Nghiên Cứu Điều Tra Số Trên Thiết Bị Di Động Thông Minh

Tài liệu nghiên cứu Nghiên ứu điều tra số trên thiết bị di động thông minh, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về .

• Tác giả: Hoàng Thanh Nam
• Người hướng dẫn: PGS. Nguyễn Linh Giang
• Trường học: Đại học Bách Khoa Hà Nội
• Chuyên ngành: Truyền thông và mạng máy tính
• Đề tài: Nghiên Cứu Điều Tra Số Trên Thiết Bị Di Động Thông Minh
• Loại tài liệu: luận văn thạc sĩ kỹ thuật
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ KHOA HỌC ĐIỀU TRA SỐ
• 1.1. Khái niệm về khoa học điều tra số
• 1.2. Ứng dụng của điều tra số
• 1.3. Các loại hình điều tra số
• 1.3.1. Điều tra máy tính
• 1.3.2. Điều tra mạng
• 1.3.3. Điều tra thiết bị di động
• 1.4. Đặc điểm của điều tra số
• 1.5. Tội phạm máy tính
• 1.5.1. Đánh cắp định danh
• 1.5.2. Truy cập bất hợp pháp vào hệ thống máy tính và dữ liệu nhạy cảm
• 1.5.3. Lừa đảo trực tuyến
• 2. QUY TRÌNH ĐIỀU TRA SỐ
• 2.1. Quy trình chung điều tra số
• 2.2. Bảo vệ và giám định hiện trường
• 2.3. Lập tài liệu hiện trường
• 2.4. Thu thập bằng chứng
• 2.5. Đánh dấu, vận chuyển và lưu trữ
• 2.6. Lập tài liệu báo cáo và báo cáo
• 2.7. Quy trình điều tra số trên thiết bị Android
• 2.7.1. Tiếp nhận cuộc điều tra
• 2.7.2. Nhận dạng thiết bị
• 2.7.3. Bảo vệ bằng chứng
• 2.7.4. Xử lý bằng chứng
• 2.7.5. Kiểm tra xác nhận
• 2.7.6. Lập tài liệu và báo cáo
• 2.7.7. Trình bày vụ án
• 2.7.8. Lưu trữ hồ sơ vụ án
• 2.8. Quy trình thu thập bằng chứng
• 2.8.1. Thủ tục ban đầu để bảo vệ dữ liệu trên thiết bị
• 2.8.2. Thu thập dữ liệu trên thiết bị bật, không có mã bảo vệ
• 2.8.3. Thu thập trên thiết bị bật, có mã bảo vệ
• 2.9. Quy trình phân tích bằng chứng
• 3. KỸ THUẬT ĐIỀU TRA SỐ
• 3.1. Hệ điều hành Android
• 3.1.1. Các thành phần hệ điều hành Android
• 3.1.2. Bảo mật Android
• 3.1.3. Cấu trúc phân cấp file
• 3.1.4. Hệ thống tập tin
• 3.2. Thiết lập môi trường điều tra số
• 3.2.1. Môi trường điều tra số
• 3.2.2. Công cụ lập trình ASDK
• 3.2.3. Hệ thống giả lập thiết bị Android
• 3.2.4. Kết nối thiết bị Android
• 3.2.5. Truy cập thiết bị Android không khoá
• 3.2.6. Truy cập thiết bị Android có khoá
• 3.3. Kỹ thuật trích xuất và phục hồi dữ liệu
• 3.3.1. Trích xuất dữ liệu thủ công
• 3.3.2. Trích xuất dữ liệu logic
• 3.3.3. Trích xuất dữ liệu vật lý
• 3.3.4. Trích xuất tạo ảnh một bộ nhớ thẻ
• 3.3.5. Khôi phục các tập tin bị xóa
• 3.3.6. Phục hồi dữ liệu bị xóa từ thẻ SD
• 3.3.7. Phục hồi dữ liệu bị xóa từ bộ nhớ trong
• 4. THỰC NGHIỆM PHÂN TÍCH ĐIỀU TRA SỐ
• 4.1. Giới thiệu tình huống
• 4.2. Thực hiện quy trình điều tra
• 4.2.1. Tiếp nhận cuộc điều tra
• 4.2.2. Nhận dạng thiết bị
• 4.2.3. Bảo vệ chứng cứ
• 4.2.4. Xử lý bằng chứng
• 4.2.5. Kiểm tra xác nhận
• 4.3. Đánh giá quá trình thực hiện quy trình
• TÀI LIỆU THAM KHẢO
• CÁC CÔNG CỤ ĐIỀU TRA SỐ
• PHỤ LỤC II. SỬ DỤNG CÔNG CỤ AUTOSPY
• PHỤ LỤC III. GIẢI MÃ TẬP TIN CƠ SỞ DỮ LIỆU ỨNG DỤNG WHATSAPP

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Điều Tra Số Di Động Hiện Nay

Nghiên cứu điều tra số trên thiết bị di động thông minh (hay còn gọi là Mobile Forensics) là một lĩnh vực phát triển nhanh chóng, đáp ứng nhu cầu ngày càng tăng về việc thu thập và phân tích bằng chứng điện tử từ các thiết bị di động. Điều này bao gồm điện thoại thông minh, máy tính bảng và các thiết bị di động khác. Lĩnh vực này kết hợp các nguyên tắc của khoa học pháp y truyền thống với các kỹ thuật và công cụ chuyên biệt để trích xuất, bảo quản và phân tích dữ liệu từ các thiết bị này một cách hợp pháp và có giá trị pháp lý. Điều tra số di động đóng vai trò then chốt trong việc giải quyết các vụ án hình sự, dân sự và vi phạm chính sách công ty, nơi thông tin quan trọng có thể được tìm thấy trên điện thoại thông minh của các đối tượng liên quan.

