モバイルデバイスのフォレンジック

モバイル デバイス フォレンジックは、デジタル フォレンジックの 1 分野であり、フォレンジック上健全な状況下でモバイル デバイスからデジタル証拠またはデータを回復することに関するものです。モバイル デバイスという用語は通常、携帯電話を指しますが、 PDAデバイス、GPSデバイス、タブレット コンピューターなど、内部メモリと通信機能の両方を備えたあらゆるデジタル デバイスを指す場合もあります。

モバイル デバイスには、連絡先、写真、カレンダー、メモ、SMSおよびMMSメッセージなど、さまざまな種類の個人情報を保存できます。スマートフォンには、さらにビデオ、電子メール、Web 閲覧情報、位置情報、ソーシャル ネットワーキング メッセージや連絡先 が含まれる場合があります。

モバイル フォレンジックの必要性はさまざまな理由で高まっていますが、主な理由は次のとおりです。

• 個人情報や企業情報を保存・送信するための携帯電話の使用
• オンライン取引における携帯電話の使用
• 法執行機関、犯罪者、携帯電話端末^[1]

モバイルデバイスのフォレンジックは、いくつかのレベルで特に困難です。^[2]

証拠と技術の課題が存在します。たとえば、携帯電話の使用範囲の使用に伴うセル サイト分析は、正確な科学ではありません。したがって、通話が発信または受信されたセル サイト ゾーンを大まかに特定することは可能ですが、携帯電話の通話が特定の場所 (たとえば、住所) から発信されたことをある程度の確実性を持って断言することはまだできません。

• 競争力を維持するために、OEM は携帯電話のフォーム ファクタ、オペレーティング システムのファイル構造、データ ストレージ、サービス、周辺機器、さらにはピン コネクタやケーブルを頻繁に変更します。その結果、フォレンジック調査員は、コンピュータ フォレンジックとは異なるフォレンジック プロセスを使用する必要があります。
• より強力な「ミニコンピュータ」タイプのデバイスの需要により、ストレージ容量は増加し続けています。^[3]
• データの種類だけでなく、モバイルデバイスの使用方法も常に進化しています。
• デバイスの電源がオフまたはアイドル状態のときにプロセスが一時停止されるが、同時にアクティブなままになる休止状態の動作。^[1]

これらの課題の結果、モバイル デバイスから証拠を抽出するためのさまざまなツールが存在します。1 つのツールや方法では、すべてのデバイスからすべての証拠を取得することはできません。したがって、法医学検査官、特に法廷で専門家証人としての資格を取得したい人は、各ツールと方法がどのように証拠を取得するか、法医学的妥当性の基準をどのように維持するか、Daubert 基準や Frye基準などの法的要件をどのように満たすかを理解するために、広範なトレーニングを受けることをお勧めします。

モバイル機器の法医学的調査は、研究分野として1990年代後半から2000年代初頭に始まりました。犯罪における携帯電話の役割は、法執行機関によって長い間認識されていました。消費者市場でのそのようなデバイスの入手性が向上し、それらがサポートする通信プラットフォーム（電子メール、Webブラウジングなど）の範囲が広がるにつれて、法医学的調査の需要が高まりました。^[4]

モバイル デバイスを調査する初期の取り組みでは、最初のコンピューター フォレンジック調査と同様の手法が使用されました。つまり、画面から直接電話の内容を分析し、重要な内容を写真に撮るという手法です。^[4]しかし、これは時間のかかるプロセスであることが判明し、モバイル デバイスの数が増え始めると、調査員はより効率的なデータ抽出方法を求めました。積極的なモバイル フォレンジック調査員は、携帯電話または PDA の同期ソフトウェアを使用して、デバイスのデータをフォレンジック コンピューターに「バックアップ」してイメージ化したり、データが同期されている疑わしいコンピューターのハード ドライブでコンピューター フォレンジックを実行したりすることがありました。ただし、このタイプのソフトウェアは、電話の読み取りだけでなく書き込みも可能であり、削除されたデータを回復することはできませんでした。^[5]

