bằng chứng số.2 Quy định vẻ bằng chứng gắc 14 1.5 Xảo nhận tỉnh hợplệ cũa công cụ điêu tra số 15 1.6 Kiểu bằng chứng sé 16 1.1 Bằng chứng số máy tính. S11 HH n1 xe we lB 1.2 Các kiểu bằng clhững khảc. HH E111 1111 ca 20 CHUONG 2.

QUY TRINH DIEU TRA SO.1 Quy trình chung điều tra số 32 2.2 Bảo vệ và giám định hiện trường 25 2.3 Lập tải liệu hiện trường.4 Thu thập bằng chứng kởi 2.5 Danh dẫu, vận chuyển va hm trữ 37 3.8 Lập tải liệu bảo cáo và bảo cáo.2 Quy trình điều tra số trén thiét bi Android. S11 HH n1 xe wee Al 2.1 Tiếp nhận cuộc điều tra. S11 HH n1 xe wee AD 2 2.3 Nhận dang thiét bi AB 3 Chuẩn bị.4 Bảo vệ bằng chimg 50 5 Xử lý bằng chứng.6 Kiểm tra xác nhận 32 3.7 Lập tài liệuvà báo cáo.8 Trình bày vụ án 34 2 2.9 Tam trữ hồ sơ vụ án 34 2.3 Quy trình thu thập băng chứng 54 2.1 Thú tục ban đầu để báo vệ dữ liệu trên thiết bị.9 M6 phang lai hinh dang khéa mé hinh .10— Dữ liệu copy tit ‘data.11 —SOLite Browser Link 3.12 Dữ liệu bản ghỉ cuộc gọi Hình 3.13— Thông tin lịch sử cuộc gọi Tình 3.14 Gọi bằng trong file contacts2.15 —Các tập tin trong browser2.đb oxy Viewer SQLite Forensic.db trong SQI.15 Cúc ứng dụng AFLogical OSE Hình 3.17 Thông bảo hiển thị san khi chiỗt xuất haàn tắt.18— Thông tín trích xuất dụng csv Hình 3.10 - Thiết lập The J1AG.20— Kỹ thuật Chíp-đƒƒ- Hình 3.21 ~Các tùy chọn hình ảnh da WFinHex.22 Phát hiện phục hối thiét bj Android.23— Danh sách các thiết bị lưu trữ cá sẵn Hình 3. Danh sách file được phục hỗ, TRình 3.25— Ứng dụng siêu sao hai Tình 3.26— Xem dã liệu đữ bị xoá trên phẫu mầm Oxygen.27 Tập cấu hình sealpel.27 -Chạy công cụ Scalpel trong mét file dd.28— Thư mục dẫu ra sau khi chạy công cụ Šcalpel.

Dữ liệu khôi phục sau khi sử dụng Sealpel.30— IDumh sách liên lạc trên Gmail,.31 - Hộp thoại thông báo khôi phục danh sách liên lạc TRình 4.1 — Quy trinh thu thập chứng cứ vụ án.2 —Dũ liệu bên trong the muc /data/system .3 Xác nhận giá trị bản sao chứng cứ.4— Xem tín nhắn SMS từ cơ sở dữ liệt viii DANH MỤC BẰNG Bảng 2.1— Đường dẫn lưu trữ các lập tin cơ xở dữ liệu Bảng 4.1 — Thông tin nhận dạng thiết bị. vi DANH MỤC VIẾT TẮT SWGDE Scientific Working Group on Digital Nhóm khoa học làm việc trên bằng Lvidence chứng số NH | National Institute of Justice Viện tư pháp quốc gia Hoa Kỳ ISO | Intemational Organization for Tổ chức tiêu chuận hóa quốc lễ Standardization FBI __| Federal Bureau of Investigation Cục điều tra liên bang, SOP | Standard Operating Procedures Quy trình chuân ACPO _| Association of Chief Police Officers | Liệp hội cảnh sát trướng MDS _| Message-Digest algorithm 5 Thuật toán hàm băm SHA | Sccure Hash Algorithm Thuật toán hàm băm an toàn RAM | Random Access Memory Tiộ nhớ truy cập ngẫu nhiên NTFS | New Technology File System Hệ thông tập ti công nghệ mới FAT | File Allocation Table Bang định vị tap tin PDA _ | Personal digital assistant Thiét bị trợ giúp cá nhân GPS __| Global Positioning Systems Thiết bị định vị 3.7 Phục hỏi dữ liệu bị xóa từ bộ nhớ trong. con „106 CHƯƠNG 4. THỰC NGHTEM PHAN TICH DIEU TRA SO.1 Giới thiêu tỉnh huéng 114 4.2 Thực hiện quy trinh điều tra.

sexy S11 HH n1 xe 11S 4.