1.1. Khái niệm và phạm vi của Mobile Forensics

Mobile Forensics không chỉ đơn thuần là việc khôi phục dữ liệu đã xóa. Nó bao gồm một loạt các quy trình và kỹ thuật, từ việc xác định loại thiết bị và hệ điều hành, đến việc vượt qua các biện pháp bảo mật và trích xuất dữ liệu. Dữ liệu có thể bao gồm nhật ký cuộc gọi, tin nhắn văn bản, email, ảnh, video, dữ liệu ứng dụng, vị trí địa lý và nhiều thông tin khác. Phạm vi của điều tra số di động ngày càng mở rộng khi các thiết bị di động trở nên phức tạp hơn và lưu trữ lượng dữ liệu cá nhân và kinh doanh lớn hơn. Công việc này đòi hỏi chuyên gia có kiến thức sâu rộng về các hệ điều hành di động (Android, iOS), hệ thống tập tin, giao thức mạng và các công cụ pháp lý chuyên dụng. Các công cụ điều tra số di động ngày nay liên tục được cập nhật để theo kịp sự phát triển của công nghệ di động.

1.2. Vai trò của điều tra số di động trong tố tụng

Trong tố tụng hình sự và dân sự, bằng chứng thu thập được từ điều tra số di động có thể là yếu tố then chốt để xác định sự thật. Ví dụ, tin nhắn văn bản hoặc email có thể cung cấp bằng chứng về động cơ, kế hoạch hoặc hành vi phạm tội. Dữ liệu vị trí có thể chứng minh sự hiện diện của một người tại một địa điểm cụ thể vào một thời điểm cụ thể. Phân tích ứng dụng di động có thể tiết lộ thông tin về hoạt động của người dùng, giao tiếp và các giao dịch tài chính. Để bằng chứng này có giá trị trước tòa, quá trình thu thập và phân tích phải tuân thủ các quy trình nghiêm ngặt để đảm bảo tính toàn vẹn và xác thực của dữ liệu. Các chuyên gia phải có khả năng chứng minh rằng bằng chứng không bị giả mạo, thay đổi hoặc bị ô nhiễm trong quá trình điều tra.

II. Thách Thức Trong Điều Tra Số Trên Điện Thoại Thông Minh

Mặc dù điều tra số trên thiết bị di động mang lại nhiều cơ hội để thu thập bằng chứng quan trọng, nhưng nó cũng đi kèm với nhiều thách thức đáng kể. Các thiết bị di động ngày càng trở nên phức tạp hơn, với các hệ điều hành liên tục được cập nhật, các biện pháp bảo mật ngày càng tinh vi và lượng dữ liệu khổng lồ được lưu trữ trên mỗi thiết bị. Những yếu tố này gây khó khăn cho các nhà điều tra trong việc truy cập, trích xuất và phân tích dữ liệu một cách hiệu quả và hợp pháp. Hơn nữa, sự đa dạng của các thiết bị di động và hệ điều hành, mỗi loại có những đặc điểm và lỗ hổng riêng, đòi hỏi các nhà điều tra phải có kiến thức và kỹ năng chuyên môn sâu rộng.

2.1. Mã hóa và bảo mật hệ thống trên điện thoại di động

Mã hóa là một trong những thách thức lớn nhất trong điều tra số di động. Nhiều thiết bị di động hiện nay được trang bị các tính năng mã hóa mạnh mẽ, bảo vệ dữ liệu khỏi truy cập trái phép. Các nhà điều tra phải tìm cách vượt qua các biện pháp mã hóa này để truy cập vào dữ liệu cần thiết. Điều này có thể bao gồm việc sử dụng các kỹ thuật bẻ khóa mật khẩu, khai thác các lỗ hổng bảo mật hoặc sử dụng các công cụ chuyên dụng để giải mã dữ liệu. Tuy nhiên, việc vượt qua các biện pháp bảo mật này phải được thực hiện một cách hợp pháp và tuân thủ các quy định về quyền riêng tư và bảo vệ dữ liệu. Ví dụ, việc sử dụng các công cụ bẻ khóa mật khẩu có thể yêu cầu lệnh của tòa án.

2.2. Sự đa dạng của hệ điều hành và ứng dụng di động

Sự đa dạng của hệ điều hành và ứng dụng di động tạo ra một thách thức đáng kể cho các nhà điều tra. Mỗi hệ điều hành (Android, iOS) có cấu trúc tập tin, giao thức và API riêng, đòi hỏi các nhà điều tra phải có kiến thức chuyên môn sâu rộng về từng hệ điều hành. Tương tự, mỗi ứng dụng di động lưu trữ dữ liệu theo một cách riêng, và các nhà điều tra phải hiểu cách ứng dụng hoạt động để có thể trích xuất và phân tích dữ liệu một cách hiệu quả. Điều này đòi hỏi các nhà điều tra phải liên tục cập nhật kiến thức và kỹ năng của mình để theo kịp sự phát triển của công nghệ ứng dụng di động. Phân tích ứng dụng di động là một lĩnh vực chuyên biệt, đòi hỏi sự hiểu biết về kỹ thuật đảo ngược, phân tích mã và các kỹ thuật điều tra số khác.

2.3. Thay đổi dữ liệu và tính dễ bay hơi của bằng chứng số

Dữ liệu trên thiết bị di động có thể thay đổi hoặc bị xóa rất nhanh chóng, đặc biệt là dữ liệu trong bộ nhớ tạm thời (RAM). Điều này có nghĩa là các nhà điều tra phải hành động nhanh chóng để bảo quản bằng chứng trước khi nó bị mất hoặc bị thay đổi. Hơn nữa, việc sử dụng các thiết bị di động có thể tạo ra các thay đổi trong dữ liệu, chẳng hạn như cập nhật dấu thời gian hoặc tạo nhật ký mới. Các nhà điều tra phải cẩn thận để không làm thay đổi hoặc làm hỏng bằng chứng trong quá trình điều tra. Điều này đòi hỏi việc sử dụng các quy trình bảo quản bằng chứng nghiêm ngặt và các công cụ chuyên dụng để tạo bản sao chính xác của dữ liệu gốc.

III. Các Phương Pháp Trích Xuất Dữ Liệu Từ Thiết Bị Di Động

Việc trích xuất dữ liệu từ thiết bị di động là một bước quan trọng trong quá trình điều tra số. Có nhiều phương pháp khác nhau để trích xuất dữ liệu, tùy thuộc vào loại thiết bị, hệ điều hành, tình trạng của thiết bị và các biện pháp bảo mật được áp dụng. Các phương pháp phổ biến bao gồm trích xuất logic, trích xuất vật lý và trích xuất thủ công. Mỗi phương pháp có những ưu điểm và nhược điểm riêng, và việc lựa chọn phương pháp phù hợp phụ thuộc vào từng tình huống cụ thể.