一部の法医学調査官は、OEM がデバッグやアップデートのために携帯電話のメモリを「フラッシュ」するために開発したツールである「フラッシャー」または「ツイスター」ボックスを使用して、削除されたデータさえも取得できることを発見しました。しかし、フラッシャー ボックスは侵入的であり、データを変更する可能性があり、使用が複雑になる可能性があり、法医学ツールとして開発されていないため、ハッシュ検証も (ほとんどの場合) 監査証跡も実行しません。^[6]したがって、物理的な法医学調査には、より優れた代替手段が必要です。

これらの要求に応えるため、最小限の混乱で携帯電話のメモリを復元し、個別に分析できる市販のツールが登場しました。^[4]時が経つにつれ、これらの市販技術はさらに発展し、専用のモバイルデバイスから削除されたデータを復元することが、いくつかの専門ツールで可能になりました。さらに、市販ツールは抽出プロセスの多くを自動化し、最低限の訓練を受けた救急隊員（現在はコンピューターよりもモバイルデバイスを所持している容疑者に遭遇する可能性がはるかに高い）でも、トリアージやデータプレビューの目的で基本的な抽出を実行できるようになりました。

モバイル デバイスのフォレンジックは、法執行機関の調査への応用で最もよく知られていますが、軍事情報、企業調査、私的調査、刑事および民事防衛、電子証拠開示にも役立ちます。

モバイル デバイスのテクノロジが進歩するにつれて、モバイル デバイスに保存できるデータの量と種類は増え続けています。携帯電話から回復できる可能性のある証拠は、端末のメモリ、 SIM カード、SDカード などの接続されたメモリ カードなど、さまざまなソースから取得される可能性があります。

従来、携帯電話のフォレンジックは、 SMSやMMSメッセージ、通話記録、連絡先リスト、電話のIMEI / ESN情報の回復に関連付けられてきました。しかし、新しい世代のスマートフォンには、Webブラウジング、ワイヤレスネットワーク設定、地理位置情報（画像メタデータに含まれるジオタグを含む）、電子メール、その他のリッチインターネットメディアなど、より多様な情報が含まれています。これには、現在スマートフォンの「アプリ」に保存されているソーシャルネットワーキングサービスの投稿や連絡先などの重要なデータが含まれます。 ^[7]

現在、モバイル機器ではNAND型やNOR型のフラッシュメモリが主に使用されています。 ^[8]

外部メモリデバイスには、SIMカード、SDカード (GPS デバイスや携帯電話によく使用されます)、MMCカード、CFカード、メモリースティックなどがあります。

厳密にはモバイル デバイスのフォレンジックの一部ではありませんが、携帯電話が押収された後に取得される「バックアップ」証拠として、ワイヤレス キャリアからの通話詳細記録(および場合によってはテキスト メッセージ) が使用されることがよくあります。これらは、通話履歴やテキスト メッセージが電話から削除されている場合、または位置情報サービスがオンになっていない場合に便利です。通話詳細記録とセル サイト(タワー) ダンプから、電話の所有者の位置、および電話が静止していたか移動していたか (つまり、電話の信号が単一のタワーの同じ側から反射したか、特定の移動経路に沿った複数のタワーの異なる側から反射したか) がわかります。^[9]キャリア データとデバイス データを一緒に使用すると、監視カメラの映像や目撃証言などの他のソースからの情報を裏付けたり、ジオタグのない画像やビデオが撮影された大まかな場所を特定したりできます。

欧州連合は、加盟国に対し、捜査に使用するために特定の通信データを保持することを義務付けている。これには、発信および受信された通話に関するデータが含まれる。携帯電話の位置は特定できるため、この地理的データも保持する必要がある。しかし、米国ではそのような要件は存在せず、通信事業者がデータをどのくらいの期間保持すべきか、あるいは何を保持しなければならないかを規定する基準もない。たとえば、テキストメッセージは1～2週間しか保持されないが、通話記録は数週間から数か月間保持される可能性がある。証拠が失われるリスクを減らすため、法執行機関は通信事業者に保管書を提出する必要があり、その後、捜査令状でそれを裏付ける必要がある。^[9]

モバイルデバイスのフォレンジックプロセスは、デジタルフォレンジックの他の分野と大体同じですが、いくつかの特別な懸念事項が適用されます。一般的に、プロセスは、押収、取得、検査/分析の3つの主要なカテゴリに分類できます。取り込み、検証、文書化/報告、アーカイブなどのコンピューターフォレンジックプロセスの他の側面は、依然として適用されます。^[2]

