Современный смартфон — это не просто средство связи‚ а мощный вычислительный центр‚ накапливающий огромный объем сведений о владельце: от геолокации и переписок до биометрических данных и финансовых операций. Экспертиза информации на телефоне (судебная компьютерно-техническая экспертиза мобильных устройств) сегодня является одним из самых востребованных направлений цифровой криминалистики. По данным на ‚ объемы и сложность данных на устройствах неуклонно растут‚ что требует от экспертов постоянного совершенствования методологий и инструментария.

Правовая база и основания проведения

В Российской Федерации извлечение и анализ информации с мобильных устройств осуществляется в строгом соответствии с законодательством. Основными правовыми основаниями являются:

• УПК РФ (ст. 176‚ ч. 2): Осмотр предметов (в т.ч. мобильных телефонов) на месте происшествия или при изъятии.
• УПК РФ (ст. 195–207): Назначение и проведение судебной экспертизы.
• ФЗ «О судебной экспертной деятельности в РФ» № 73-ФЗ: Регламентирует статус эксперта‚ порядок проведения и оформления заключения.

Важно: Любые действия с устройством (включение‚ разблокировка‚ подключение кабелей) до назначения экспертизы или без надлежащего протоколирования (осмотра по ст. 176 УПК РФ) могут привести к признанию доказательств недопустимыми судом.

Классификация уровней извлечения данных

Согласно фундаментальным трудам по мобильной криминалистике (в частности‚ «Практическая мобильная криминалистика»‚ 4-е изд.)‚ выделяют пять основных уровней извлечения данных. Каждый уровень отличается глубиной проникновения‚ требованиями к доступу и рисками для целостности данных.

1. Уровень 1: Ручное извлечение (Manual Extraction).
   • Суть: Визуальный осмотр экрана включенного устройства‚ ручная навигация по меню‚ фото/видеофиксация экрана.
   • Плюсы: Не требует спецсофта‚ сохраняет данные в первозданном виде (при аккуратных действиях).
   • Минусы: Невозможно восстановить удаленное‚ доступно только то‚ что видно в активном интерфейсе‚ высокий риск случайного изменения данных (например‚ пометка сообщений как «прочитанные»).
2. Уровень 2: Логическое извлечение (Logical Extraction).
   • Суть: Взаимодействие с ОС устройства через стандартные протоколы (ADB для Android‚ iTunes/idevicebackup2 для iOS) для создания резервной копии пользовательских данных.
   • Плюсы: Быстро‚ неповреждающе‚ извлекает переписки‚ контакты‚ журналы звонков‚ фото‚ метаданные файлов.
   • Минусы: Не извлекает системные файлы‚ кэш‚ удаленные данные‚ зашифрованные контейнеры приложений (без ключей). Требует разблокировки устройства и доверия к компьютеру.
3. Уровень 3: Извлечение файловой системы (File System Extraction).
   • Суть: Получение доступа к полной структуре файловой системы (часто требует root/jailbreak или использования уязвимостей/эксплойтов‚ например‚ checkm8 для iOS‚ EDL-режим для Android).
   • Плюсы: Доступ к базам данных приложений (WhatsApp‚ Telegram‚ Signal)‚ системным логам‚ кэшу‚ ключам шифрования‚ метаданным.
   • Минусы: Риск триггеринга защитных механизмов (wipe)‚ сложность на современных версиях ОС (Android 13+/iOS 16+)‚ потенциальное изменение временных меток (atime) при монтировании.
4. Уровень 4: Физическое извлечение (Physical Extraction / Physical Dump).
   • Суть:

     Побитовое копирование всего содержимого флеш-памяти (NAND/eMMC/UFS) в образ (дамп). Выполняется в режиме DFU/EDL‚ через JTAG‚ ISP (In-System Programming) или Chip-off (пайка чипа).

   • Плюсы: Максимально полный образ: удаленные файлы‚ неразмеченное пространство‚ системные разделы‚ загрузчики. Позволяет восстановить историю удалений.
   • Минусы: Высокая трудоемкость‚ необходимость дорогого оборудования (UFED‚ MSAB XRY‚ Oxygen Forensic‚ PC-3000 Flash)‚ риск физического повреждения устройства (Chip-off)‚ сложность дешифровки (FBE — File-Based Encryption) без ключей пользователя.
5. Уровень 5: Продвинутое/Чиповое извлечение (Advanced/Chip-off & ISP).
   • Суть: Прямое чтение микросхемы памяти (BGA/eMMC/UFS) с помощью программаторов (PC-3000 Flash‚ RT809H и др.) или подключение к точкам тестирования на плате (ISP) без демонтажа чипа.
   • Применение: Устройства с неисправным контроллером‚ заблокированные загрузчики‚ серьезные аппаратные повреждения (потопление‚ пожар).
   • Особенность: Требует глубоких знаний схемотехники и структуры памяти конкретных моделей (например‚ определение ID чипа для iPad 2.5 / iPad mini 1G).