3.1. Trích xuất logic trong điều tra số di động

Trích xuất logic là một phương pháp trích xuất dữ liệu từ thiết bị di động bằng cách sử dụng các API và giao thức tiêu chuẩn được cung cấp bởi hệ điều hành. Phương pháp này cho phép truy cập vào dữ liệu người dùng, chẳng hạn như danh bạ, tin nhắn, nhật ký cuộc gọi, ảnh và video. Trích xuất logic thường là phương pháp nhanh chóng và dễ thực hiện hơn so với trích xuất vật lý, và nó không yêu cầu phải root hoặc jailbreak thiết bị. Tuy nhiên, trích xuất logic có thể không truy cập được vào tất cả dữ liệu trên thiết bị, chẳng hạn như dữ liệu đã xóa hoặc dữ liệu hệ thống. Một số công cụ thường dùng là cellebrite UFED, Oxygen Forensic Detective

3.2. Kỹ thuật trích xuất vật lý bằng phần cứng và phần mềm

Trích xuất vật lý là một phương pháp trích xuất dữ liệu từ thiết bị di động bằng cách tạo một bản sao bit-by-bit của toàn bộ bộ nhớ flash. Phương pháp này cho phép truy cập vào tất cả dữ liệu trên thiết bị, bao gồm cả dữ liệu đã xóa, dữ liệu hệ thống và dữ liệu được mã hóa. Trích xuất vật lý thường được sử dụng khi trích xuất logic không thành công hoặc khi cần truy cập vào dữ liệu đã xóa. Tuy nhiên, trích xuất vật lý là một phương pháp phức tạp hơn và có thể yêu cầu phải root hoặc jailbreak thiết bị, điều này có thể làm mất hiệu lực bảo hành và gây rủi ro cho thiết bị. Các kỹ thuật phần cứng như JTAG, Chip-Off thường được sử dụng.

3.3. Hướng dẫn trích xuất dữ liệu thủ công từ smartphone

Trích xuất dữ liệu thủ công là một phương pháp trích xuất dữ liệu từ thiết bị di động bằng cách sử dụng các công cụ và kỹ thuật thủ công, chẳng hạn như trình duyệt tập tin, trình xem cơ sở dữ liệu và trình soạn thảo hex. Phương pháp này thường được sử dụng khi không có sẵn các công cụ chuyên dụng hoặc khi cần truy cập vào dữ liệu cụ thể. Trích xuất dữ liệu thủ công đòi hỏi kiến thức chuyên môn sâu rộng về hệ điều hành di động, hệ thống tập tin và cấu trúc dữ liệu. Nó cũng có thể tốn thời gian và dễ xảy ra lỗi. Tuy nhiên, trong một số trường hợp, trích xuất dữ liệu thủ công có thể là phương pháp duy nhất để truy cập vào dữ liệu cần thiết. Ví dụ, giải mã file cơ sở dữ liệu whatsapp.

IV. Phân Tích Dữ Liệu Điện Thoại Để Tìm Kiếm Bằng Chứng Số

Sau khi dữ liệu đã được trích xuất từ thiết bị di động, bước tiếp theo là phân tích dữ liệu để tìm kiếm bằng chứng liên quan. Phân tích dữ liệu bao gồm việc xác định, giải thích và trình bày dữ liệu một cách rõ ràng và dễ hiểu. Các kỹ thuật phân tích dữ liệu phổ biến bao gồm tìm kiếm từ khóa, phân tích dòng thời gian, phân tích liên kết và phân tích dữ liệu ứng dụng. Việc lựa chọn kỹ thuật phân tích phù hợp phụ thuộc vào loại dữ liệu và mục tiêu của cuộc điều tra.

4.1. Sử dụng từ khóa để tìm kiếm thông tin liên quan

Tìm kiếm từ khóa là một kỹ thuật cơ bản nhưng hiệu quả để tìm kiếm thông tin liên quan trong dữ liệu trích xuất. Kỹ thuật này bao gồm việc xác định các từ khóa hoặc cụm từ liên quan đến cuộc điều tra và sử dụng chúng để tìm kiếm trong dữ liệu. Từ khóa có thể bao gồm tên người, địa điểm, sự kiện, số điện thoại, địa chỉ email hoặc bất kỳ thông tin nào khác có thể liên quan đến vụ việc. Kết quả tìm kiếm có thể được sử dụng để xác định các tài liệu hoặc tệp tin có chứa thông tin quan trọng.

4.2. Phân tích nhật ký điện thoại để dựng lại sự kiện

Phân tích nhật ký điện thoại là một kỹ thuật quan trọng để dựng lại các sự kiện và xác định mối quan hệ giữa các đối tượng. Nhật ký cuộc gọi, tin nhắn và email có thể cung cấp thông tin về thời gian, địa điểm và nội dung của các giao tiếp. Phân tích nhật ký có thể giúp xác định ai đã liên lạc với ai, khi nào và về vấn đề gì. Thông tin này có thể được sử dụng để xác định nghi phạm, chứng minh động cơ hoặc xác minh lời khai của nhân chứng. Các công cụ hỗ trợ cho phân tích nhật ký điện thoại thường hiển thị dữ liệu dưới dạng dòng thời gian hoặc biểu đồ liên kết, giúp dễ dàng hình dung các mối quan hệ và sự kiện.

4.3. Phân tích ứng dụng di động Giải mã dữ liệu ứng dụng

Phân tích ứng dụng di động là một kỹ thuật chuyên sâu để giải mã dữ liệu được lưu trữ trong các ứng dụng di động. Các ứng dụng di động thường lưu trữ một lượng lớn dữ liệu về người dùng, bao gồm thông tin cá nhân, lịch sử hoạt động, dữ liệu vị trí và thông tin giao tiếp. Phân tích ứng dụng di động có thể giúp trích xuất và giải mã dữ liệu này để tìm kiếm bằng chứng liên quan. Kỹ thuật này đòi hỏi kiến thức về cấu trúc dữ liệu của ứng dụng, các giao thức mạng và các kỹ thuật đảo ngược mã.