モバイル機器の押収には、他のデジタルメディアと同じ法的考慮事項が適用されます。モバイル機器は電源が入った状態で回収されることが多く、押収の目的は証拠の保全であるため、シャットダウンしてファイルが変更されるのを避けるために、デバイスは電源が入った状態で輸送されることがよくあります。^[10]さらに、捜査官や緊急対応者はユーザーロックがアクティブになるリスクがあります。

しかし、電話の電源を入れたままにしておくと、別のリスクが伴います。デバイスがネットワーク/携帯電話接続を確立できるということです。これにより、新しいデータが取り込まれ、証拠が上書きされる可能性があります。接続を防ぐために、モバイルデバイスはファラデーケージ（またはバッグ）内から輸送および検査されることがよくあります。それでも、この方法には2つの欠点があります。まず、ほとんどのバッグではタッチスクリーンやキーパッドが使用できないため、デバイスが使用できなくなります。ただし、透明なガラスと特別な手袋を着用してデバイスを使用できる特別なケージを入手できます。このオプションの利点は、ネットワーク接続をブロックしながら他のフォレンジック機器に接続したり、デバイスを充電したりできることです。このオプションが利用できない場合は、デバイスを機内モードにするか、 SIMカードを複製してネットワークを分離することをお勧めします（この手法は、デバイスからSIMカードが完全に失われている場合にも役立ちます）。^[2]

この技術はデバイスのリモートワイプ（または改ざん）のトリガーを防ぐことができますが、ローカルのデッドマンスイッチに対しては何も効果がないことに注意してください。

フォレンジックプロセスの2番目のステップは取得であり、この場合は通常、デバイスからの資料の取得を指します（コンピュータフォレンジックで使用されるビットコピーイメージングと比較）。^[10]

携帯電話は独自の性質上、電源を切った状態でデータを取得することができないことが多く、ほとんどのモバイルデバイスの取得はライブで実行されます。高度なメモリ管理を使用するより高度なスマートフォンでは、充電器に接続してファラデーケージに入れるのは良い方法ではないかもしれません。モバイルデバイスはネットワークの切断を認識し、そのためステータス情報を変更し、メモリマネージャーにデータを書き込むようにトリガーする可能性があります。^[11]

モバイル デバイス用の取得ツールのほとんどは商用であり、多くの場合自動化されたハードウェア コンポーネントとソフトウェア コンポーネントで構成されています。

コンピュータのファイルシステムに似た高レベルのファイルシステムを使用するモバイルデバイスが増えるにつれて、方法とツールはハードディスクフォレンジックから引き継ぐことができ、わずかな変更のみで済むようになります。^[12]

FATファイルシステムは、一般的にNANDメモリで使用されます。^[13]違いは、使用されるブロックサイズで、ハードディスクの場合は512バイトより大きく、使用されるメモリタイプ（ NORタイプは64、128、256、NANDメモリは16、128、256、または512キロバイト）によって異なります。

さまざまなソフトウェアツールがメモリイメージからデータを抽出できます。ファイルヘッダーの特性を検索するには、専用の自動化されたフォレンジックソフトウェア製品や、16進エディターなどの汎用ファイルビューアを使用できます。16進エディターの利点は、メモリ管理へのより深い洞察ですが、16進エディターで作業するには、多くの手作業とファイルシステムおよびファイルヘッダーの知識が必要です。対照的に、専用のフォレンジックソフトウェアは検索を簡素化し、データを抽出しますが、すべてを見つけられるとは限りません。メモリイメージを分析するためのフォレンジックソフトウェア製品には、 AccessData、Sleuthkit、ESI Analyst、EnCaseなどがあります。^[14]考えられるすべての情報を抽出できるツールはないため、調査には2つ以上のツールを使用することをお勧めします。現在（2010年2月）、フラッシュメモリからすべての証拠を取得するソフトウェアソリューションはありません。^[8]

モバイルデバイスによるデータ抽出は、方法がより技術的かつ「法医学的に健全」になり、ツールがより高価になり、分析に時間がかかり、検査官はより多くのトレーニングを必要とし、いくつかの方法はより侵襲的になる可能性があるという連続体に従って分類することができます。^[15]

