Área de investigación avanzada en informática forense

20 de julio de 2017 Autor: Antonio Salmerón

 
[Áreas; Figura ac4]: Área de investigación avanzada en informática forense.

El objetivo de los módulos de este área es introducirse en conocimientos prácticos más avanzados que los presentados en el área anterior incluyendo las pruebas digitales en dispositivos móviles, la informática forense en redes e internet y los problemas a los que se puede enfrentar el perito o el informático forense como son la esteganografía para la ocultación, la criptografía para el cifrado y la aplicación de técnicas antiforense.

Honeynet Project: Organización internacional de investigación en seguridad que de forma continua investiga los últimos ataques y desarrolla herramientas de seguridad de código abierto para la seguridad en Internet. Fundada en 1999, es una organización sin ánimo de lucro formada por voluntarios. A partir de ataques reales, ofrece una serie de retos para difundir el conocimiento obtenido de su análisis. | Url: * http://www.honeynet.org/about * http://www.honeynet.org/challenges * http://honeynet.org.es

Módulo: Pruebas digitales en dispositivos móviles

12 de abril de 2017 Autor: Antonio Salmerón

 

Los teléfonos móviles y los smart phones, se han convertido en parte integrante de la vida cotidiana de las personas. Por ello, son una herramienta habitual en casi cualquier delito. Por otro lado, casi es imposible pensar en un dispositivo tan personal como el móvil, mucho más que el propio computador personal. Ambos hechos hacen que sea una fuente usual de pruebas digitales y es el objetivo de este módulo su estudio desde el punto de vista de la informática forense y pericial.

Información: Conjunto de datos organizados y, posiblemente, procesados, que forman un mensaje capaz de cambiar el conocimiento de la persona o del sistema que recibe dicho mensaje. En esto radica la diferencia fundamental entre una información y el conjunto de datos que podría contenerla, que los datos por si solos, sin ser procesados o estructurados, pueden no decir nada relevante ni a las personas ni a otros sistemas. | Inglés: Information | Plural: Informaciones

Módulo: Informática forense en redes e internet

12 de abril de 2017 Autor: Antonio Salmerón

 

El objetivo de este módulo es el estudio y la práctica de la informática forense tanto en redes de computadores como en internet. Comprende los conceptos básicos de redes desde el punto de vista de la informática forense, la aplicación de esta a las pruebas digitales en redes, en internet y en los diferentes niveles de los sistemas de comunicación incluyéndose en este módulo el desarrollo de las redes informáticas, su tecnología, los protocolos de Internet, el modelo OSI y la aplicación de la informática forense a las redes.

FTP anónimo: Acceso a un computador remoto a través de FTP en el que el usuario no necesita ser autentificado y se le permite entrar directamente en el sistema, en una cuenta, con un nombre de usuario genérico, por ejemplo, anonymous y como contraseña, por ejemplo, su dirección de correo electrónico. Por seguridad estos usuarios anónimos han de tener unos permisos de acceso muy restringidos, el sistema remoto sólo les permite consultar, no modificar, un conjunto limitado de directorios, por ejemplo, un directorio con información pública de nombre pub. La existencia de este tipo de acceso es necesaria cuando se desea permitir la entrada en el sistema a un gran número de usuarios desconocidos, por ejemplo, a través de Internet, para los que el administrador no puede abrir cuentas. | Bibliografía: Salmerón, A.; et ál.; 1996

Módulo: Esteganografía, criptografía y técnicas antiforense

12 de abril de 2017 Autor: Antonio Salmerón

 

El objetivo de este módulo es el estudio de las disciplinas y técnicas que pueden plantear problemas durante la investigación en informática forense y pericial, como son: a) la esteganografía, para la ocultación de la información, b) la criptografía, como proceso de codificación o de cifrado para mantener en secreto datos e informaciones y c) otras técnicas denominadas antiforenses, por ejemplo, para la limpieza u ofuscación de la información.

Sistema distribuido: Sistema informático en el que cooperan varios computadores independientes interconectados, generalmente mediante una red. | Plural: Sistemas distribuidos | Bibliografía: Salmerón, A.; et ál.; 1996

Pruebas digitales en dispositivos móviles

14 de febrero de 2017 Autor: Antonio Salmerón

 

Los dispositivos móviles como teléfonos móviles y teléfonos inteligentes, smart phones, se han convertido en parte integrante de la vida cotidiana de las personas:

  • Por ello, también son actualmente una herramienta habitual en cualquier delito o, simplemente, estar involucrados en la comisión de delitos por el mero hecho de estar presentes en el escenario.
  • Por otro lado, casi es imposible pensar en un dispositivo tan personal como el móvil, mucho más que el propio computador personal. Mientras que los computadores, portátiles, servidores o máquinas de juego pueden tener varios usuarios, en la gran mayoría de los casos los dispositivos móviles pertenecen a un único individuo.
  • Finalmente, el número de dispositivos móviles para la comunicación y la organización personal, muchos de ellos con acceso a Internet, alcanza cifras tan elevadas como que en la Unión Europea de los 27, en 2010, el número total de líneas de telefonía móvil contratadas superaba los 642 millones, lo que supone una penetración del 128% sobre la población, es decir, muchos habitantes tienen más de una línea y más de un dispositivo móvil.

