Android Forensics

147 Pages·2011·13.24 MB·English

Android Forensics
Simson L. Garfinkel, Ph.D
Associate Professor, Naval Postgraduate School
http://www.simson.net/
1
NPS is the Navyʼs Research University.
Location: Monterey, CA
Students: 1500
■ US Military (All 5 services)
■ US Civilian (Scholarship for Service & SMART)
■ Foreign Military (30 countries)
■ All students are fully funded
Schools:
■ Business & Public Policy
■ Engineering & Applied Sciences
■ Operational & Information Sciences
■ International Graduate Studies
NCR Initiative:
■ 8 offices on 5th floor, 900N Glebe Road, Arlington
■ FY12 plans: 4 professors, 2 postdocs, 2 researchers
■ Immediate slots for .gov PhDs!
2
My current research:
Automated Document & Media Exploitation
The DOMEX challenge is to turn digital bits into actionable
intelligence.
Recent publications:
■ DoD Risks from Facebook
■ Ascription of Carved Data on multi-user systems
■ Forensic Carving of Network Packets and Associated Data Structures
■ Finding and Archiving the Internet Footprint
(cid:1)(cid:202)(cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:202)(cid:213)(cid:195)(cid:105)(cid:96)(cid:202)(cid:76)(cid:222)(cid:202)(cid:1)(cid:143)(cid:202)(cid:43)(cid:62)(cid:105)(cid:96)(cid:62)(cid:202)(cid:105)(cid:152)(cid:96)(cid:195)(cid:202)(cid:213)(cid:171)(cid:202)(cid:136)(cid:152)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:133)(cid:62)(cid:152)(cid:96)(cid:195)(cid:202)(cid:156)(cid:118)(cid:202)(cid:62)(cid:202)
(cid:55)(cid:62)(cid:143)(cid:143)(cid:202)(cid:45)(cid:204)(cid:192)(cid:105)(cid:105)(cid:204)(cid:202)(cid:27)(cid:156)(cid:213)(cid:192)(cid:152)(cid:62)(cid:143)(cid:202)(cid:192)(cid:105)(cid:171)(cid:156)(cid:192)(cid:204)(cid:105)(cid:192)(cid:176)(cid:202)(cid:1)(cid:202)(cid:143)(cid:62)(cid:171)(cid:204)(cid:156)(cid:171)(cid:202)(cid:118)(cid:192)(cid:156)(cid:147)(cid:202)(cid:22)(cid:192)(cid:62)(cid:152)(cid:202)(cid:136)(cid:195)(cid:202)(cid:96)(cid:136)(cid:195)(cid:86)(cid:156)(cid:219)(cid:135)
(cid:105)(cid:192)(cid:105)(cid:96)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:86)(cid:156)(cid:152)(cid:204)(cid:62)(cid:136)(cid:152)(cid:195)(cid:202)(cid:96)(cid:105)(cid:204)(cid:62)(cid:136)(cid:143)(cid:195)(cid:202)(cid:156)(cid:118)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:86)(cid:156)(cid:213)(cid:152)(cid:204)(cid:192)(cid:222)(cid:189)(cid:195)(cid:202)(cid:152)(cid:213)(cid:86)(cid:143)(cid:105)(cid:62)(cid:192)(cid:202)(cid:220)(cid:105)(cid:62)(cid:171)(cid:135)
(cid:156)(cid:152)(cid:195)(cid:202)(cid:171)(cid:192)(cid:156)(cid:125)(cid:192)(cid:62)(cid:147)(cid:176)(cid:202)(cid:42)(cid:133)(cid:156)(cid:204)(cid:156)(cid:125)(cid:192)(cid:62)(cid:171)(cid:133)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:219)(cid:136)(cid:96)(cid:105)(cid:156)(cid:195)(cid:202)(cid:62)(cid:192)(cid:105)(cid:202)(cid:96)(cid:156)(cid:220)(cid:152)(cid:143)(cid:156)(cid:62)(cid:96)(cid:105)(cid:96)(cid:202)
(cid:118)(cid:192)(cid:156)(cid:147)(cid:202)(cid:204)(cid:105)(cid:192)(cid:192)(cid:156)(cid:192)(cid:136)(cid:195)(cid:204)(cid:202)(cid:55)(cid:105)(cid:76)(cid:202)(cid:195)(cid:136)(cid:204)(cid:105)(cid:195)(cid:176)(cid:202)
