モバイルデバイス・フォレンジック

フォレンジックの専門家が、調査で押収したモバイルデバイスを調査しているところ

モバイルデバイス・フォレンジクス（英語: Mobile device forensics）は、デジタル・フォレンジックの一分野である。科学捜査的に適切な条件下で、携帯機器からデジタル証拠を獲得し、データを復元することに関わる。 携帯機器という言葉は通常、携帯電話を指す。しかし、PDA機器、GPS機器、タブレット・コンピューターなど、内部メモリーと通信機能を持つあらゆるデジタル機器を意味することもある。

一部の携帯電話会社は、違法な携帯のモデルの複製を試みていた。そのため、毎年多くの新しいモデルが登場する。 犯罪によって携帯電話や携帯機器の複製する方法は、数年で広く知れ渡ることになった。しかし、携帯機器の法科学的な研究は比較的新しい分野であり、研究が始まったのは1990年代後半から2000年代前半のことであった。 携帯電話（特にスマートフォン）やその他のデジタル機器が消費者市場に普及するにつれ、既存のコンピュータ・フォレンジックの技術では対応できない機器の法科学的な調査の需要が高まった 。

携帯機器は、連絡先、写真、カレンダー、メモ、SMSやMMSメッセージなど、いくつかのタイプの個人情報を保存するために使用することができる。スマートフォンにはさらに、ビデオ、電子メール、ウェブの閲覧の履歴、位置情報、ソーシャルネットワークのメッセージや連絡先が含まれている可能性がある。

モバイル・フォレンジックの必要性が高まっている理由はいくつかあるが、その中でも特に顕著な理由は以下の通りである。

• 携帯電話に保存されて送信された個人および企業の情報の利用
• オンライン取引における携帯電話の利用
• 法執行機関、犯罪者、携帯電話端末での要因

モバイル端末のフォレンジックは、特に多くの面で困難な場合がある 。

• 競争力を維持するために、オリジナルの製造業者は、携帯電話の形やデザイン、オペレーティングシステムのファイル構造、データストレージ、サービス、周辺機器、さらにはピンコネクターやケーブルまでも頻繁に変更している。結果として、フォレンジック検査官は、コンピュータ・フォレンジックとは異なる法科学的な手順を用いなければならない。
• ストレージ容量は、より強力な「ミニ・コンピュータ」タイプのデバイスの需要により、増加し続けている。
• データの種類だけでなく、モバイル機器の使用方法も常に進化している。
• デバイスの電源がオフまたはアイドル状態のときにプロセスが中断されるが、同時に休止状態のときにはプロセスは維持される。

このような課題が蓄積した結果、携帯機器から証拠を抽出するためにさまざまなツールが存在するが、1つのツールや方法で、全ての機器から全ての証拠を取得することはできない。 したがって、法科学的な鑑定人、特に法廷で鑑定人としての資格を得ようとする鑑定人は、それぞれのツールや方法を使用してどのように証拠を取得するのかを理解するために、広い範囲にわたる訓練を受けることが推奨される。 また、法科学的な適切性の基準をどのように維持するか、ドーバート基準やフライ基準などの法的要件をどのように満たすかなどの知識も必要となる。

専門分野への適応

モバイルデバイス・フォレンジクスは、法執行機関の捜査への適応で最もよく知られている。しかし、軍事情報、企業内の調査、私的な調査、刑事事件の弁護、民事事件の弁護、デジタル証拠の開示にも役立つ。

証拠の種類

携帯機器の技術が進歩するにつれ、携帯機器に含まれるデータの量と種類は増加の一途をたどっている。 携帯電話から回収できる可能性のある証拠は、いくつかの異なるソースから得られる。携帯電話のメモリ、SIMカード、そしてSDカードなどの付属メモリカードなどである。

従来、携帯電話のフォレンジックといえば、SMSやMMSのメッセージ、通話ログ、コンタクトリスト、そして携帯電話のIMEI・ESN（製品のシリアル番号）の情報の復元が一般的だった。 しかし、新しい世代のスマートフォンには、より多様な情報が含まれている。 その情報は、ウェブのブラウジング、ワイヤレスネットワークの設定、位置情報（画像のメタデータに含まれるジオタグを含む）、電子メール、その他のリッチインターネットメディアから、スマートフォンの「アプリ」に保存される情報（ソーシャルネットワークの投稿や連絡先などの重要なデータを含むもの）である 。