Estas 3 observaciones hacen que sean una fuente usual de pruebas digitales y es el objetivo de este módulo su estudio desde el punto de vista de la informática forense y pericial ya que, aunque de pequeño tamaño, los móviles suelen contener importante información personal como:

  • el historial de llamadas,
  • mensajes de texto,
  • correos electrónicos,
  • fotografías digitales,
  • videos,
  • entradas de calendario,
  • notas,
  • agenda con nombres, teléfonos, empresas y direcciones de contacto,
  • contraseñas o
  • números de tarjetas de crédito.

Pueden contener todo lo anterior porque estos aparatos:

  • además de utilizarse como terminal de telefonía,
  • también se emplean para intercambiar fotografías, acceder a internet, conectarse a redes sociales, mantener blogs personales, tomar notas, grabar y consumir video y audio, etc.

El avance de la tecnología y el aumento del caudal de transmisión de datos están permitiendo el intercambio de elementos cada vez más grandes, como por ejemplo vídeo digital a la vez que, por su gran capacidad de computación, ofrecen una funcionalidad cada vez más próxima a la que prestaban en la década anterior los computadores portátiles.

Por su portabilidad los móviles se llevan a todas partes y pueden servir para determinar la ubicación de las personas a lo largo del tiempo:

  • Con información interna del móvil, por ejemplo, como los metadatos de fecha, hora, latitud, longitud y altitud que pudieran contener las fotografías realizadas con el móvil, con los pequeños error de su GPS.
  • Con información externa al móvil, por ejemplo, mediante la secuencia de antenas móviles a las que se ha ido conectando, si bien, con una mayor imprecisión, pudiendo establecerse zonas más que posiciones concretas.
[Móvil; Figura mpa]: Posicionamiento de un móvil de Movistar a las 10:47, en un radio de 1.244 metros alrededor de una antena, en un mapa de Microsoft Bing.

Por tanto, el desarrollo vertiginoso de la computación móvil y de las tecnologías de las comunicaciones abre oportunidades a la delincuencia pero también a la investigación en informática forense.

La información contenida en los dispositivos móviles o la relacionada con ellos puede ayudar al informático forense o al perito a responder preguntas cruciales revelando con quién se ha comunicado un individuo, sobre qué han estado comunicando y dónde han estado. Por ejemplo:

  • Los agresores sexuales pueden usar un dispositivo móvil para iniciar sus contactos con las víctimas, intercambiar fotos o vídeos y preparar a las víctimas creando una cibertrayectoria que puede ser seguida por el informático forense.
  • Los usan los terroristas en tareas de reconocimiento y coordinación o para la activación de explosivos.
  • Los utilizan en los contrabandistas para fijar o avisar de entregas.
  • Los miembros de los clanes de la delincuencia organizada para coordinar actividades y compartir información incluso estando en prisión, lo que puede ayudar a los investigadores a entender el funcionamiento de estos grupos.

Por ello los dispositivos móviles están sirviendo para resolver delitos y la información contenida en ellos puede utilizarse también en crímenes graves cuando los implicados no se dan cuenta de que portan un dispositivo móvil o no piensan en el mismo como fuente de información digital incriminante.

[Móvil; Figura mbr]: 2 móviles en una bolsa para pruebas del Reino Unido.

La creciente potencia computacional de los dispositivos móviles está permitiendo usos antes impensables y, con ello, se ha elevado su capacidad para usos indeseables. Por ejemplo, algunos dispositivos móviles están optimizados para la adquisición de datos en tareas como el escaneo de tarjetas de crédito o la toma de mediciones técnicas, por ejemplo, voltaje, temperatura, aceleración. Esta funcionalidad tiene ramificaciones más allá de las intenciones de los fabricantes como emplearse para robar tarjetas de crédito e iniciar la explosión de bombas [Wilson, C.; 2006].

El objetivo de este módulo, siguiendo a [Casey, E.; 2011], es estudiar cómo los dispositivos móviles pueden ser fuente de pruebas digitales, describir la operación básica de estos dispositivos y presentar herramientas y técnicas para recoger y examinar las pruebas extraídas. En particular, los móviles son sólo una clase de sistemas informáticos embebidos y existen enfoques avanzados para extraer información de ellos, como el acceso JTAG y la extracción de datos de sus circuitos integrados, chip-off. Se puede encontrar un tratamiento más detallado de los sistemas embebidos en [Casey, E.; 2009; Capítulo 8] desarrollado por Ronald van der Knijff y en el sitio web de los [cmdLabs].

