Enhed 7 / 11

Mobile, Cloud og App Forensic Analyse: Chat, Placering og App Data

Gevinster:

  • Evne til at forstå den lagdelte struktur af mobil- og clouddata og producere chatresumé, forholdskort og lokationsfortælling med kunstig intelligens
  • Evne til at undgå overdreven påstand ved at specificere nøjagtigheden og kilden til lokalitetsdata og linke hvert resumé til den faktiske post ved dens kilde
  • Kunne arbejde inden for det juridiske område og ved at maskere for at beskytte personlige data og tredjeparts privatliv

I dag er beviser i de fleste tilfælde hverken på en stationær computer eller på en server - det er inde i en telefon, en cloud-konto eller databasen i en beskedapp. Mobil efterforskning (undersøgelse af digitale beviser på smartphones og tablets) og skyforskning (undersøgelse af data hos tjenesteudbyderen) er blevet centrale i moderne efterforskning. I denne enhed vil vi se, hvordan AI hjælper med at give mening om disse meget personlige og omfangsrige data, såsom chatudskrifter, lokationsdata og applikationslogfiler, og hvorfor privatlivets fred er endnu mere kritisk her.

Karakteren og udfordringen ved mobildata

En telefon; Det er et lagdelt lager af beviser, herunder kontakter, beskeder (SMS og in-app), opkaldslogger, fotos, placeringshistorik, browserhistorik, appdatabaser og notifikationslogfiler. Disse data gemmes normalt i SQLite-databaser (en letvægts native database, der almindeligvis bruges af mobilapplikationer) og plist/XML-filer. Værktøjer såsom Cellebrite, Magnet AXIOM, Oxygen ekstraherer disse data; men de udtrukne data er enorme og spredte.

Nøgleudfordringen her er kontekst: Hvilken af ​​de tusindvis af beskeder giver mening, hvilken samtale giver en begivenhed væk, hvilken fortælling understøtter lokationsdataene? Det er netop i dette arbejde med kontekstualisering og opsummering, at AI tilføjer stor værdi - men da det arbejder med meget følsomme persondata, er privatlivets fred her på sit højeste.

Forsigtig: Mobil- og clouddata er af personlig karakter og inkluderer ofte data fra tredjeparter (personer, der ikke er relateret til efterforskningen). Arbejde kun inden for rammerne af lovhjemmel (ransagningskendelse, samtykke) og begrænset i omfang. Maskere personlige data uden for anvendelsesområdet, når du giver data til AI; Sørg for, at data behandles i den relevante jurisdiktion og det fortrolige køretøj.

AI's chat og beskedanalyse

Beskeddata er et af de områder, hvor AI er stærkest:

  • Samtaleoversigt: Opsummerer en samtale med tusindvis af beskeder med emne, parti og tidslinje.
  • Emne- og relationsslutning: Kortlægning af, hvem der taler med hvem, hvor ofte og om hvilke emner.
  • Kode/slangeafkodningsmarkering: Markering af eufemismer, mulige kodeord (ikke en endelig fortolkning, men tiltrækker opmærksomhed).
  • Sprog- og oversættelsesstøtte: Oversættelse af meddelelser på fremmedsprog (endelig bekræftelse i retsmedicinsk oversættelse af ekspertoversætter).
  • Semantisk skiftregistrering: Fremhævelse af en ændring i tone, fortrolighed eller trusselssignaler i en samtale.

Hvert output skal være knyttet til den originale besked, og AI's digest bør aldrig erstatte selve beskeden. Et resumé er ikke bevis; Beviset er det egentlige budskab ved dets kilde.