検査官はユーザーインターフェースを利用して携帯電話のメモリの内容を調査します。したがって、デバイスは通常どおり使用され、検査官は各画面の内容を写真に撮ります。この方法の利点は、オペレーティングシステムによって、生データを人間が解釈できる情報に変換するための特殊なツールや機器を使用する必要がないことです。実際には、この方法は携帯電話、PDA、ナビゲーションシステムに適用されています。^[16]欠点は、オペレーティングシステムで表示可能なデータしか回復できないこと、すべてのデータが画像の形式でしか利用できないこと、プロセス自体に時間がかかることです。

論理取得とは、論理ストレージ (ファイル システム パーティションなど) にある論理ストレージ オブジェクト (ディレクトリやファイルなど) をビット単位でコピーすることです。論理取得の利点は、ツールがシステム データ構造を抽出して整理しやすいことです。論理抽出では、電話のコンテンツをパソコンと同期するためのOEMアプリケーション プログラミング インターフェイスを使用して、デバイスから情報を取得します。論理抽出では、大きなバイナリ ブロブが生成されないため、一般的に作業が簡単です。ただし、熟練した法医学調査官であれば、物理抽出からはるかに多くの情報を抽出できます。

論理抽出では、削除された情報は通常は携帯電話のファイルシステムから削除されるため、通常は生成されません。ただし、場合によっては、特にiOSやAndroidなどのSQLiteで構築されたプラットフォームでは、携帯電話が情報のデータベースファイルを保持することがあります。このファイルは情報を上書きせず、削除済みとしてマークし、後で上書きできるようにします。このような場合、デバイスが同期インターフェイスを介してファイルシステムへのアクセスを許可している場合は、削除された情報を回復できます。ファイルシステムの抽出は、ファイル構造、Web閲覧履歴、またはアプリの使用状況を理解するのに役立つだけでなく、調査員が従来のコンピューターフォレンジックツールを使用して分析を実行する機能も提供します。^[17]

物理的取得は、物理的な記憶装置全体（フラッシュ メモリなど）のビット単位のコピーを意味します。したがって、これはパーソナル コンピュータの検査に最も近い方法です。物理的取得には、削除されたファイルやデータの残りを検査できるという利点があります。物理的抽出は、フラッシュ メモリに直接アクセスしてデバイスから情報を取得します。

一般的に、これを実現するのは困難です。なぜなら、デバイスのメーカーはメモリの恣意的な読み取りを防止する必要があるため、デバイスが特定のオペレータにロックされる可能性があるからです。このセキュリティを回避するために、モバイルフォレンジックツールベンダーは独自のブートローダーを開発することが多く、フォレンジックツールがメモリにアクセスできるようにします（多くの場合、ユーザーのパスコードやパターンロックをバイパスすることもできます）。^[18]

通常、物理的な抽出は、ダンプ フェーズとデコード フェーズの 2 つのステップに分割されます。

ブルートフォース攻撃は、一連のパスコード/パスワードをモバイルデバイスに送信するサードパーティのパスコードブルートフォースツールによって実行できます。^[19] ブルートフォース攻撃は時間のかかる方法ですが、それでも効果的です。この手法では、モバイルデバイスへのアクセスを認証するために、正しいパスワードまたはPINの組み合わせを作成するために試行錯誤します。このプロセスには膨大な時間がかかりますが、フォレンジックの専門家がパスコードを取得できない場合に使用する最良の方法の1つです。現在利用可能なソフトウェアとハ​​ードウェアを使用すると、モバイルデバイスのパスワードファイルの暗号化を解読してパスコードを取得することは非常に簡単になりました。^[20] iPhone5のリリース以降、^[21] CellebriteとGrayShiftという2つの製造元が公開されました。これらの製造元は、法執行機関と警察署を対象としています。Cellebrite UFED Ultimate ^[22]ユニットの価格は40,000米ドル以上、Grayshiftsシステムの価格は15,000米ドルです。^[23]ブルートフォースツールはデバイスに接続されており、正しいコードが正しく入力されるまで、iOSデバイスに0000から9999までのコードを物理的に送信します。コード入力が成功すると、デバイスへの完全なアクセスが許可され、データの抽出を開始できます。

