عندما يترك iPhone المصادَر أثرًا: قضية بيفوفاروف والتحليل الجنائي وراءها
يمكن للجهاز المحمول أن يكشف ليس فقط ما بداخله، بل أيضًا كيف جرى الوصول إليه - وفي هذه الحالة، تشير طبقتان مختلفتان من الأدلة إلى استخدام Cellebrite UFED.
في التحقيقات الرقمية، قد لا تكون الأدلة الأكثر كشفًا هي البيانات المستخرجة من الهاتف، بل الآثار التي يتركها نفسها إجراء الاستخراج. وهذا ما يجعل القضية المتعلقة بالناشط الروسي أندريه بيفوفاروف مهمة من الناحية التقنية: فهي تركز على مزاعم الوصول إلى iPhone في يونيو 2021، مع أدلة مستمدة من كل من آثار الجهاز ووثيقة جنائية روسية رسمية.
حقائق سريعة
- نشرت Citizen Lab نتيجة في 25 يونيو بشأن مزاعم استخدام Cellebrite UFED ضد iPhone الخاص بأندريه بيفوفاروف.
- يوصف الوصول بأنه حدث في يونيو 2021، أي بعد نحو ثلاثة أشهر من إعلان Cellebrite أنها ستتوقف عن بيع الأدوات والخدمات إلى روسيا وبيلاروسيا.
- الأساس الأدلي يجمع بين آثار على الهاتف ووثيقة روسية رسمية تذكر أدوات UFED بالاسم.
- تتعلق القضية بالتحليل الجنائي للهواتف المحمولة، وليس بالاعتراض الشبكي في الوقت الفعلي.
- يمكن أن تصبح سجلات المضيف الموثوق والاقتران من Apple آثارًا جنائية مفيدة بعد توصيل الجهاز بحاسوب.
ما الذي تُظهره القضية
تكمن القيمة التقنية لهذه القصة في وجود أدلة متساندة. فمن جهة، هناك آثار على iPhone تتسق مع علاقة اقتران مع مضيف موثوق. وتوضح Apple أن الاقتران يتطلب جهازًا غير مقفل ورمز مرور، وأنه ينشئ سجلات ثقة قد تصبح مهمة لاحقًا في التحليل الجنائي. ومن جهة أخرى، توجد وثيقة جنائية روسية يقال إنها تذكر أدوات Cellebrite UFED، بما في ذلك UFED 4PC وUFED Physical Analyzer.
وهذا مهم لأن سير عمل التحليل الجنائي للهواتف يعتمد غالبًا على الحيازة الفعلية وعلاقات الثقة بدلًا من الاستغلال عن بُعد. وإذا كان الجهاز غير مقفل ومقترنًا، فإن السجلات الناتجة قد توفر دليلاً ثابتًا على استخدام أدوات الاستخراج. وبالنسبة للمحققين والمدافعين على حد سواء، قد تكون هذه الآثار أكثر قيمة من محتوى البيانات المستخرجة لأنها تساعد على شرح كيفية الوصول إلى البيانات.
كما أن التوقيت يحمل وزنًا سياسياً أيضًا. فقد قالت Cellebrite إنها ستتوقف عن بيع أدواتها وخدماتها إلى روسيا وبيلاروسيا، ومع ذلك يوضع الوصول المزعوم بعد ذلك التاريخ. لا تثبت القضية كيف تم الحصول على أي نظام بعينه أو ما إذا كانت أي رخصة محددة لا تزال نشطة، لكنها تُظهر أن إعلان المورد لا يمحو تلقائيًا احتمال ظهور أدوات أقدم، أو عمليات نشر سابقة، أو سير عمل قائم بالفعل في الميدان.
بالنسبة للمستخدمين ذوي المخاطر العالية، يُعد وضع Lockdown Mode من Apple ميزة دفاعية لتعزيز الحماية تقلل سطح الهجوم وتحد من بعض اتصالات الجهاز وميزاته. وهو ليس إعدادًا عامًا شاملًا، ولم يكن متاحًا لأحداث 2021 المعنية، لكنه أحد أوضح الأمثلة الحديثة على كيفية محاولة المنصات تقليل التعرض للأشخاص الذين قد يواجهون اختراقًا موجّهًا أو مصادرة للجهاز.
تدعم المعلومات المتاحة تحليلًا للمخاطر، لا ادعاءً حاسمًا بشأن أنماط تشغيل أوسع أو كل جهاز في أوضاع حيازة مشابهة. وما تدعمه فعلًا هو درس واضح: عندما يتعامل مسار التحليل الجنائي مع الهاتف، قد يترك الإجراء أدلته الخاصة خلفه.
الخلاصة
تُذكّرنا قضية بيفوفاروف بأن أمن الهواتف المحمولة لا يقتصر على منع الاختراق عن بُعد. بل يتعلق أيضًا بفهم علاقات الثقة، وآثار الاقتران، وأدوات التحليل الجنائي التي قد تدخل على الخط بمجرد مصادرة الجهاز ماديًا. وبهذا المعنى، يصبح الأثر نفسه هو القصة.
TECHCROOK
حاجب بيانات USB: محول صغير يسمح للهاتف بالشحن مع حظر نقل البيانات عبر USB. وهو خيار عملي لتجنب المزامنة غير المرغوبة أو مطالبات الثقة عند استخدام شواحن أو أجهزة كمبيوتر غير مألوفة.
WIKICROOK
- UFED: عائلة منتجات للتحليل الجنائي للهواتف المحمولة تُستخدم لاستخراج البيانات من الهواتف والأجهزة اللوحية وتحليلها.
- Physical Analyzer: برنامج يُستخدم لمراجعة البيانات المستخرجة من الأجهزة المحمولة والبحث فيها.
- سجلات الاقتران: آثار مضيف موثوق تُنشأ عندما يتم توصيل هاتف بحاسوب بعد إلغاء القفل وإدخال رمز المرور.
- Lockdown Mode: ميزة تعزيز حماية من Apple تقلل سطح الهجوم وتحد من بعض وظائف الجهاز.
- التحليل الجنائي للهواتف المحمولة: ممارسة جمع البيانات من الأجهزة المحمولة وتحليلها لأغراض تحقيقية.