Placeringsdata: kraftfulde, men vildledende

Placeringsdata (GPS-spor, mobiltårnslogfiler, Wi-Fi-forbindelseshistorik, foto EXIF-data) er meget overbevisende beviser, men de er fyldt med faldgruber. GPS-nøjagtigheden varierer; celledata har en fejlmargin på hundredvis af meter; et fotos EXIF-placering (metadata indlejret i en billedfil, såsom optagelsesdato/placering/enhed) kan være blevet ændret. AI hjælper med at transformere lokationsdata til en tid-rum-fortælling, men det er op til eksperten at vurdere nøjagtigheden og alternative forklaringer.

Tip: Når du fortolker lokationsdata, skal du bede AI om at angive kilden og nøjagtighedstypen for hvert punkt (GPS, celle, Wi-Fi). I stedet for at sige "personen var der", er det meget mere retsmedicinsk nøjagtigt at sige "enheden var i dette område med denne nøjagtighed."

Cloud retsmedicinsk analyse

Data flyttes i stigende grad til skyen: e-mail, filsynkronisering, sikkerhedskopier, beskeder. I cloud retsmedicinske analyser opbevares data hos udbyderen, ikke enheden; Adgang er typisk via legitim anmodning, kontolegitimationsoplysninger eller API. Udfordringer: konstant ændring af data (live-konto), jurisdiktion (i hvilket land dataene er) og logtilgængelighed. AI hjælper med at opsummere udtrukne skydata (aktivitetslogfiler, delingshistorik, enhedssessioner) og markere uregelmæssigheder.

tre minisager

Case 1 — Samtaleresumé styrede sagen. 22.000 beskeder blev fjernet fra én app i en trusselsundersøgelse. AI opsummerede samtalen efter parti og emne og markerede 3 vinduer, hvor den truende tone var stigende. Analytikeren læste de faktiske beskeder i disse vinduer og bekræftede beviserne; Det ville tage dage at læse 22.000 beskeder i hånden.

Tilfælde 2 — Placeringsnøjagtighed forhindrede falsk fortælling. Det første udkast sagde "den mistænkte var på stedet." Eksperten spurgte AI om kildetypen: dataene var fra cellebasestationen og havde en fejlmargin på 800 meter; Gerningsstedet var på kanten af ​​denne radius. Påstanden om, at "det helt sikkert var der" blev rettet til "det var i dette område, men der er ingen sikkerhed." Sandhedens korn forhindrede overdreven påstand.

Tilfælde 3 — Maskering af beskyttet privatliv. En telefon havde privat korrespondance fra snesevis af mennesker, der ikke var relateret til efterforskningen. Før de gav dataene til AI, maskerede holdet dataene fra personer uden for rammerne og arbejdede kun med autoriserede samtaler. Dermed blev både bevisværdien bevaret, og tredjeparts privatliv blev ikke krænket.

Fire kopierbare skabeloner

1) Chatresumé (afhængig af kilde):

Din rolle: mobil retsmedicinsk analytiker. Jeg giver dig en chatudskrift (tidsstemplet, partmærket). Opsummer efter emne og tid; flag vinduer, der indeholder trusler, privatliv eller usædvanlig tone. Angiv den relevante beskedlinje for hvert flag. Angiv, at resuméet ikke er bevis, men en vejledning baseret på kilden.

2) Relations-/kommunikationskort:

Et relationskort oprettes ud fra disse kommunikationsposter (opkalder, ringet op, tid, varighed): hvem der kommunikerer hyppigst med hvem og i hvilke tidsrum. Flag usædvanlige koncentrationer. Brug kun poster i dataene; identitet/hensigtsfortolkning.

3) Fortolkning af steddata:

Jeg vil give dig placeringspunkter (tid, koordinater, kildetype: GPS/celle/Wi-Fi). Angiv kilden og den anslåede nøjagtighed for hvert punkt. Lav et udkast til en tid-rum-fortælling, men brug sproget "enheden var i dette område med denne nøjagtighed"; Sig ikke "den person var der". Marker punkter med lav nøjagtighed separat.