Dispositivo digital: Dispositivo para la generación, transmisión, recepción, procesamiento o almacenamiento de datos o información representada digitalmente, esto es, que trabajan con cantidades discretas representándolas numéricamente, generalmente, en un sistema binario. | Plural: Dispositivos digitales | Bibliografía: Salmerón, A.; et ál.; 1996

Informática forense en redes e internet

14 de febrero de 2017 Autor: Antonio Salmerón

 
[Redes; Figura dds]: Estructura de un ataque distribuido de denegación de servicio, DDOS, con la herramienta Stachledraht.

El objetivo de este módulo es el estudio y la práctica de la informática forense tanto en redes de computadores como en internet. Comprende los conceptos básicos de redes desde el punto de vista de la informática forense, la aplicación de esta a las pruebas digitales en redes, en internet y en las diferentes capas o niveles de los sistemas de comunicación y, en especial, en el físico, el de enlace de datos, el de red y el de transporte.

La estructura de este módulo es la siguiente:

  • Desarrollo de las redes informáticas.
  • Tecnologías de las redes.
  • Protocolos de Internet y modelo de referencia OSI.
  • Aplicación de la informática forense a las redes.

Ethernet: Red local que emplea una topología de bus abierto y controla el acceso al medio de comunicación por detección de colisión. | Bibliografía: Salmerón, A.; et ál.; 1996

Esteganografía, criptografía y técnicas antiforense

8 de febrero de 2017 Autor: Antonio Salmerón

 

El objetivo de este módulo es estudiar las diferentes disciplinas y técnicas que pueden plantear problemas durante la investigación en informática forense y pericial, como son la esteganografía, para la ocultación de la información, la criptografía, como proceso de codificación o de cifrado para mantener en secreto datos e informaciones y otras técnicas denominadas antiforenses, por ejemplo, para la limpieza u ofuscación de la información:

  • La esteganografía estudia y aplica técnicas para la ocultación de información, mensajes u objetos, dentro de otros, llamados portadores, de modo que no sea fácil percibir su existencia.
  • La criptografía tiene por objetivo mantener en secreto datos, informaciones, mensajes, etc. durante su almacenamiento o su transmisión y para ello se utilizan 2 técnicas:
    • La codificación que es la sustitución directa de cada elemento del texto en lenguaje origen por un elemento de texto codificado. La correspondencia entre los elementos de texto en el lenguaje origen y los elementos de texto codificado quedan definidos por una tabla conocida como clave del código.
    • El cifrado que es la transformación de texto en un lenguaje origen a un texto cifrado mediante un algoritmo que, en cada proceso de cifrado, se particulariza mediante una clave o un conjunto de claves. El cifrado es más robusto que la codificación, que es sólo una sustitución directa.

No ha de confundirse esteganografía y criptografía, si bien, ambas intentan proteger la información, son distintas:

  • mientras que la esteganografía oculta la información de modo que no sea advertido el hecho de su existencia o envío,
  • la criptografía cifra la información para que no sea comprensible a los ajenos a las claves, incluso aunque conozcan la existencia de esa información.

Otra forma de expresar sus diferencias es que, se podría decir que:

  • la 1ª línea de defensa de la información es el desconocimiento de su existencia y para ello está la estenografía y
  • la 2ª línea, frente al conocimiento o descubrimiento de la información, sería su encriptación.

Por tanto, ambas técnicas son complementarias, proporcionando mayor seguridad, por ejemplo, que el mensaje a esteganografiar se cifre de forma previa.

[Esteganografía; Figura asc]: Imagen portadora [Trithemius, J.; 1621] a la izquierda, la función de filtro en el centro y la imagen con el mensaje en rosa a la derecha.

Otras técnicas y herramientas antiforenses pueden tener por objetivo dificultar el análisis en un escenario digital, por ejemplo, mediante:

  • la eliminación de la información,
  • la ofuscación de la información haciendo compleja su localización,
  • la generación de incertidumbre durante la investigación,
  • etc.

Es necesario hacer notar que, la aplicación en un computador por sus usuarios o administrador de esteganografía, criptografía e incluso de técnicas antiforense no implica necesariamente el empleo de ese equipo en algo ilegal o delictivo, pues pueden haber sido utilizadas como una medida adicional de protección de información, lo que es especialmente cierto en el caso de la criptografía que incluso puede haber normas legales que obliguen a su aplicación.

Criptología: Disciplina que engloba a la criptografía y al criptoanálisis. El término proviene del griego krypto, oculto, y logos, discurso.