Mobilní telefon zajištěný během vyšetřování není jen běžné elektronické zařízení. Může obsahovat zprávy, fotografie, polohová data, přístupové údaje, historii komunikace nebo informace uložené v aplikacích. Současně však zůstává aktivním zařízením, které může komunikovat s mobilní sítí, Wi-Fi, Bluetooth a vzdálenými službami.
Pro zachování důkazní hodnoty proto nestačí telefon pouze odebrat a převézt do laboratoře. Musí být možné doložit, kdo jej zajistil, v jakém byl stavu, kdo s ním manipuloval a komu byl následně předán. Tento dokumentovaný postup se označuje jako chain of custody.
Co znamená chain of custody?
Chain of custody neboli evidenční řetězec zachycuje celý pohyb důkazu od jeho zajištění až po analýzu, uložení nebo předložení v řízení. Jeho účelem je prokázat, že předkládaný předmět je skutečně tím, který byl původně zajištěn, a že během manipulace nedošlo k nevysvětleným zásahům.
Podle aktuálních doporučení SWGDE pro zajišťování mobilních zařízení má být dokumentace vytvářena průběžně a zahrnovat popis předmětu, jeho jedinečné identifikátory, datum a čas převzetí nebo předání a identifikaci každé osoby, která jej měla v držení.
U telefonu se zpravidla zaznamenává například:
-
značka, model a sériové nebo jiné identifikační číslo,
-
místo a čas zajištění,
-
stav zapnutí a uzamčení,
-
stav obrazovky a viditelné informace,
-
připojená zařízení nebo kabely,
-
provedené úkony a změny nastavení,
-
jednotlivá předání mezi pracovníky a pracovišti.
Samotný formulář ale digitální data neochrání. Vedle fyzické evidence je nutné řešit také bezdrátovou komunikaci zařízení.
Proč jsou mobilní důkazy specifické?
Klasický fyzický důkaz se během přepravy zpravidla sám nemění. Zapnutý telefon však může přijmout zprávu, synchronizovat data, aktualizovat obsah aplikace nebo reagovat na vzdálený příkaz.
Jedním z nejzávažnějších rizik je vzdálené uzamčení nebo vymazání zařízení. Problémem však může být i běžný příjem nových dat, protože mění stav telefonu po jeho zajištění. Následně může být obtížnější určit, které informace byly v zařízení přítomné v rozhodném okamžiku a které se do něj dostaly až později.
NIST ve své metodice mobilní forenzní analýzy proto řadí izolaci zařízení od rádiové komunikace mezi možnosti ochrany mobilních důkazů.
Kde do procesu vstupuje Faraday izolace?
Faraday bag vytváří fyzickou bariéru mezi zařízením a okolními bezdrátovými sítěmi. Telefon uvnitř může zůstat zapnutý, ale nemůže běžným způsobem komunikovat prostřednictvím mobilní sítě, Wi-Fi, Bluetooth, GPS, RFID nebo NFC.
Ve forenzní praxi tím Faraday izolace plní několik úloh současně. Omezuje riziko vzdáleného zásahu, zabraňuje příjmu nových síťových dat a umožňuje přepravit zařízení do laboratoře bez běžného připojení k okolním sítím.
Neznamená to však, že Faraday bag sám vytvoří chain of custody. Nenahradí identifikaci důkazu, evidenci osob, časové záznamy ani dokumentaci provedených úkonů. Jde o technickou ochranu, která doplňuje procesní a administrativní část práce s důkazem.
Izolace a prokazatelnost manipulace jsou dvě různé věci
Ve forenzním procesu je potřeba rozlišovat dvě otázky. První zní: mohl telefon během přepravy bezdrátově komunikovat? Druhá: mohl někdo s uloženým zařízením fyzicky manipulovat?
Faraday izolace řeší první otázku. Plomba nebo jiný prvek dokazující otevření pomáhá řešit otázku druhou. Právě jejich kombinace může být praktická při předávání zařízení mezi terénním pracovníkem, skladem důkazů a forenzní laboratoří.
Dvě varianty pro odlišné forenzní scénáře
Pro bezpečné uložení a transport mobilních zařízení lze použít FWR Faraday bag Small Gen. M. Využívá 12vrstvou stínicí konstrukci, magnetické zavírání a naměřený útlum až 102 dB. Magnetické provedení je vhodné zejména pro opakovanou manipulaci v laboratoři nebo terénu a omezuje zachytávání či poškození ochranných rukavic.
Pokud je vedle RF izolace důležitá také kontrola fyzického přístupu, je určena varianta FWR Faraday bag Small Gen. M s možností zaplombování. Po zajištění plombou lze při předání nebo převzetí poznat, zda byl Faraday bag během přepravy či uložení otevřen.
Plomba sama nepotvrzuje původ ani obsah digitálních dat. Ve spojení s číslem případu, identifikátorem důkazu, časem a podpisy předávajících osob však podporuje transparentní evidenci manipulace.
Technologie musí navazovat na postup
Důkazní integrita nevzniká použitím jediného výrobku. Vzniká kombinací dokumentace, odpovědnosti, fyzického zabezpečení, síťové izolace a následné forenzní akvizice.
Faraday bag má v tomto procesu přesně vymezenou roli: omezuje bezdrátovou komunikaci zařízení v citlivém období mezi jeho zajištěním a odborným zpracováním. Varianta s možností zaplombování k tomu přidává viditelný prvek kontroly fyzické manipulace.
Chain of custody tak není pouze seznamem podpisů. Je to souvislý a doložitelný příběh důkazu – od místa zajištění až po výslednou analýzu.