(cid:1)(cid:195)(cid:202)(cid:105)(cid:219)(cid:136)(cid:96)(cid:105)(cid:152)(cid:86)(cid:105)(cid:96)(cid:202)(cid:76)(cid:222)(cid:202)(cid:204)(cid:133)(cid:105)(cid:195)(cid:105)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:86)(cid:156)(cid:213)(cid:152)(cid:204)(cid:143)(cid:105)(cid:195)(cid:195)(cid:202)(cid:156)(cid:204)(cid:133)(cid:105)(cid:192)(cid:202)(cid:86)(cid:62)(cid:195)(cid:105)(cid:195)(cid:93)(cid:202)(cid:96)(cid:136)(cid:125)(cid:136)(cid:204)(cid:62)(cid:143)(cid:202)
(cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:195)(cid:204)(cid:156)(cid:192)(cid:62)(cid:125)(cid:105)(cid:202)(cid:96)(cid:105)(cid:219)(cid:136)(cid:86)(cid:105)(cid:195)(cid:202)(cid:133)(cid:156)(cid:143)(cid:96)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:142)(cid:105)(cid:222)(cid:202)(cid:204)(cid:156)(cid:202)(cid:147)(cid:62)(cid:152)(cid:222)(cid:202)
(cid:156)(cid:152)(cid:125)(cid:156)(cid:136)(cid:152)(cid:125)(cid:202)(cid:147)(cid:136)(cid:143)(cid:136)(cid:204)(cid:62)(cid:192)(cid:222)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:86)(cid:192)(cid:136)(cid:147)(cid:136)(cid:152)(cid:62)(cid:143)(cid:202)(cid:136)(cid:152)(cid:219)(cid:105)(cid:195)(cid:204)(cid:136)(cid:125)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:195)(cid:176)(cid:202)(cid:47)(cid:133)(cid:105)(cid:202)(cid:147)(cid:156)(cid:195)(cid:204)(cid:202)
(cid:195)(cid:204)(cid:192)(cid:62)(cid:136)(cid:125)(cid:133)(cid:204)(cid:118)(cid:156)(cid:192)(cid:220)(cid:62)(cid:192)(cid:96)(cid:202)(cid:62)(cid:171)(cid:171)(cid:192)(cid:156)(cid:62)(cid:86)(cid:133)(cid:202)(cid:204)(cid:156)(cid:202)(cid:213)(cid:195)(cid:136)(cid:152)(cid:125)(cid:202)(cid:204)(cid:133)(cid:105)(cid:195)(cid:105)(cid:202)(cid:147)(cid:105)(cid:96)(cid:136)(cid:62)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:96)(cid:156)(cid:86)(cid:213)(cid:135)
(cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:136)(cid:195)(cid:202)(cid:204)(cid:156)(cid:202)(cid:105)(cid:221)(cid:171)(cid:143)(cid:156)(cid:192)(cid:105)(cid:202)(cid:204)(cid:133)(cid:105)(cid:147)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:156)(cid:192)(cid:96)(cid:136)(cid:152)(cid:62)(cid:192)(cid:222)(cid:202)(cid:204)(cid:156)(cid:156)(cid:143)(cid:195)(cid:112)(cid:156)(cid:171)(cid:105)(cid:152)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)
(cid:220)(cid:156)(cid:192)(cid:96)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:195)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:31)(cid:136)(cid:86)(cid:192)(cid:156)(cid:195)(cid:156)(cid:118)(cid:204)(cid:202)(cid:55)(cid:156)(cid:192)(cid:96)(cid:93)(cid:202)(cid:219)(cid:136)(cid:105)(cid:220)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:55)(cid:105)(cid:76)(cid:202)(cid:171)(cid:62)(cid:125)(cid:105)(cid:195)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)
(cid:22)(cid:152)(cid:204)(cid:105)(cid:192)(cid:152)(cid:105)(cid:204)(cid:202)(cid:13)(cid:221)(cid:171)(cid:143)(cid:156)(cid:192)(cid:105)(cid:192)(cid:93)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:195)(cid:156)(cid:202)(cid:156)(cid:152)(cid:176)