V. Ứng Dụng Thực Tế Điều Tra Tội Phạm Mạng Di Động

Trong bối cảnh tội phạm mạng di động ngày càng gia tăng, điều tra số đóng vai trò quan trọng trong việc phát hiện, điều tra và truy tố các hành vi phạm tội. Từ lừa đảo trực tuyến đến đánh cắp dữ liệu cá nhân, các chuyên gia sử dụng các kỹ thuật và công cụ để thu thập, phân tích và trình bày bằng chứng kỹ thuật số để giúp các cơ quan thực thi pháp luật xác định và truy tố tội phạm. Các vụ việc liên quan đến tội phạm mạng di động có thể phức tạp và đòi hỏi sự chuyên môn cao để đảm bảo bằng chứng được thu thập và trình bày một cách chính xác và đáng tin cậy.

5.1. Điều tra các vụ lừa đảo trực tuyến qua ứng dụng di động

Lừa đảo trực tuyến qua ứng dụng di động là một hình thức tội phạm mạng di động phổ biến. Kẻ gian có thể sử dụng các ứng dụng giả mạo hoặc các kỹ thuật lừa đảo để đánh cắp thông tin cá nhân, tài khoản ngân hàng hoặc thẻ tín dụng của người dùng. Điều tra số trong trường hợp này bao gồm việc phân tích ứng dụng di động để xác định nguồn gốc của ứng dụng, các hành vi đáng ngờ và các liên kết đến các máy chủ điều khiển từ xa. Phân tích nhật ký điện thoại cũng có thể giúp xác định các nạn nhân khác và các mối liên hệ giữa các đối tượng liên quan.

5.2. Phân tích tin nhắn và cuộc gọi trong các vụ đe dọa tống tiền

Tin nhắn và cuộc gọi là những phương tiện giao tiếp quan trọng trong các vụ đe dọa và tống tiền. Điều tra số trong trường hợp này bao gồm việc phân tích nhật ký điện thoại để xác định nguồn gốc của các tin nhắn và cuộc gọi, nội dung của các giao tiếp và các mối liên hệ giữa các đối tượng liên quan. Phân tích địa điểm cũng có thể giúp xác định vị trí của các đối tượng trong thời gian diễn ra các sự kiện. Các chuyên gia cần đảm bảo rằng quá trình thu thập và phân tích bằng chứng tuân thủ các quy định pháp luật về quyền riêng tư và bảo vệ dữ liệu.

5.3. Xác định nguồn gốc và phạm vi của các cuộc tấn công phần mềm độc hại

Phần mềm độc hại trên thiết bị di động có thể được sử dụng để đánh cắp thông tin cá nhân, theo dõi hoạt động của người dùng hoặc thậm chí chiếm quyền điều khiển thiết bị. Điều tra số trong trường hợp này bao gồm việc phân tích ứng dụng di động để xác định loại phần mềm độc hại, cách thức hoạt động của nó và các thông tin liên lạc với các máy chủ điều khiển từ xa. Phân tích nhật ký điện thoại và phân tích lưu lượng mạng cũng có thể giúp xác định nguồn gốc của cuộc tấn công và phạm vi ảnh hưởng của nó.

VI. Xu Hướng Và Tương Lai Của Nghiên Cứu Điều Tra Số Di Động

Nghiên cứu điều tra số di động đang phát triển nhanh chóng để đáp ứng những thách thức mới do sự gia tăng của thiết bị di động và sự phức tạp của các hệ điều hành và ứng dụng. Các xu hướng hiện tại bao gồm sự phát triển của các công cụ tự động hóa, việc sử dụng trí tuệ nhân tạo (AI) và máy học (ML) để phân tích dữ liệu và việc tập trung vào bảo mật đám mây. Trong tương lai, điều tra số di động sẽ tiếp tục đóng vai trò quan trọng trong việc bảo vệ an ninh và quyền riêng tư của người dùng di động.

6.1. Sự phát triển của công cụ điều tra số tự động hóa

Các công cụ điều tra số tự động hóa đang ngày càng trở nên quan trọng để xử lý lượng dữ liệu khổng lồ được tạo ra bởi các thiết bị di động. Các công cụ này có thể tự động trích xuất dữ liệu, phân tích nhật ký điện thoại, tìm kiếm từ khóa và tạo báo cáo. Tự động hóa giúp các nhà điều tra tiết kiệm thời gian và công sức, đồng thời giảm thiểu nguy cơ sai sót do con người. Tuy nhiên, các nhà điều tra vẫn cần có kiến thức chuyên môn để đánh giá kết quả và đưa ra kết luận chính xác.

6.2. Áp dụng trí tuệ nhân tạo trong phân tích dữ liệu di động

Trí tuệ nhân tạo (AI) và máy học (ML) đang được sử dụng ngày càng nhiều trong phân tích dữ liệu di động. AI và ML có thể giúp tự động xác định các mẫu, xu hướng và mối quan hệ trong dữ liệu mà con người có thể bỏ lỡ. Ví dụ, AI có thể được sử dụng để phát hiện các hành vi đáng ngờ, xác định các liên kết giữa các đối tượng hoặc dự đoán các cuộc tấn công trong tương lai. Tuy nhiên, việc sử dụng AI và ML trong điều tra số cần được thực hiện cẩn thận để đảm bảo tính chính xác và công bằng.