内蔵メモリ

現在、携帯機器にはNAND型またはNOR型からなるフラッシュメモリが主に使用されている 。

外付けメモリ

外付けメモリー・デバイスには、SIMカード、SDカード（GPS機器や携帯電話でよく見かける）、マルチメディアカード、コンパクトフラッシュ、メモリースティックなどがある。

サービスプロバイダのログファイル

厳密にはモバイルデバイス・フォレンジクスには含まれないが、携帯キャリアからの通話明細記録（時にはテキスト・メッセージも）は、携帯電話が押収された後に得られる「バックアップ」としての証拠となることが多い。 これらの証拠は、通話履歴やテキストメッセージが携帯電話から削除されている場合や、位置情報サービスがオンになっていない場合に有用である。 通話明細の記録と携帯基地局などのデータから、電話の持ち主の位置、止まっていたのか移動していたのか（つまり、電話の信号が特定の移動経路に沿って、ある携帯基地局の同じ側で送受信されたのか、複数の携帯基地局の異なる側で送受信されたのか）がわかる 。 キャリアデータとデバイスデータは、例えば監視カメラの映像や目撃者の証言など、他の情報源からの情報の裏付けを取ったり、ジオタグが付けられていない画像や動画が撮影された大まかな場所を特定したりするために使用することができる。

欧州連合（EU）は加盟国に対し、捜査に使用するために特定の電気通信データを保持するよう求めている。これには発着信データも含まれる。 携帯電話の位置を特定できる状態にして、地理的データも保持しなければならない。 しかし米国では、そのような要件は存在せず、通信事業者がどれくらいの期間データを保持すべきか、あるいは何を保持しなければならないかさえも、基準が定められていない。 例えば、テキストメッセージは1、2週間しか保存されないかもしれないが、通話ログは数週間から数ヶ月間保存されるかもしれないということである。 証拠が紛失するリスクを減らすためには、警察当局はキャリアに証拠保全書を送付しなければならない。そして捜索令状に写しを保存しなければならない 。

ツール

詳細は「List of digital forensics tools#Mobile device forensics（英語）」を参照

初期の調査では、携帯端末を手作業で分析し、証拠となる有用な資料を写真に撮ったり、書き留めたりしていた。 Fernico ZRT、EDEC Eclipse、またはProject-a-Phoneのような法科学捜査用の撮影装置がない場合、デバイスのコンテンツが変更される危険性があり、独自のオペレーティングシステムの多くの部分にアクセスできないままになるという欠点があった。 近年、モバイル機器から論理的・物理的証拠を復元するためのハードウェア／ソフトウェアツールが数多く登場している。 ほとんどのツールは、ハードウェアとソフトウェアの両方で構成されている。 ハードウェアには、モバイル機器と差し押さえの装置を接続するためのケーブルが多数含まれている。ソフトウェアは証拠を抽出し、時には分析に使うこともある。

最近は、モバイル機器のフォレンジック・ツールが開発されている。 これは、迅速かつ正確な対テロ情報を求める軍事部隊の要求と、犯罪現場や捜査令状の執行、あるいは緊急事態における法科学的な見積もりの能力を求める法執行機関の要求の両方に応えるものである。 このようなモバイル・フォレンジック・ツールは、過酷な環境（戦場など）や手荒な扱い（落下や水没など）に耐えられるように頑丈に作られていることが多い 。

一般的に、1つのツールですべてのモバイルデバイスからすべての証拠を差し押さえることは不可能であるため、モバイルフォレンジックの専門家は、調査者が、バッテリ充電器、ファラデーバッグまたは他の電波妨害装置などの付属品とともに、商用、オープンソース、広範なサポート、および狭いサポートのフォレンジックツールのミックスで構成される全体のツールキットを確立することを推奨している 。

商用のフォレンジック・ツール

ツールには、Belkasoft Evidence Center、Cellebrite UFED、Oxygen Forensic Detective、Elcomsoft Mobile Forensic Bundle、Susteen Secure View、MOBILEdit Forensic Express、Micro Systemation XRYなどがある。

さらに、MediaTek（MTK）、Spreadtrum、MStarなど中国製チップセットで製造された携帯電話の犯罪利用の増加に対処するために、開発されたツールもある。 このようなツールには、CellebriteのCHINEXやXRY PinPointなどがある。

オープンソースのフォレンジック・ツール

ほとんどのオープンソースのモバイル・フォレンジック・ツールは、プラットフォームに特化しており、スマートフォンの分析向けである。 もともとフォレンジック・ツールとして設計されたものではないが、BitPimはCDMA携帯電話やLG VX4400/VX6000、多くのSanyo Sprint携帯電話で広く使われている。