(cid:1)(cid:143)(cid:204)(cid:133)(cid:156)(cid:213)(cid:125)(cid:133)(cid:202)(cid:204)(cid:133)(cid:136)(cid:195)(cid:202)(cid:195)(cid:204)(cid:192)(cid:62)(cid:136)(cid:125)(cid:133)(cid:204)(cid:118)(cid:156)(cid:192)(cid:220)(cid:62)(cid:192)(cid:96)(cid:202)(cid:62)(cid:171)(cid:171)(cid:192)(cid:156)(cid:62)(cid:86)(cid:133)(cid:202)(cid:136)(cid:195)(cid:202)(cid:105)(cid:62)(cid:195)(cid:222)(cid:202)(cid:204)(cid:156)(cid:202)
(cid:213)(cid:152)(cid:96)(cid:105)(cid:192)(cid:195)(cid:204)(cid:62)(cid:152)(cid:96)(cid:93)(cid:202)(cid:136)(cid:204)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:147)(cid:136)(cid:195)(cid:195)(cid:202)(cid:62)(cid:202)(cid:143)(cid:156)(cid:204)(cid:176)(cid:202)(cid:12)(cid:105)(cid:143)(cid:105)(cid:204)(cid:105)(cid:96)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:136)(cid:152)(cid:219)(cid:136)(cid:195)(cid:136)(cid:76)(cid:143)(cid:105)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:195)(cid:202)
(cid:86)(cid:62)(cid:152)(cid:202)(cid:76)(cid:105)(cid:202)(cid:147)(cid:62)(cid:96)(cid:105)(cid:202)(cid:219)(cid:136)(cid:195)(cid:136)(cid:76)(cid:143)(cid:105)(cid:202)(cid:213)(cid:195)(cid:136)(cid:152)(cid:125)(cid:202)(cid:76)(cid:62)(cid:195)(cid:136)(cid:86)(cid:202)(cid:118)(cid:156)(cid:192)(cid:105)(cid:152)(cid:195)(cid:136)(cid:86)(cid:202)(cid:204)(cid:156)(cid:156)(cid:143)(cid:195)(cid:176)(cid:202)(cid:42)(cid:192)(cid:156)(cid:125)(cid:192)(cid:62)(cid:147)(cid:195)(cid:202)
(cid:86)(cid:62)(cid:143)(cid:143)(cid:105)(cid:96)(cid:202)(cid:86)(cid:62)(cid:192)(cid:219)(cid:105)(cid:192)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:143)(cid:156)(cid:86)(cid:62)(cid:204)(cid:105)(cid:202)(cid:136)(cid:152)(cid:118)(cid:156)(cid:192)(cid:147)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:136)(cid:195)(cid:152)(cid:189)(cid:204)(cid:202)(cid:105)(cid:219)(cid:105)(cid:152)(cid:202)(cid:62)(cid:202)
(cid:86)(cid:156)(cid:147)(cid:171)(cid:143)(cid:105)(cid:204)(cid:105)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:204)(cid:213)(cid:192)(cid:152)(cid:202)(cid:136)(cid:204)(cid:202)(cid:136)(cid:152)(cid:204)(cid:156)(cid:202)(cid:62)(cid:202)(cid:118)(cid:156)(cid:192)(cid:147)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:76)(cid:105)(cid:202)(cid:192)(cid:105)(cid:62)(cid:96)(cid:136)(cid:143)(cid:222)(cid:202)
(cid:171)(cid:192)(cid:156)(cid:86)(cid:105)(cid:195)(cid:195)(cid:105)(cid:96)(cid:176)(cid:202)(cid:12)(cid:105)(cid:204)(cid:62)(cid:136)(cid:143)(cid:105)(cid:96)(cid:202)(cid:105)(cid:221)(cid:62)(cid:147)(cid:136)(cid:152)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:202)(cid:156)(cid:118)(cid:202)(cid:105)(cid:135)(cid:147)(cid:62)(cid:136)(cid:143)(cid:202)(cid:133)(cid:105)(cid:62)(cid:96)(cid:105)(cid:192)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)
(cid:143)(cid:156)(cid:125)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:192)(cid:105)(cid:219)(cid:105)(cid:62)(cid:143)(cid:202)(cid:220)(cid:133)(cid:105)(cid:192)(cid:105)(cid:202)(cid:62)(cid:202)(cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:202)(cid:220)(cid:62)(cid:195)(cid:202)(cid:213)(cid:195)(cid:105)(cid:96)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:156)(cid:204)(cid:133)(cid:105)(cid:192)(cid:202)
(cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:195)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:220)(cid:133)(cid:136)(cid:86)(cid:133)(cid:202)(cid:136)(cid:204)(cid:202)(cid:86)(cid:62)(cid:147)(cid:105)(cid:202)(cid:136)(cid:152)(cid:204)(cid:156)(cid:202)(cid:86)(cid:156)(cid:152)(cid:204)(cid:62)(cid:86)(cid:204)(cid:176)(cid:202)(cid:29)(cid:136)(cid:152)(cid:125)(cid:213)(cid:136)(cid:195)(cid:204)(cid:136)(cid:86)(cid:202)
(cid:204)(cid:156)(cid:156)(cid:143)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:96)(cid:136)(cid:195)(cid:86)(cid:156)(cid:219)(cid:105)(cid:192)(cid:202)(cid:147)(cid:213)(cid:143)(cid:204)(cid:136)(cid:171)(cid:143)(cid:105)(cid:202)(cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:192)(cid:105)(cid:118)(cid:105)(cid:192)(cid:202)(cid:204)(cid:156)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)
(cid:195)(cid:62)(cid:147)(cid:105)(cid:202)(cid:136)(cid:152)(cid:96)(cid:136)(cid:219)(cid:136)(cid:96)(cid:213)(cid:62)(cid:143)(cid:195)(cid:93)(cid:202)(cid:105)(cid:219)(cid:105)(cid:152)(cid:202)(cid:204)(cid:133)(cid:156)(cid:213)(cid:125)(cid:133)(cid:202)(cid:152)(cid:62)(cid:147)(cid:105)(cid:195)(cid:202)(cid:136)(cid:152)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:96)(cid:136)(cid:118)(cid:118)(cid:105)(cid:192)(cid:105)(cid:152)(cid:204)(cid:202)
(cid:69)(cid:69) (cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:133)(cid:62)(cid:219)(cid:105)(cid:202)(cid:96)(cid:136)(cid:118)(cid:118)(cid:105)(cid:192)(cid:105)(cid:152)(cid:204)(cid:202)(cid:195)(cid:171)(cid:105)(cid:143)(cid:143)(cid:136)(cid:152)(cid:125)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:62)(cid:192)(cid:105)(cid:202)(cid:136)(cid:152)(cid:202)(cid:96)(cid:136)(cid:118)(cid:118)(cid:105)(cid:192)(cid:105)(cid:152)(cid:204)(cid:202)
(cid:133)(cid:213)(cid:147)(cid:62)(cid:152)(cid:202)(cid:143)(cid:62)(cid:152)(cid:125)(cid:213)(cid:62)(cid:125)(cid:105)(cid:195)(cid:176)(cid:202)(cid:12)(cid:62)(cid:204)(cid:62)(cid:135)(cid:147)(cid:136)(cid:152)(cid:136)(cid:152)(cid:125)(cid:202)(cid:204)(cid:105)(cid:86)(cid:133)(cid:152)(cid:136)(cid:181)(cid:213)(cid:105)(cid:195)(cid:202)(cid:195)(cid:213)(cid:86)(cid:133)(cid:202)(cid:62)(cid:195)(cid:202)(cid:86)(cid:192)(cid:156)(cid:195)(cid:195)(cid:135)
(cid:96)(cid:192)(cid:136)(cid:219)(cid:105)(cid:202)(cid:62)(cid:152)(cid:62)(cid:143)(cid:222)(cid:195)(cid:136)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:192)(cid:105)(cid:86)(cid:156)(cid:152)(cid:195)(cid:204)(cid:192)(cid:213)(cid:86)(cid:204)(cid:202)(cid:195)(cid:156)(cid:86)(cid:136)(cid:62)(cid:143)(cid:202)(cid:152)(cid:105)(cid:204)(cid:220)(cid:156)(cid:192)(cid:142)(cid:195)(cid:112)(cid:62)(cid:213)(cid:204)(cid:156)(cid:147)(cid:62)(cid:204)(cid:136)(cid:135)
(cid:86)(cid:62)(cid:143)(cid:143)(cid:222)(cid:202)(cid:96)(cid:105)(cid:204)(cid:105)(cid:192)(cid:147)(cid:136)(cid:152)(cid:136)(cid:152)(cid:125)(cid:93)(cid:202)(cid:118)(cid:156)(cid:192)(cid:202)(cid:105)(cid:221)(cid:62)(cid:147)(cid:171)(cid:143)(cid:105)(cid:93)(cid:202)(cid:136)(cid:118)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:189)(cid:195)(cid:202)(cid:171)(cid:192)(cid:105)(cid:219)(cid:136)(cid:156)(cid:213)(cid:195)(cid:202)
