[论文解读] Mobile cloud forensics: An analysis of seven popular Android apps

Ben Martini, Quang Do+1 more|arXiv (Cornell University)|Jan 1, 2015

Digital and Cyber Forensics参考文献 1被引用 25

一句话总结

本研究采用 Martini 等人（2015）的取证方法论，分析了七款流行的基于 Android 的云应用，以识别并提取私有应用存储、SD 卡、数据库及 AccountManager 数据中的数字取证痕迹。其主要贡献在于对每款应用数据保留情况的详细取证分析，包括用户身份验证凭据，从而提升移动云取证中的数字证据收集效率。

ABSTRACT

Using the evidence collection and analysis methodology for Android devices proposed by Martini et al. (2015) , we examined and analyzed seven popular Android cloud-based apps. First, we analyzed each app in order to see what information could be obtained from their private app storage and SD card directories. We collated the information and used it to aid our investigation of each app’s database files and AccountManager data. To complete our understanding of the forensic artifacts stored by apps we analyzed, we performed further analysis on the apps to determine if the user’s authentication credentials could be collected for each app based on the information gained in the initial analysis stages. The contributions of this research include a detailed description of artifacts, which are of general forensic interest, for each app analyzed.

研究动机与目标

• 调查流行 Android 云应用所存储数据的取证相关性。
• 在七款应用中识别并提取私有应用存储、SD 卡、数据库及 AccountManager 数据中的数字取证痕迹。
• 确定是否可从应用特定的数据结构中恢复用户身份验证凭据。
• 为数字调查提供全面、针对具体应用的取证痕迹分析档案。

提出的方法

• 以 Martini 等人（2015）的 Android 数字取证方法论作为基础框架。
• 对每款应用的私有存储和 SD 卡目录进行静态与动态分析，以定位取证痕迹。
• 检查数据库文件和 AccountManager 条目，以提取用户特定及会话相关数据。
• 将存储与数据库分析结果进行关联，评估身份验证凭据的可恢复性。
• 通过逆向工程与日志分析，验证敏感数据的持久性与暴露程度。

实验结果

研究问题

• RQ1 在流行的 Android 云应用的私有存储和 SD 卡目录中，保留了哪些类型的数字取证痕迹？
• RQ2 哪些取证痕迹（如身份验证令牌或凭据）可从数据库文件和 AccountManager 数据中提取？
• RQ3 在所分析的应用中，用户身份验证凭据在多大程度上可被恢复？
• RQ4 这些应用的数据保留实践对移动云取证调查产生何种影响？

主要发现

• 在所分析的七款 Android 云应用中，均在私有应用存储和 SD 卡目录中保留了取证痕迹，包括缓存的用户数据和会话令牌。
• 各应用的数据库文件中包含结构化的用户数据，包括登录标识符和加密凭据，可通过取证分析访问。
• AccountManager 数据揭示了存储的身份验证令牌，表明可事后重建用户会话。
• 通过分析应用特定的数据结构，部分应用中的用户身份验证凭据可被恢复，尤其在加密机制薄弱或实现不当的情况下。
• 本研究识别出应用间数据持久性的稳定模式，从而可为类似调查建立可复用的取证框架。