6.3. Tầm quan trọng của an ninh đám mây trong điều tra số

Ngày càng nhiều dữ liệu di động được lưu trữ trên đám mây, điều này tạo ra những thách thức mới cho điều tra số. Các nhà điều tra cần có khả năng truy cập và phân tích dữ liệu được lưu trữ trên các dịch vụ đám mây khác nhau, đồng thời đảm bảo rằng dữ liệu được bảo vệ khỏi truy cập trái phép. An ninh đám mây là một lĩnh vực quan trọng trong điều tra số và đòi hỏi sự hợp tác giữa các nhà điều tra, các nhà cung cấp dịch vụ đám mây và các cơ quan thực thi pháp luật.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng, tội phạm công nghệ cao ngày càng gia tăng, đặc biệt là các hành vi liên quan đến thiết bị di động thông minh. Theo báo cáo của ngành, tỷ lệ thư rác toàn cầu chiếm khoảng 71,1%, trong đó Việt Nam đứng thứ sáu với 3,3%, cho thấy mức độ phổ biến và nguy cơ từ các hành vi phạm pháp trên môi trường số. Luận văn tập trung nghiên cứu điều tra số trên thiết bị di động sử dụng hệ điều hành Android, nhằm xây dựng quy trình thu thập và phân tích bằng chứng số, đồng thời đánh giá hiệu quả quy trình qua thực nghiệm. Phạm vi nghiên cứu bao gồm các quy định pháp luật tại Mỹ và Việt Nam, kỹ thuật điều tra số, công cụ hỗ trợ và thực tiễn áp dụng tại một số địa phương. Mục tiêu cụ thể là phát triển quy trình điều tra số phù hợp với đặc thù thiết bị di động Android, góp phần nâng cao hiệu quả điều tra tội phạm công nghệ cao, đồng thời đảm bảo tính pháp lý và kỹ thuật của bằng chứng số trong tố tụng. Nghiên cứu có ý nghĩa quan trọng trong việc hỗ trợ các cơ quan thực thi pháp luật và chuyên gia điều tra số, giúp bảo vệ an ninh mạng và quyền lợi người dùng trong kỷ nguyên số.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình nghiên cứu trong lĩnh vực khoa học điều tra số (digital forensics), bao gồm:

• Lý thuyết về bằng chứng số: Định nghĩa, đặc điểm và vai trò của bằng chứng số trong tố tụng, nhấn mạnh tính xác thực, tính toàn vẹn và chuỗi quản lý bằng chứng (chain of custody).
• Mô hình quy trình điều tra số: Bao gồm các bước chuẩn bị, bảo vệ hiện trường, thu thập, phân tích, lập báo cáo và trình bày bằng chứng, được chuẩn hóa theo tiêu chuẩn quốc tế như ISO/IEC 27037, 27041, 27042, 27043.
• Khái niệm về tội phạm máy tính và điều tra thiết bị di động: Phân loại tội phạm, đặc điểm tội phạm công nghệ cao trên thiết bị di động, các kỹ thuật trích xuất và phục hồi dữ liệu trên hệ điều hành Android.
• Chuỗi quản lý bằng chứng (Chain of Custody): Nguyên tắc đảm bảo bằng chứng không bị thay đổi trong quá trình thu thập, vận chuyển và phân tích.
• Tiêu chuẩn pháp lý và kỹ thuật: Các quy định pháp luật tại Mỹ và Việt Nam về thu thập, bảo quản và sử dụng bằng chứng số, tiêu chuẩn kiểm định công cụ điều tra (NIST, SWGDE).

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa phân tích tài liệu, khảo sát kỹ thuật và thực nghiệm thực tế:

• Nguồn dữ liệu: Tài liệu pháp luật Việt Nam và Mỹ, các tiêu chuẩn quốc tế, tài liệu kỹ thuật về điều tra số, bộ công cụ phần mềm và phần cứng chuyên dụng, dữ liệu thực tế từ các thiết bị di động Android.
• Phương pháp chọn mẫu: Lựa chọn các thiết bị di động Android phổ biến tại thị trường Việt Nam, các trường hợp thực tế có liên quan đến điều tra số để thực nghiệm quy trình.
• Phương pháp phân tích: Phân tích định tính các quy định pháp luật, tiêu chuẩn kỹ thuật; phân tích định lượng các kết quả thu thập và phục hồi dữ liệu; đánh giá hiệu quả quy trình qua các chỉ số như tỷ lệ phục hồi dữ liệu thành công, độ chính xác của bằng chứng, thời gian xử lý.
• Timeline nghiên cứu: Nghiên cứu được thực hiện trong năm 2016, bao gồm giai đoạn thu thập tài liệu (3 tháng), xây dựng quy trình và thiết lập môi trường điều tra (4 tháng), thực nghiệm và đánh giá (5 tháng).

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Luật pháp và quy định về điều tra số: Luật tố tụng hình sự Việt Nam hiện chưa hoàn thiện trong việc công nhận và quy định chi tiết về bằng chứng số, trong khi Mỹ có các tiêu chuẩn rõ ràng về bằng chứng gốc, bản sao và xác thực bằng chứng số. Theo ước tính, việc thiếu quy định cụ thể làm giảm hiệu quả thu thập và sử dụng bằng chứng số trong tố tụng tại Việt Nam.

2. Quy trình điều tra số trên thiết bị Android: Luận văn xây dựng thành công quy trình gồm các bước tiếp nhận, nhận dạng thiết bị, bảo vệ bằng chứng, xử lý, kiểm tra xác nhận, lập tài liệu và lưu trữ hồ sơ. Thực nghiệm trên thiết bị Android cho thấy tỷ lệ phục hồi dữ liệu bị xóa đạt khoảng 85%, với thời gian xử lý trung bình giảm 20% so với quy trình truyền thống.

3. Kỹ thuật trích xuất và phục hồi dữ liệu: Sử dụng các kỹ thuật trích xuất dữ liệu thủ công, logic và vật lý, kết hợp công cụ như FTK, EnCase, Oxygen, Scalpel, giúp phục hồi hiệu quả các loại dữ liệu như tin nhắn SMS, lịch sử cuộc gọi, dữ liệu ứng dụng WhatsApp. Tỷ lệ khôi phục dữ liệu bị mã hóa và ẩn đạt khoảng 70%, cho thấy sự cần thiết của kỹ thuật chuyên sâu.

4. Đánh giá quy trình và công cụ: Quy trình đề xuất đảm bảo tính toàn vẹn và xác thực của bằng chứng số thông qua việc áp dụng chuỗi quản lý bằng chứng và thuật toán hàm băm MD5, SHA-1. So sánh với các nghiên cứu khác, quy trình này phù hợp với tiêu chuẩn quốc tế và có thể áp dụng rộng rãi trong thực tế điều tra.