(cid:213)(cid:195)(cid:105)(cid:192)(cid:202)(cid:220)(cid:62)(cid:195)(cid:202)(cid:136)(cid:152)(cid:202)(cid:86)(cid:156)(cid:152)(cid:204)(cid:62)(cid:86)(cid:204)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:142)(cid:152)(cid:156)(cid:220)(cid:152)(cid:202)(cid:204)(cid:105)(cid:192)(cid:192)(cid:156)(cid:192)(cid:136)(cid:195)(cid:204)(cid:195)(cid:176)(cid:202)(cid:47)(cid:133)(cid:136)(cid:195)(cid:202)(cid:195)(cid:156)(cid:192)(cid:204)(cid:202)(cid:156)(cid:118)(cid:202)
(cid:62)(cid:96)(cid:219)(cid:62)(cid:152)(cid:86)(cid:105)(cid:96)(cid:202)(cid:62)(cid:152)(cid:62)(cid:143)(cid:222)(cid:195)(cid:136)(cid:195)(cid:202)(cid:136)(cid:195)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:195)(cid:204)(cid:213)(cid:118)(cid:118)(cid:202)(cid:156)(cid:118)(cid:202)(cid:12)(cid:34)(cid:31)(cid:13)(cid:56)(cid:93)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:143)(cid:136)(cid:204)(cid:204)(cid:143)(cid:105)(cid:135)(cid:142)(cid:152)(cid:156)(cid:220)(cid:152)(cid:202)
(cid:136)(cid:152)(cid:204)(cid:105)(cid:143)(cid:143)(cid:136)(cid:125)(cid:105)(cid:152)(cid:86)(cid:105)(cid:202)(cid:171)(cid:192)(cid:62)(cid:86)(cid:204)(cid:136)(cid:86)(cid:105)(cid:202)(cid:156)(cid:118)(cid:202)(cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:147)(cid:105)(cid:96)(cid:136)(cid:62)(cid:202)(cid:105)(cid:221)(cid:171)(cid:143)(cid:156)(cid:136)(cid:204)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:176)(cid:202)
(cid:12)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:202)(cid:202)(cid:202)(cid:202)(cid:202)(cid:202)(cid:202) (cid:186)(cid:204)(cid:133)(cid:47)(cid:105)(cid:202)(cid:133)(cid:171)(cid:105)(cid:192)(cid:202)(cid:156)(cid:49)(cid:86)(cid:176)(cid:105)(cid:45)(cid:195)(cid:176)(cid:195)(cid:202)(cid:136)(cid:136)(cid:152)(cid:152)(cid:204)(cid:125)(cid:105)(cid:93)(cid:143)(cid:202)(cid:143)(cid:204)(cid:136)(cid:192)(cid:125)(cid:62)(cid:105)(cid:152)(cid:152)(cid:195)(cid:86)(cid:143)(cid:62)(cid:105)(cid:204)(cid:202)(cid:136)(cid:86)(cid:156)(cid:156)(cid:152)(cid:147)(cid:93)(cid:202)(cid:147)(cid:62)(cid:152)(cid:213)(cid:62)(cid:152)(cid:143)(cid:222)(cid:136)(cid:204)(cid:195)(cid:222)(cid:136)(cid:195)(cid:202)(cid:93)(cid:96)(cid:202)(cid:62)(cid:105)(cid:152)(cid:119)(cid:202)(cid:96)(cid:152)(cid:202)(cid:105)(cid:96)(cid:195)(cid:136)(cid:202)(cid:195)(cid:12)(cid:195)(cid:105)(cid:34)(cid:147)(cid:31)(cid:136)(cid:152)(cid:13)(cid:56)(cid:62)(cid:204)(cid:202)(cid:136)(cid:62)(cid:156)(cid:195)(cid:152)(cid:202)(cid:202)
(cid:13)(cid:221)(cid:171)(cid:143)(cid:156)(cid:136)(cid:204)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)
(cid:31)(cid:105)(cid:96)(cid:136)(cid:62)
(cid:51)(cid:41)(cid:45)(cid:51)(cid:47)(cid:46)(cid:44)(cid:14)(cid:39)(cid:33)(cid:50)(cid:38)(cid:41)(cid:46)(cid:43)(cid:37)(cid:44)(cid:12)(cid:48)(cid:40)(cid:14)(cid:36)(cid:14)
(cid:47)(cid:133)(cid:105)(cid:202)(cid:12)(cid:34)(cid:31)(cid:13)(cid:56)(cid:202)(cid:86)(cid:133)(cid:62)(cid:143)(cid:143)(cid:105)(cid:152)(cid:125)(cid:105)(cid:202)(cid:136)(cid:195)(cid:202)(cid:204)(cid:156)(cid:202)(cid:204)(cid:213)(cid:192)(cid:152)(cid:202)