初期の調査は、モバイル デバイスのライブ手動分析で構成され、検査官が証拠として使用できる有用な資料を写真に撮ったり書き留めたりしていました。Fernico ZRT、EDEC Eclipse、Project-a-Phone などの法医学写真撮影機器がなければ、デバイスのコンテンツが変更されるリスクがあり、独自のオペレーティング システムの多くの部分にアクセスできないという欠点がありました。

近年、モバイル デバイスから論理的および物理的な証拠を回復するためのハードウェア/ソフトウェア ツールが数多く登場しています。ほとんどのツールは、ハードウェア部分とソフトウェア部分の両方で構成されています。ハードウェアには、モバイル デバイスを取得マシンに接続するためのケーブルがいくつか含まれており、ソフトウェアは証拠を抽出し、場合によっては分析するために存在します。

最近では、現場向けにモバイルデバイスを使ったフォレンジックツールが開発されている。これは、軍隊の迅速かつ正確な対テロ情報に対する需要と、犯罪現場、捜索令状の執行、緊急事態でのフォレンジックプレビュー機能に対する法執行機関の需要の両方に応えたものである。このようなモバイルフォレンジックツールは、過酷な環境（戦場など）や乱暴な扱い（落下や水中への浸水など）に耐えられるように頑丈に作られていることが多い。^[24]

一般的に、1つのツールですべてのモバイルデバイスからすべての証拠を収集することは不可能であるため、モバイルフォレンジックの専門家は、市販の、オープンソースの、幅広いサポートと狭いサポートのフォレンジックツールを組み合わせたツールキットと、バッテリー充電器、ファラデーバッグ、その他の信号妨害装置などのアクセサリを作成することを検査官に推奨しています。^[25]

現在のツールには、Belkasoft Evidence Center、Cellebrite UFED、Oxygen Forensic Detective、Elcomsoft Mobile Forensic Bundle、Susteen Secure View、MOBILEdit Forensic Express、Micro Systemation XRYなどがあります。

さらに、 MediaTek (MTK)、Spreadtrum、MStarなどの中国製チップセットで製造された携帯電話の犯罪的利用の増加に対処するためのツールも開発されています。そのようなツールには、Cellebrite の CHINEXやXRY PinPoint などがあります。

オープンソースのモバイルフォレンジックツールのほとんどはプラットフォーム固有であり、スマートフォンの分析に特化しています。もともとフォレンジックツールとして設計されたわけではありませんが、BitPimはCDMA携帯電話だけでなく、LG VX4400/VX6000や多くのSanyo Sprint携帯電話でも広く使用されています。^[26]

業界では一般に「チップオフ」技術と呼ばれている、メモリ イメージを取得するための最後の、そして最も侵入的な方法は、不揮発性メモリチップをはんだ付け解除し、メモリ チップ リーダーに接続することです。この方法には、データが完全に破壊される危険性があります。はんだ付け解除時に必要な熱により、チップとその内容が破壊される可能性があります。BGA 技術が発明される前は、メモリチップのピンにプローブを取り付け、これらのプローブを介してメモリを回復することができました。BGA 技術では、溶けたはんだボールを介してチップが PCB に直接結合されるため、プローブを取り付けることができなくなります。

チップのはんだ付け除去は、熱によってチップやデータが破壊されないように、慎重にゆっくりと行われます。チップのはんだ付け除去を行う前に、PCB をオーブンで焼いて、残った水分を除去します。これにより、はんだ付け除去時に残った水分によってチップ パッケージが吹き飛ぶ、いわゆるポップコーン現象を防止します。

はんだを溶かす方法は主に 3 つあります。熱風、赤外線、蒸気です。赤外線技術は、特定の集積回路に赤外線光線を集中させて使用するもので、小型チップに使用されます。熱風と蒸気の方法は、赤外線技術ほど集中させることができません。