Thảo luận kết quả

Nguyên nhân của những phát hiện trên xuất phát từ sự phát triển nhanh chóng của công nghệ di động và sự chậm trễ trong hoàn thiện khung pháp lý tại Việt Nam. Việc xây dựng quy trình điều tra số chuyên biệt cho Android là cần thiết do đặc thù hệ điều hành và cấu trúc lưu trữ dữ liệu khác biệt so với máy tính truyền thống. Kết quả thực nghiệm cho thấy quy trình mới giúp tăng hiệu quả thu thập và phân tích bằng chứng, đồng thời giảm thiểu rủi ro mất mát dữ liệu. So với các nghiên cứu quốc tế, luận văn đã bổ sung các bước chi tiết phù hợp với điều kiện Việt Nam, góp phần nâng cao năng lực điều tra số trong nước. Dữ liệu có thể được trình bày qua biểu đồ tỷ lệ phục hồi dữ liệu theo từng kỹ thuật và bảng so sánh thời gian xử lý giữa các quy trình.

Đề xuất và khuyến nghị

1. Hoàn thiện khung pháp lý về bằng chứng số: Cần bổ sung quy định cụ thể trong Bộ luật tố tụng hình sự về thu thập, bảo quản, phục hồi và giám định bằng chứng số, đặc biệt là dữ liệu điện tử trên thiết bị di động. Thời gian thực hiện trong 1-2 năm, chủ thể là Bộ Tư pháp và các cơ quan liên quan.

2. Đào tạo chuyên sâu cho lực lượng điều tra: Tổ chức các khóa đào tạo kỹ thuật điều tra số chuyên biệt cho thiết bị di động Android, nâng cao nhận thức về quy trình và kỹ thuật thu thập bằng chứng. Mục tiêu tăng tỷ lệ thành công thu thập dữ liệu lên trên 90% trong vòng 1 năm, do các cơ quan công an và viện kiểm sát thực hiện.

3. Đầu tư trang thiết bị và công cụ điều tra hiện đại: Trang bị các thiết bị chống ghi, phần mềm phân tích dữ liệu chuyên dụng, đảm bảo tuân thủ tiêu chuẩn quốc tế như NIST, SWGDE. Thời gian triển khai 6-12 tháng, chủ thể là các đơn vị điều tra công nghệ cao.

4. Xây dựng hệ thống quản lý chuỗi bằng chứng điện tử: Áp dụng hệ thống quản lý chuỗi hành trình bằng chứng (chain of custody) điện tử để đảm bảo tính toàn vẹn và minh bạch trong quá trình điều tra. Mục tiêu hoàn thành trong 1 năm, do các cơ quan điều tra phối hợp với đơn vị công nghệ thông tin thực hiện.

Đối tượng nên tham khảo luận văn

1. Cơ quan thực thi pháp luật và điều tra viên: Nâng cao kiến thức và kỹ năng trong thu thập, bảo quản và phân tích bằng chứng số trên thiết bị di động, hỗ trợ hiệu quả trong các vụ án công nghệ cao.

2. Chuyên gia pháp y kỹ thuật số: Áp dụng quy trình và kỹ thuật nghiên cứu để phát triển công cụ và phương pháp điều tra mới, đảm bảo tính pháp lý và kỹ thuật của bằng chứng.

3. Nhà quản lý và hoạch định chính sách: Tham khảo để xây dựng và hoàn thiện khung pháp lý, chính sách về điều tra số, bảo vệ an ninh mạng và quyền riêng tư người dùng.

4. Giảng viên và sinh viên ngành công nghệ thông tin, an ninh mạng: Là tài liệu tham khảo học thuật, giúp hiểu rõ về quy trình, kỹ thuật và pháp lý trong điều tra số thiết bị di động, phục vụ nghiên cứu và giảng dạy.

Câu hỏi thường gặp

1. Điều tra số trên thiết bị di động khác gì so với máy tính?
   Điều tra số trên thiết bị di động tập trung vào các đặc thù của hệ điều hành như Android, bao gồm cấu trúc lưu trữ, bảo mật và các kỹ thuật trích xuất dữ liệu riêng biệt. Ví dụ, việc xử lý mã khóa màn hình và phục hồi dữ liệu từ thẻ nhớ là những thách thức đặc trưng.

2. Làm thế nào để đảm bảo tính toàn vẹn của bằng chứng số?
   Tính toàn vẹn được đảm bảo thông qua việc sử dụng chuỗi quản lý bằng chứng (chain of custody) và thuật toán hàm băm như MD5, SHA-1 để xác minh dữ liệu không bị thay đổi trong quá trình thu thập và phân tích.

3. Quy trình thu thập bằng chứng số gồm những bước nào?
   Quy trình bao gồm chuẩn bị, bảo vệ hiện trường, lập tài liệu hiện trường, thu thập bằng chứng, kiểm tra xác nhận, phân tích và lập báo cáo. Mỗi bước đều có tiêu chuẩn và công cụ hỗ trợ để đảm bảo hiệu quả và tính pháp lý.

4. Có thể phục hồi dữ liệu đã xóa trên thiết bị Android không?
   Có thể, sử dụng các kỹ thuật trích xuất dữ liệu vật lý và logic kết hợp công cụ chuyên dụng, tỷ lệ phục hồi dữ liệu bị xóa có thể đạt khoảng 85%, tùy thuộc vào tình trạng thiết bị và phương pháp sử dụng.

5. Luật pháp Việt Nam hiện có quy định gì về bằng chứng số?
   Hiện tại, luật pháp Việt Nam đang trong quá trình hoàn thiện các quy định về bằng chứng số, chưa có hướng dẫn chi tiết về thu thập và sử dụng dữ liệu điện tử trong tố tụng, điều này gây khó khăn cho việc áp dụng trong thực tế.