4) Datamaskering uden for rækkevidde:

Disse mobildata kan indeholde personlige data fra tredjeparter UDEN FOR undersøgelsens omfang. Omfang: [datointerval + fester]. Marker personer/samtaler, der forekommer uden for rækkevidde, som maskeringskandidater. Jeg vil maskere det og sende det igen; I dette tilfælde skal du ikke lave en detaljeret analyse.

Svag prompt / Stærk prompt

Svag prompt:

Læs beskederne på denne telefon og find forbrydelsen.

Ingen grænser for omfang, ressourcer eller privatliv; AI behandler data uden for scope, producerer subjektiv "kriminalitet" fortolkning.

Kraftig prompt:

Din rolle: mobil retsmedicinsk analytiker. Lovligt omfang: Beskeder mellem [A] og [B] fra 1. til 15. maj. Jeg vil give dig et tidsstemplet udskrift af dette omfang. Opgave: opsummer samtalen efter emne og tidspunkt; Fremhæv temaer såsom pengeoverførsel, trussel eller hemmelig mødeplan, og citer budskabet for hvert skilt. Hvis du ser tredjepartsdata, der er uden for omfanget, skal du ikke behandle dem, vær advaret. Beslutninger om kriminalitet/hensigter; Jeg vil overveje beviserne.

Juridisk omfang, kildetilskrivning og "hensigtsvurdering"-begrænsningen gør output både nyttigt og lovligt.

Mobil/sky beviskildertabel

Kilde

Indhold

Opmærksomhed

AI-bidrag

Messaging DB (SQLite)

chat, medier

Gendannelse af slettede rekorder

Resumé, tonemærke

Ring/sms

kontakt log

tidsperiode

forholdskort

Placering (GPS/celle)

tid-rum

nøjagtighed

fortællende omrids

Foto EXIF

Dato/sted/enhed

udskiftelige

Metadata oversigt

skylogfiler

session, deling

jurisdiktion

anomali tegn

Almindelige fejl

  • Forveksler resuméet som bevis. Beviset er budskabet i kilden; Resuméet er kun vejledende.
  • Absolut tillid til lokationsdata. Det er forkert at sige "det var bestemt der" uden at specificere nøjagtigheden og kilden.
  • Behandling af personoplysninger uden for rammerne. Arbejd kun inden for rammerne af autorisation.
  • Blind tillid til EXIF-placeringen. Metadata kan være blevet ændret; krydsbekræfte.
  • Verificerer ikke retsmedicinsk oversættelse. AI-oversættelsen er et udkast; Den sagkyndige oversætter bekræfter den kritiske udtalelse.

Sammenfattende

Mobile og cloud retsmedicinske analyser er der, hvor de fleste moderne beviser findes. AI; Det giver stor hastighed i chatresumé, forholdskort, lokationsfortælling og cloud-loganalyse. Men disse data er dybt personlige: Det er menneskets ansvar at operere inden for det juridiske omfang, maskere tredjepartsdata, specificere placeringsnøjagtighed og tilskrive hvert output til kilden. Resumé er ikke bevis; Beviset er den faktiske registrering i kilden.

Ansøgningsopgave

Forbered en tidsstemplet, tosidet 25-30 linjers prøveudskrift af chat og en 5-6 punkters lokationsliste (uanset kildetyper). Anvend skabelonerne "Chatoversigt" og "Placeringsdatakommentar"; Knyt hver besked, som AI’en markerer, til kilden, og kontroller, at nøjagtigheden i placeringskommentaren er udtrykt korrekt.

tjekliste

  • [ ] Jeg arbejdede kun inden for og begrænset til det juridiske område.
  • [ ] Jeg maskerede tredjepartsdata uden for anvendelsesområdet.
  • [ ] Jeg knyttede hvert resumé/mærke til den faktiske post fra dens kilde.
  • [ ] Jeg har angivet kilden og nøjagtigheden af ​​lokalitetsdataene.
  • [ ] Jeg betragtede oversættelsen og kommentarerne som udkast og bekræftede dem sagkyndigt.