Методология исследования карт памяти (SD-карт)

При исследовании съемных накопителей (microSD) необходимо применять традиционные методы компьютерной криминалистики. Ключевой принцип — сохранение исследуемой информации в первозданном виде.

• Использование блокираторов записи (Write Blockers) (Hardware/Software) перед подключением к экспертной станции.
• Создание побитового образа (forensic image — E01‚ RAW‚ AFF) с расчетом хеш-сумм (MD5‚ SHA-1‚ SHA-256) для подтверждения идентичности оригиналу и копии.
• Анализ проводится исключительно с образа‚ оригинал пломбируется и хранится.
• Восстановление файловой системы (FAT32‚ exFAT) и поиск удаленных файлов (carving) по сигнатурам заголовков (JPEG‚ MP4‚ SQLite‚ DOCX).

Объекты исследования и извлекаемые данные

В рамках экспертизы мобильного устройства (смартфона) на платформах iOS и Android извлекаются и анализируются следующие категории данных:

Коммуникационные данные

• История звонков (входящие‚ исходящие‚ пропущенные‚ VoIP: WhatsApp‚ Telegram‚ Viber) с таймстемпами и длительностью.
• Переписки в мессенджерах (WhatsApp‚ Telegram‚ Viber‚ Signal‚ WhatsApp Business‚ WeChat). Ключевой момент: Работа с зашифрованными базами данных (crypt12/crypt14/15 для WhatsApp‚ ключи шифрования для Signal/Telegram Secret Chats).
• SMS/MMS/RCS сообщения.
• Email-клиенты (кэш‚ черновики‚ отправленные).

Геопространственные и временные данные

• Геолокация: GPS/GLONASS/Galileo координаты (EXIF в фото‚ Google Maps Timeline / Significant Locations iOS‚ кэш навигаторов).
• Wi-Fi логи (BSSID‚ SSID‚ время подключения) — позволяют восстановить перемещения даже без GPS.
• Базовые станции (Cell ID) из модемных логов (modem logs / qmdl / diag logs).

Мультимедиа и файлы

• Фотографии и видеозаписи (включая скрытые альбомы‚ «Корзину»‚ кэш мессенджеров).
• Голосовые сообщения и записи разговоров (включая системный диктофон и запись звонков в приложениях).
• Документы (PDF‚ Office)‚ загруженные файлы.

Метаданные и системные артефакты (Критически важны для суда)

• Метаданные файлов: Дата создания (Created)‚ изменения (Modified)‚ доступа (Accessed) — MAC-таймстемпы. EXIF данные фото (модель телефона‚ GPS‚ софт‚ уникальный ID камеры).
• Журналы системы (System Logs): logcat (Android)‚ unified logs (iOS) — события загрузки‚ запуска приложений‚ ошибки‚ подключение USB/Bluetooth.
• Артефакты удаления: Записи в SQLite (Freeblocks‚ Freelists)‚ journal/WAL файлы‚ записи в $MFT / F2FS / ext4 о удаленных inode.
• Признаки манипуляций: Анализ целостности баз данных (хеши страниц SQLite)‚ поиск следов рутирования/джейлбрейка‚ установки шпионского ПО (stalkerware)‚ смены системного времени‚ использования антифорезических инструментов.

Инструментарий эксперта (Обзор)

В арсенале современных экспертов (включая подразделения Европола и российские экспертные учреждения) присутствует как коммерческое‚ так и открытое ПО:

Особенности работы с современными ОС (Android 13+/14+‚ iOS 16+/17+)

Современные версии операционных систем вводят серьезные барьеры для криминалистики:

• Android: File-Based Encryption (FBE) по умолчанию‚ Scoped Storage (ограничение доступа к файлам других приложений)‚ Dynamic Partitions (super partition)‚ усиленная верификация загрузки (AVB 2.0)‚ блокировка EDL-режима производителями (Xiaomi‚ Oppo‚ Vivo‚ Samsung Knox).
• iOS: Secure Enclave (хранение ключей)‚ APFS Snapshots‚ Lockdown Mode (режим изоляции)‚ USB Restricted Mode (блокировка данных через Lightning/USB-C после 1 часа блокировки)‚ Rapid Security Responses.