物理的なツール

フォレンジックはんだ除去

業界では一般的に「チップオフ」技術と呼ばれる、メモリ画像を取得するための最終的な、そして最も侵入的な方法は、不揮発性メモリチップのはんだを除去し、メモリチップリーダーに接続することである。 この方法は、データを完全に破壊してしまう潜在的な危険がある。はんだ除去時に熱が発生するため、チップとその中身を破壊する可能性があるのである。 BGA技術が発明される以前は、メモリ・チップのピンにプローブを取り付け、このプローブを通してメモリを回収することが可能だった。

この回路基板に含まれていた水分は、強い熱を受けて蒸気に変化した。これがいわゆる "ポップコーン効果 "を生み出す。

チップのはんだ除去は、熱でチップやデータが破壊されないよう、慎重にゆっくりと行われる。 チップのはんだ除去処理をする前に、PCBをオーブンで焼き、残った水分を除去する。 これにより、はんだ除去時に残った水がチップ・パッケージを吹き飛ばしてしまう、いわゆるポップコーン効果を防ぐことができる。

はんだを溶かすには、主に次の3つの方法がある。熱風、赤外線、そして蒸気で溶かす方法である。 赤外線方式は、赤外線を特定の集積回路に集光することで機能し、小型チップに使用される。 熱風やスチーム方式では、赤外線方式ほど集中してはんだに当てることができない。

チップの再ボール化

チップのはんだ除去後、再ボール化工程でチップを洗浄し、新しいスズのボールをチップに追加する。再ボール化には2種類の方法があります。

• 一つ目はステンシルを使う方法。ステンシルはチップに依存するため、正確にフィットさせなければならない。その後、スズはんだをステンシルの上に置く。スズを冷やした後、ステンシルを取り除き、必要に応じて2回目の洗浄を行う。
• 2つ目の方法は、レーザーによる再ボール化である。ここでステンシルは再ボール化のユニットとしてプログラムされる。ボンドヘッド（チューブや針のようなもの）には、はんだボール・シンジュレーション・タンクから1個のスズのボールが自動的に装填される。その後、ボールはレーザーで加熱され、スズのはんだボールは流動性を帯びて、洗浄されたチップ上に流れ込む。ボールが溶けた直後にレーザーがオフになり、新しいボールがボンドヘッドに落ちる。リロード中に再ボール化ユニットのボンドヘッドが次のピンに位置を変える。

第3の方法は、すべての再ボール化プロセスを不要にするものである。 チップはY字型スプリングまたはスプリング付きポゴピンでアダプターに接続される。 Y字型スプリングは電気的な接続を確立するためにピンの上にボールが必要だが、ポゴピンはボールなしでチップ上のパッドに直接使用できる 。

フォレンジックはんだ除去の利点は、デバイスを機能させる必要がなく、元のデータに変更を加えることなくコピーを作成できることにある。 欠点は、再ボール化装置が高価であるため、このプロセスは非常にコストがかかり、さらにデータが完全に失われる危険性がある。 それゆえに、フォレンジックはんだ除去は、経験豊富な研究機関のみが行うべきである。

JTAG

データを読み取るための既存の標準化されたインターフェースは、いくつかのモバイル機器に組み込まれている。例えば、GPS機器（NMEA）から位置データを取得したり、エアバッグ・ユニットから減速情報を取得したりする。 すべてのモバイル機器がこのような標準化されたインターフェイスを提供しているわけではないし、すべてのモバイル機器に標準的なインターフェイスが存在するわけでもないが、すべてのメーカーに共通する問題がある。 デバイス部品の小型化に伴い、はんだ付けされた集積部品の機能性と品質をどのように自動的にテストするのかという問題が生じている。 この問題に対して、JTAG（Joint Test Action Group）という業界団体がバウンダリースキャンというテスト技術を開発した。

標準化されたとはいえ、JTAGデバイス・インターフェースを使用してメモリーをリカバリーするには、4つの課題がある。 バウンダリースキャン・レジスタの正しいビットを見つけるには、どのプロセッサとメモリ回路が使用され、それらがどのようにシステムバスに接続されているかを知らなければならない。 外部からアクセスできない場合は、プリント基板上のJTAGインターフェースのテストポイントを見つけ、どのテストポイントがどの信号に使用されているかを判断しなければならない。 JTAGポートは常にコネクタではんだ付けされているわけではないので、デバイスを開けてアクセスポートをはんだ付けし直す必要がある場合もある。 メモリーを読み取るためのプロトコルを知っていなければならず、最終的には回路の損傷を防ぐために正しい電圧を見つけ出さなければならない。