Kết luận

• Luận văn đã xây dựng thành công quy trình điều tra số chuyên biệt cho thiết bị di động Android, đáp ứng yêu cầu kỹ thuật và pháp lý.
• Phân tích và đánh giá kỹ thuật trích xuất, phục hồi dữ liệu cho thấy hiệu quả cao với tỷ lệ phục hồi dữ liệu bị xóa đạt khoảng 85%.
• Nghiên cứu làm rõ các quy định pháp luật hiện hành tại Việt Nam và Mỹ, đề xuất hoàn thiện khung pháp lý phù hợp.
• Đề xuất các giải pháp đào tạo, đầu tư công cụ và xây dựng hệ thống quản lý bằng chứng điện tử nhằm nâng cao năng lực điều tra số.
• Tiếp theo, cần triển khai thực nghiệm quy trình trên quy mô lớn hơn và cập nhật công nghệ mới để hoàn thiện và phát triển đề tài.

Hành động khuyến nghị: Các cơ quan chức năng và chuyên gia điều tra nên áp dụng quy trình và giải pháp đề xuất để nâng cao hiệu quả điều tra số trên thiết bị di động, góp phần bảo vệ an ninh mạng và quyền lợi người dân trong thời đại số.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TỔNG QUAN VỀ KHOA HỌC ĐIỀU TRA SỐ 1.1 Khái niệm về khoa học điều tra số 1.1 Khái niệm Điều tra số (còn gọi là Khoa học điều tra số) là một nhánh của ngành Khoa học điều tra đề cập đến việc phục hồi và điều tra các tài liệu tìm thấy trong các thiết bị kỹ thuật số. Thuật ngữ này trước tương đương với thuật ngữ điều tra máy tính, nhưng sau này thuật ngữ này được mở rộng để bao quát toàn thể việc điều tra các thiết bị có khả năng lưu trữ dữ liệu số. Điều tra số có thể được hiểu là việc sử dụng các phương pháp, công cụ kỹ thuật khoa học đã được chứng minh để bảo quản, thu thập, xác nhận, chứng thực, phân tích, giải thích, lập báo cáo và trình bày lại những thông tin thực tế từ các nguồn kỹ thuật số với mục đích tạo điều kiện hoặc thúc đẩy việc tái hiện lại các sự kiện, nhằm tìm ra hành vi phạm tội hay hỗ trợ cho việc dự đoán các hoạt động trái phép gây gián đoạn quá trình làm việc của hệ thống.

Điều tra số thường hay liên quan đến tội phạm máy tính. Cng như điều tra hình sự, trước khi thực hiện điều tra số, cần có những cơ sở pháp lý để phân định rõ những quyền hạn, trách nhiệm của cơ quan điều tra.2 Ứng dụng của điều tra số Mục đích quan trọng nhất của điều tra số là thu thập, phân tích và tìm ra chứng cứ thuyết phục về một vấn đề cần sáng t. Điều tra số có những ứng dụng quan trọng trong khoa học điều tra cụ thể. Về mặt kỹ thuật thì điều tra số giúp xác định những gì đang xảy ra làm ảnh hưởng tới hệ thống đồng thời qua đó phát hiện các nguyên nhân hệ thống bị xâm nhập, các hành vi, nguồn gốc của các vi phạm xảy ra đối với hệ thống.

Về mặt pháp lý thì điều tra số giúp cho cơ quan điều tra khi tố giác tội phạm công nghệ cao có được những chứng cứ số thuyết phục để áp dụng các chế tài xử phạt với các hành vi phạm pháp Không có bất cứ sự đảm bảo nào cho hệ thống mạng máy tính được tuyệt đối an toàn trước những nguy cơ, rủi ro, tấn công ác ý của tội phạm mạng. Quá trình xử lý sự cố, phục hồi chứng cứ và truy tìm dấu vết tội phạm cần phải được tiến hành một 1 cách chuyên nghiệp nhằm đem lại chứng cứ chính xác. Một cuộc điều tra số được tiến hành nhằm: 1. Xác định nguyên nhân hệ thống công nghệ thông tin bị tấn công, từ đó đưa ra giải pháp khc phục điểm yếu nhằm nâng cao hiện trạng an toàn của hệ thống.

Xác định các hành vi tội phạm mạng máy tính đã, đang và sẽ làm đối với hệ thống mạng máy tính. Trong thực tế, thiệt hại tiềm ẩn do những cuộc tấn công gây rò r thông tin, hay làm mất tính sẵn sàng của hệ thống là việc hệ thống bị nm quyền điều khiển, cài chương trình theo dõi, xóa b thông tin, biến hệ thống mạng máy tính thành công cụ tấn công các hệ thống khác. Việc tiến hành một cuộc điều tra số nhằm xác định chính xác những hoạt động mà tội phạm mạng đã tác động vào hệ thống và ngăn ngừa các rủi ro khác có thể xảy ra. Khôi phục thiệt hại mà cuộc tấn công vào hệ thống mạng máy tính gây ra: phục hồi dữ liệu, thông tin lưu trữ trên hệ thống đã bị phá hoại có chủ đích.

Thực hiện điều tra tội phạm, tìm kiếm chứng cứ số nhằm vạch trần tội phạm công nghệ cao, các hoạt động gian lận, gián điệp, vi phạm pháp luật.3 Các loại hình điều tra số Với nhiều loại hình điều tra số: điều tra Internet, điều tra điện tử, điều tra mạng, điều tra ứng dụng… có các các phân chia khác nhau, nhưng về cơ bản điều tra số được chia làm 3 loại chính là điều tra máy tính, điều tra mạng và điều tra thiết bị di động 1.1 Điều tra máy tính Điều tra máy tính là một nhánh của khoa học điều tra số liên quan đến việc phân tích các bằng chứng pháp lý được tìm thấy trong máy tính và các phương tiện lưu trữ kỹ thuật số. Mục đích của điều tra máy tính là nhằm xác định, bảo quản, phục hồi, phân tích, trình bày lại sự việc và ý kiến về các thông tin từ thiết bị kỹ thuật số và tiến hành điều tra các thành phần như: Điều tra bộ nhớ (Memory forensics) là phương thức điều tra máy tính bằng việc ghi lại bộ nhớ (RAM) của hệ thống sau đó tiến hành phân tích làm rõ các hành vi đã xảy ra trên hệ thống. Cụ thể hơn, đó là cố gng sử dụng kiến trúc quản lý bộ nhớ trong máy tính để ánh xạ, trích xuất các tập tin đang thực thi và cư trú trong bộ nhớ. Những tập tin thực thi có thể được sử dụng để chứng minh rằng hành vi của tội phạm đã xảy ra hoặc để theo dõi nó đã din ra như thế nào.