チップのはんだ付けを取り除いた後、再ボール付けプロセスでチップを洗浄し、新しいスズボールをチップに追加します。再ボール付けは 2 つの異なる方法で実行できます。

• 1 つ目はステンシルを使用する方法です。ステンシルはチップに依存しており、正確にフィットする必要があります。次に、ステンシルに錫はんだを置きます。錫を冷却した後、ステンシルを取り外し、必要に応じて 2 回目の洗浄手順を実行します。
• 2番目の方法はレーザーリボールです。^{[27] [28]}ここでは、ステンシルがリボールユニットにプログラムされています。ボンドヘッド（チューブ/針のように見える）には、はんだボールシンギュレーションタンクから1つのスズボールが自動的にロードされます。次に、ボールはレーザーによって加熱され、スズはんだボールが液体になり、洗浄されたチップ上に流れます。ボールが溶けた直後にレーザーがオフになり、新しいボールがボンドヘッドに落ちます。再ロード中、リボールユニットのボンドヘッドは次のピンに位置を変更します。

3つ目の方法は、ボールの再装着プロセス全体を不要にする。チップは、Y字型のスプリングまたはスプリング式ポゴピンを備えたアダプタに接続される。Y字型のスプリングは、電気的接続を確立するためにピンにボールが付いている必要があるが、ポゴピンはボールなしでチップ上のパッドに直接使用できる。^{[11] [12]}

法医学的はんだ除去の利点は、デバイスが機能する必要がなく、元のデータに変更を加えることなくコピーを作成できることです。欠点は、再ボールデバイスが高価なため、このプロセスに非常にコストがかかり、データが完全に失われるリスクがあることです。したがって、法医学的はんだ除去は、経験豊富な研究室でのみ行う必要があります。^[13]

既存の標準化されたデータ読み取りインターフェースは、 GPS機器（NMEA ）から位置データを取得したり、エアバッグユニットから減速情報を取得したりするために、いくつかのモバイルデバイスに組み込まれています。^[16]

すべてのモバイル デバイスがこのような標準化されたインターフェイスを提供しているわけではなく、すべてのモバイル デバイスに標準インターフェイスが存在するわけでもありませんが、すべてのメーカーに共通する問題が 1 つあります。デバイス部品の小型化により、はんだ付けされた統合コンポーネントの機能と品質を自動的にテストする方法が問題となります。この問題に対して、業界団体のJoint Test Action Group (JTAG) が、バウンダリ スキャンと呼ばれるテスト技術を開発しました。

標準化されているにもかかわらず、JTAG デバイス インターフェイスを使用してメモリを回復できるようになるまでに 4 つのタスクがあります。境界スキャン レジスタの正しいビットを見つけるには、どのプロセッサとメモリ回路が使用されているか、およびそれらがシステム バスにどのように接続されているかを知る必要があります。外部からアクセスできない場合は、プリント回路基板上の JTAG インターフェイスのテスト ポイントを見つけて、どのテスト ポイントがどの信号に使用されているかを判断する必要があります。JTAG ポートは必ずしもコネクタでハンダ付けされているわけではないため、デバイスを開いてアクセス ポートを再度ハンダ付けする必要がある場合もあります。^[12]メモリを読み取るためのプロトコルを知っておく必要があり、最後に回路の損傷を防ぐために正しい電圧を決定する必要があります。^[11]

バウンダリスキャンは、揮発性メモリと不揮発性メモリの完全なフォレンジックイメージを生成します。データ変更のリスクは最小限に抑えられ、メモリチップをはんだ付けする必要がありません。イメージの生成には時間がかかることがあり、すべてのモバイルデバイスがJTAG対応であるわけではありません。また、テストアクセスポートを見つけるのが難しい場合もあります。^[13]

モバイル デバイスでは、 CDから実行または起動したり、ネットワーク共有またはクリーン ツールを備えた別のデバイスに接続したりすることはできません。したがって、システム コマンドがモバイル デバイスの揮発性メモリを節約する唯一の方法である可能性があります。システム コマンドが変更されるリスクがあるため、揮発性メモリが本当に重要であるかどうかを評価する必要があります。ネットワーク接続が利用できず、セカンダリ メモリをモバイル デバイスに接続できない場合、揮発性メモリ イメージを内部の不揮発性メモリに保存する必要があり、そこにユーザー データが格納されているため、削除された重要なデータが失われる可能性が高いため、同様の問題が発生します。システム コマンドは最も安価な方法ですが、データ損失のリスクが多少伴います。オプションと出力を含むすべてのコマンドの使用を文書化する必要があります。