(cid:96)(cid:136)(cid:125)(cid:136)(cid:204)(cid:62)(cid:143)(cid:202)(cid:76)(cid:136)(cid:204)(cid:195)(cid:202)(cid:136)(cid:152)(cid:204)(cid:156)(cid:202)(cid:62)(cid:86)(cid:204)(cid:136)(cid:156)(cid:152)(cid:62)(cid:76)(cid:143)(cid:105)(cid:202)(cid:136)(cid:152)(cid:204)(cid:105)(cid:143)(cid:143)(cid:136)(cid:125)(cid:105)(cid:152)(cid:86)(cid:105)(cid:176)
(cid:147)(cid:156)(cid:192)(cid:105)(cid:202)(cid:181)(cid:213)(cid:105)(cid:213)(cid:105)(cid:92)(cid:202)(cid:220)(cid:220)(cid:220)(cid:176)(cid:62)(cid:86)(cid:147)(cid:181)(cid:213)(cid:105)(cid:213)(cid:105)(cid:176)(cid:86)(cid:156)(cid:147) (cid:202) (cid:202)(cid:202)(cid:32)(cid:156)(cid:219)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:201)(cid:12)(cid:105)(cid:86)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:202)(cid:211)(cid:228)(cid:228)(cid:199)(cid:202)(cid:202)(cid:206)(cid:202)(cid:202)
(cid:211)(cid:202)(cid:202)(cid:32)(cid:156)(cid:219)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:201)(cid:12)(cid:105)(cid:86)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:202)(cid:211)(cid:228)(cid:228)(cid:199)(cid:202)(cid:202) (cid:202) (cid:192)(cid:62)(cid:152)(cid:204)(cid:195)(cid:92)(cid:202)(cid:118)(cid:105)(cid:105)(cid:96)(cid:76)(cid:62)(cid:86)(cid:142)(cid:74)(cid:62)(cid:86)(cid:147)(cid:181)(cid:213)(cid:105)(cid:213)(cid:105)(cid:176)(cid:86)(cid:156)(cid:147) (cid:33)(cid:35)(cid:45)(cid:49)(cid:53)(cid:37)(cid:53)(cid:37)
(cid:33)(cid:35)(cid:45)(cid:49)(cid:53)(cid:37)(cid:53)(cid:37)
http://www.simson.net/clips/academic/2007.ACM.Domex.pdf
3
I also maintain the Forensics Wiki:
http://www.forensicswiki.org/
http://www.forensicswiki.org/
4
This is an introductory tutorial!
1:30 - 3:45 Forensics Overview & Android Forensics
■ Forensics and digital Investigations (overview)
■ Challenges facing computer forensics today
■ Cell phone forensics (overview)
■ Forensics Targets in Android Phones
—Allocated vs. Residual Data
—Logical vs. Physical
■ FAT32 & YAFFS analysis
■ Clearing, Sanitization and Anti-forensics
■ Feature Extraction, Cross-Drive Analysis, and Research Opportunities
3:45 - 4:00 Break
4:00 - 5:00 Android System Analysis
■ Extracting the data
■ Open Source and Commercial Tools
■ Q&A
5
Forensic definitions
Forensics &
The “magic camera”
Hypothesis-based investigation
digital investigations
“Forensics” has two meanings.
fo·ren·sics n. (used with a sing. verb)
The art or study of formal debate; argumentation.
The use of science and technology to investigate and establish facts
in criminal or civil courts of law.
(American Heritage Dictionary, 4th Edition)
7
Courts settle disputes, redress grievances,
and mete out punishment
Deciding some disputes requires the use of physical evidence:
■ Fingerprints
■ DNA
■ Handwriting
■ Polygraph
Judges and juries can't examine physical evidence and make a
determination
They don't have the expertise
■ Evidence may be open to interpretation.

8
Even photographs may require interpretation
When were these photographs taken?
Were they faked?
9
The Commissar Vanishes documents how
Stalin's Soviet Union tampered with the past.
Abel Yenukidze:
■ Shot during the purges of 1936-1938
■ Photo removed from official photographs by Stalin’s darkroom
—http://www.hoover.org/publications/digest/3531641.html
—http://www.newseum.org/berlinwall/commissar_vanishes/
10