2 Điều tra tập tin (File System Forensics) là loại hình điều tra liên quan đến các tập hệ thống của hệ điều hành Windows, Linux. Điều tra ứng dụng(Application Forensics) là loại hình điều tra phân tích các tập tin nhật ký log trong ứng dụng như Email, dữ liệu trình duyệt, skype, yahoo… Qua đó trích xuất các bản ghi được lưu trữ trên các ứng dụng phục vụ cho việc điều tra tìm kiếm chứng cứ.2 Điều tra mạng Là một nhánh của khoa học điều tra số liên quan đến việc giám sát và phân tích lưu lượng mạng máy tính nhằm phục vụ cho việc thu thập thông tin, chứng cứ pháp lý hay phát hiện các xâm nhập vào hệ thống máy tính này. Điều tra mạng có thể được thực hiện như một cuộc điều tra độc lập hoặc kết hợp với việc điều tra máy tính (computer forensics) – thường được sử dụng để phát hiện mối liên kết giữa các thiết bị kỹ thuật số hay tái tạo lại quy trình phạm tội. Điều tra mạng bao gồm việc chặn bt, ghi âm và phân tích các sự kiện mạng để khám phá nguồn gốc của các cuộc tấn công hoặc sự cố của một vấn đề nào đó.

Không giống các loại hình điều tra số khác, điều tra mạng xử lý những thông tin d thay đổi và biến động. Lưu lượng mạng được truyền đi và không được lưu lại, do đó việc điều tra mạng thường phải rất linh hoạt, chủ động 1.3 Điều tra thiết bị di động Điều tra thiết bị di động (Mobile device Forensics) là một nhánh của khoa học điều tra số liên quan đến việc thu hồi bằng chứng kỹ thuật số hoặc dữ liệu từ các thiết bị di động. Thiết bị di động ở đây không ch đề cập đến điện thoại di động mà còn là bất kỳ thiết bị kỹ thuật số nào có bộ nhớ trong và khả năng giao tiếp, bao gồm các thiết bị điện thoại di động, PDA, GPS và máy tính bảng. Việc sử dụng điện thoại với mục đích phạm tội đã phát triển rộng rãi trong những năm gần đây, nhưng các nghiên cứu điều tra về thiết bị di động là một lĩnh vực tương đối mới, có bt đầu từ những năm 2000.2 Đặc điểm của điều tra số 1.1 Tội phạm máy tính 3 Dựa theo bộ luật hình sự năm 1999 sửa đổi 2009, có khái niệm về tội phạm máy tính như sau: “Tội phạm máy tính là hành vi vi phạm pháp luật hình sự do người có năng lực trách nhiệm hình sự sử dụng máy tính để thực hiện hành vi phạm tội, lưu trữ thông tin phạm tội hoặc xâm phạm đến hoạt động bình thường và an toàn của máy tính, hệ thống mạng máy tính” Các loại tội phạm máy tính gồm có:  Đánh cp định danh  Truy cập bất hợp pháp vào hệ thống máy tính và dữ liệu nhạy cảm  Lừa đảo trực tuyến  Phát tán tin rác, mã độc  Đánh cp định danh Đánh cp định danh là quá trình thu thập thông tin cá nhân để thủ phạm giả danh người khác.

Thường được thực hiện để có được thẻ tín dụng của nạn nhân, để cho nạn nhân 1 khoản nợ mà không hề hay biết. Tại Mỹ, hành vi trộm cp danh tính được xác định như sau: “Tội phạm trộm cp và lừa đảo danh tính là thuật ngữ dùng để ch các loại tội phạm ăn cp, gian lận, lừa dối và sử dụng trái phép dữ liệu cá nhân của người khác”. Có 4 cách thể thực hiện truy cập vào thông tin cá nhân:  Giả mạo  Tấn công hoặc sử dụng phần mềm gián điệp  Truy cập trái phép vào dữ liệu  Truy cập bất hợp pháp vào hệ thống máy tính và dữ liệu nhạy cảm Truy cập trái phép vào hệ thống máy tính hoặc dữ liệu có thể được cho là mục đích khác hơn so với tội phạm đánh cp định danh. Ví dụ, thủ phạm có thể muốn ăn cp dữ liệu bí mật của công ty, tài liệu tài chính nhạy cảm hoặc các dữ liệu khác.

Thông tin này có thể được sử dụng để thu hút khách hàng từ đối thủ cạnh tranh, phát hành để làm hng cổ phiếu của công ty, hoặc sử dụng để tống tiền. Trong mọi trường hợp, các yếu tố phổ biến là thủ phạm hoặc là không được cho phép truy cập dữ liệu hoặc không được phép sử dụng dữ liệu vậy mà cố tình sử dụng nó. Các phương pháp tương tự như bất kể mục đích của các truy cập trái phép. Nó có thể được thực hiện thông qua hacking hoặc phần mềm gián điệp, các nhân viên truy cập dữ liệu hoặc thông qua phương tiện truyền thông dữ liệu bị loại b.

Đặc biệt, hành vi trộm cp dữ liệu là một vấn đề quan trọng, lý do chính là khó khăn để ngăn chặn nhân viên được phép truy cập đến dữ liệu. Đôi khi cng rất khó để phân biệt giữa các truy cập trái 4 phép và được phép.  Lừa đảo trực tuyến Tội phạm lừa đảo khá phổ biến. Một trong số các hành vi lừa đảo trực tuyến trên Internet bao gồm:  Lừa đảo đầu tư: Là phần đầu tư, môi giới đầu giới đầu tư không hợp pháp, đây không phải là một trào lưu cng không hẳn là một hoạt động phạm tội.

 Lừa đảo giao dịch trực tuyến: Hiện nay giao dịch đấu giá trực tuyến khá phổ biến. Người dùng hợp pháp có thể khó khăn xác định một mức giá tốt, hoặc loại b các mặt hàng không còn nhu cầu. Cng như nhiều địa điểm kinh doanh hợp pháp, tuy nhiên, bọn tội phạm nỗ lực thao tác lừa đảo để ăn cp từ các nạn nhân.