Тактика эксперта: Приоритет — логическое извлечение через разблокированное устройство (если известен пароль/биометрия) или использование уязвимостей загрузчика (checkm8 для iPhone 5s–X‚ EDL для старых Qualcomm). Для новых флагманов часто единственный легальный путь — облачная экспертиза или допрос владельца для получения пароля.

Процедура проведения экспертизы: Этапы

1. Постановление/Определение/Договор: Юридическое основание. Формулировка вопросов эксперту (Какие данные извлечь? Были ли удалены? Соответствует ли фото оригиналу? Установлено ли время события?).
2. Поступление и осмотр объекта: Описание внешнего вида‚ модели (IMEI/Serial Number — )‚ состояния экрана/корпуса‚ уровня заряда‚ наличия SIM-карт (). Фотофиксация. Упаковка в фарадейев мешок/коробку (изоляция от сети).
3. Изоляция от сети: Включение режима «В самолете»‚ извлечение SIM (с фиксацией ICCID)‚ помещение в экранированный контейнер. Предотвращение удаленного стирания (Find My / Find Device) и получения новых данных.
4. Выбор стратегии извлечения: Оценка модели‚ версии ОС‚ состояния блокировки‚ наличия уязвимостей. Документирование решения в журнале/протоколе.
5. Процесс извлечения (Acquisition): Создание образа/бэкапа; Логирование всех действий ПО (логи UFED/XRY/Oxygen). Контроль хеш-сумм образа.
6. Анализ (Examination/Analysis): Парсинг образа‚ поиск по ключевым словам‚ хэш-сетам (Project VIC / CAID)‚ восстановление удаленного‚ анализ метаданных‚ построение таймлайна (Timeline Analysis).
7. Формирование заключения: Описание методики‚ инструментов (версии)‚ хода исследования‚ ответов на вопросы. Приложение: протокол извлечения‚ хеш-суммы‚ ключевые фрагменты данных (скриншоты‚ таблицы).

Типичные ошибки‚ аннулирующие доказательства

• Нарушение цепочки хранения (Chain of Custody): Отсутствие протоколов передачи‚ хранения без пломб/журналов доступа.
• Работа с оригиналом: Анализ файлов прямо на телефоне без создания образа (изменение atime‚ запись логов‚ перезапись удаленного).
• Игнорирование блокиратора записи: При подключении SD-карт или дисков в режиме Chip-off/ISP без аппаратного блокиратора.
• Утеря ключей дешифровки: Физический дамп получен‚ но данные зашифрованы (FBE/FDE)‚ пароль не известен‚ ключи из Secure Enclave/Keymaster не извлечены, данные нечитаемы‚ заключение не может быть дано по существу.
• Некомпетентная интерпретация: Присвоение времени создания файла времени его копирования на устройство‚ игнорирование часовых поясов (UTC vs Local)‚ путаница между временем отправки и доставки сообщения.

Облачная экспертиза как альтернатива и дополнение

Учитывая усложнение локального доступа‚ облачная экспертиза (Cloud Forensics) приобретает решающее значение. Извлекаются:

• Бэкапы iCloud (полные/частичные)‚ iCloud Drive‚ Фото‚ Заметки‚ Keychain.
• Google Account: Бэкап Android (Google One)‚ Google Photos‚ Location History (Timeline)‚ Web & App Activity‚ Данные приложений.
• Производительские облака: Samsung Cloud‚ Huawei Cloud‚ Xiaomi Cloud‚ BBK Cloud (Oppo/Vivo/OnePlus/Realme).

Требования: Наличие логина/пароля‚ доступа к 2FA (SMS/Email/Authenticator)‚ токенов аутентификации (извлекаемых с доверенного компьютера/телефона владельца). Юридическое основание должно охватывать доступ к облачным сервисам.

Экспертиза информации на телефоне на г. — это сложный инженерно-правовой процесс. Успех зависит от:

1. Компетентности эксперта в архитектуре ОС‚ файловых системах‚ криптографии и протоколах связи.
2. Наличия актуального парка инструментов (UFED‚ MSAB‚ Oxygen‚ PC-3000‚ скрипты Python/Regex для парсинга новых версий приложений).
3. Строгого соблюдения процедур фиксации и хеширования на каждом этапе.
4. Грамотной формулировки вопросов стороной‚ инициирующей экспертизу.

Контакты для консультаций: г. ‚ ул. ‚ д. ‚ офис . Тел.: +7 () -*-. Эксперт: * (свидетельство о аккредитации № ). Email: @**.ru.

Данная статья носит информационный характер и не является правовым советом. Методологии и инструменты постоянно обновляются. Обращайтесь к актуальным версиям методических рекомендаций (МР/МУ МВД‚ ФСБ‚ СК РФ) и руководствам производителей инструментов.