ATコマンドは、ヘイズコマンドセットやモトローラ電話のATコマンドなどの古いモデムコマンドであり、モデムをサポートするデバイスでのみ使用できます。これらのコマンドを使用すると、オペレーティングシステムを通じてのみ情報を取得できるため、削除されたデータを抽出することはできません。^[11]

外部メモリと USB フラッシュ ドライブの場合、ビットレベルのコピーを行うには、Unix コマンドddなどの適切なソフトウェアが必要です。さらに、メモリ保護機能付きのUSB フラッシュ ドライブには特別なハードウェアは必要なく、どのコンピュータにも接続できます。多くの USB ドライブとメモリ カードには、コピー中にデータが変更されるのを防ぐための書き込みロック スイッチが付いています。

USBドライブに保護スイッチがない場合は、ブロッカーを使用してドライブを読み取り専用モードでマウントするか、例外的なケースではメモリチップをはんだ付け解除することができます。SIMカードとメモリカードのコピーを作成するにはカードリーダーが必要です。 ^[29] SIMカードは徹底的に分析されており、連絡先やテキストメッセージなどの（削除された）データを回復することができます。^[11]

Androidオペレーティングシステムにはddコマンドが含まれています。Androidフォレンジック技術に関するブログ投稿では、ddコマンドを使用してAndroidデバイスのライブイメージを作成する方法が示されています。^[30]

フラッシャーツールは、 EEPROMやフラッシュメモリなどのデバイスメモリをプログラム（フラッシュ）するために使用できるプログラミングハードウェアおよび/またはソフトウェアです。これらのツールは主に、デバッグ、修理、またはアップグレードサービスのためにメーカーまたはサービスセンターから提供されます。これらは不揮発性メモリを上書きすることができ、メーカーやデバイスによっては、バックアップを目的としたコピーを作成するためにメモリを読み取ることもできます。メモリは、ソフトウェアコマンドや読み取り回路のヒューズの破壊などによって読み取りから保護することができます。^[31]

ただし、これはCPUによるメモリ内部への書き込みや使用を防ぐものではありません。フラッシャーツールは接続も使用も簡単ですが、一部のツールはデータを変更したり、その他の危険なオプションを備えていたり、完全なコピーを作成しなかったりします。^[12]

一般的に、特定の製品でサポートされるデバイスを構成するものについての標準は存在しません。このため、サポートされるデバイスの定義がベンダーによって異なる状況が生じています。このような状況では、ベンダーが提供するサポートされるデバイスのリストに基づいて製品を比較することが非常に困難になります。たとえば、ある製品を使用した論理抽出ではデバイスによって行われた呼び出しのリストのみが生成されるデバイスは、そのベンダーによってサポート対象としてリストされる一方で、別のベンダーではさらに多くの情報を生成する可能性があります。

さらに、製品によってデバイスから抽出する情報量は異なります。そのため、製品の概要を把握しようとすると、非常に複雑な状況になります。一般的に、購入前に製品を徹底的にテストすることが強く推奨されます。互いに補完し合う製品を少なくとも 2 つ使用することは、非常に一般的です。

携帯電話技術は急速に進化している。モバイル機器に関するデジタルフォレンジックは停滞しているか、ゆっくりと進化しているようだ。携帯電話フォレンジックが携帯電話の発売サイクルに追いつくためには、モバイルフォレンジックツールキットを評価するためのより包括的で詳細なフレームワークを開発し、各タイプの携帯電話に適したツールと技術に関するデータをタイムリーに提供する必要がある。^[32]

コンピュータフォレンジック対策は、デバイスのサイズが小さく、ユーザーのデータアクセスが制限されているため、より困難です。^{[13]しかし、} CPUとメモリチップにセキュリティ回路を組み込んでハードウェアでメモリを保護する開発があり、はんだ付けを外した後でもメモリチップを読み取ることはできません。^{[33] [34]}

• デジタルフォレンジックツールのリスト
• 電話ポータル

• カンファレンス「モバイルフォレンジックワールド」
• チップオフ法医学 (forensicwiki.org)
• JTAG フォレンジック (forensicwiki.org)
• 携帯電話フォレンジックのケーススタディ (QCC Global Ltd)