Bir telefon incelemesi raporunu açınca ilk sayfalarda genelde aynı adlar görünür: UFED, Physical Analyzer, bazen Inseyets, ekte de bir .ufdr dosyası. Hepsi Cellebrite'ın ürünü ve aynı zincirin farklı halkaları. Hangisinin ne yaptığını bilmek, raporda neyin olabileceğini ve neyin olamayacağını anlamanın en kısa yolu.
Cellebrite ürünleri: hangisi ne yapar?
| Ürün | Ne yapar | Kimin elinde |
|---|---|---|
| UFED (bugün Inseyets.UFED) | Telefondan veriyi alır: mantıksal, dosya sistemi ya da fiziksel edinim | Kolluk inceleme birimleri, lisanslı inceleyiciler |
| Premium | Kilitli iPhone'lar ve üst segment Android'ler için kilit aşma ve tam dosya sistemi edinimi | Kolluk |
| Physical Analyzer (bugün Inseyets.PA) | Edinimi açar, veri tabanlarını çözümler, silinmiş kayıt izlerini arar, rapor üretir | İnceleyici |
| Reader | Physical Analyzer'ın ürettiği UFDR raporunu gösterir; ücretsiz | Savcı, hâkim, avukat, taraf |
| Pathfinder | Telefon, bulut, arama kaydı (CDR), e-posta gibi otuzdan fazla kaynağı birleştirip analiz eder | Soruşturma birimleri |
Inseyets adı kafa karıştırıyor. Cellebrite, 1 Ocak 2024 tarihli 10.0 sürümüyle UFED ve Physical Analyzer Ultra'yı bu ad altında topladı; bileşenleri Inseyets.UFED ve Inseyets.PA. Bu yüzden 2024'ten önceki raporlarda “Physical Analyzer 7.x” ya da “UFED 4PC 7.x”, sonrakilerde “Inseyets PA 10.x” görmek normal. İki farklı program değil, aynı programın iki dönemi.
UFED telefondan ne alabiliyor?
Bu sorunun tek bir cevabı yok, çünkü UFED'in yapabildiği şey her telefon modeli ve işletim sistemi sürümü için ayrı. Cellebrite desteklediği cihazları ve hangi edinim türünün mümkün olduğunu kendi listelerinde yayımlıyor. Raporda bakılacak alan “Extraction type” ya da edinim türü: Logical, Advanced Logical, Full File System, Physical gibi değerler yazar. Mantıksal bir edinim, uygulamaların yedeğe izin vermediği verileri içermez. Tam dosya sistemi ediniminde uygulama veri tabanları, konum ve kullanım kayıtları da gelir. Edinim türlerinin neyi kapsayıp neyi kaçırdığını telefon incelemesi yazısında tablo halinde anlattık.
Telefonun kilit durumu da bu listeyi değiştirir. Yeniden başlatıldıktan sonra hiç açılmamış bir iPhone'da uygulama verisinin büyük kısmı şifreli kalır; aynı telefon el konulduğunda açık ve kilidi bir kez açılmış durumdaysa çok daha fazla veri alınabilir. Bu ayrıntının teknik açıklaması mobil cihaz incelemesi sayfasında.
Physical Analyzer veriyi nasıl okuyor?
Telefondan gelen veri, binlerce dosya ve onlarca SQLite veri tabanından oluşan bir yığın. Physical Analyzer'ın asıl işi bu yığını tanımak: hangi dosyanın WhatsApp veri tabanı, hangi tablonun mesaj, hangi sütunun saat olduğunu bilmek ve bunları ortak bir görünüme dökmek. Program bunu her uygulama için ayrı yazılmış çözümleyicilerle yapar.
Sorunlar da çoğu zaman burada çıkar. Bir uygulama güncellendiğinde veri tabanının yapısı değişebilir; çözümleyici henüz güncellenmemişse mesajlar eksik ya da yanlış alanla gelir. Saat başka bir sorun: veri tabanında saat genellikle UTC olarak durur ve rapordaki saat, inceleyicinin seçtiği saat dilimi ayarına göre gösterilir. Rapordaki bir saatin gerçek saatle üç saat farklı olmasının en yaygın sebebi bu ayar. Ayrıntısı zaman damgası ve saat dilimi yazısında.
Programın “silinmiş” diye işaretlediği bir kayıt da yorum ister. Bu işaret, kaydın veri tabanının boş alanından ya da yan dosyasından kurtarıldığını gösterir; ne zaman ve kim tarafından silindiği ise ayrıca gösterilmesi gereken bir şey.
Reader ve UFDR: size gelen dosya
Physical Analyzer'da raporu hazırlayan kişi biçim olarak “UFDR”yi seçtiğinde, Cellebrite Reader ya da Pathfinder ile açılabilen bir paket oluşur. Hazırlayan kişi isterse Reader'ı paketin içine ekler, isterse rapora parola koyar ya da yalnızca Cellebrite ürünleriyle açılacak şekilde kısıtlar (UFED 7.2'den beri). Reader ücretsiz; ama yalnızca gösterir, yeni bir çözümleme yapmaz.
Akılda tutulması gereken şey şu: UFDR, edinimin tamamı değildir. İnceleyicinin seçtiği, çoğu zaman etiketlediği kayıtlardan oluşur. Raporda görünmeyen bir mesaj imajda olabilir. Tam veriye ulaşmanın yolu UFDR değil, CMK m.134/4 gereği verilen yedek kopyası. Dosyayı açma adımları, sık hatalar ve Reader'ın olmadığı durumda ne yapılacağı UFDR dosyası nasıl açılır yazısında.
Cellebrite raporunda bakılacak yerler
- Program ve sürüm. “Inseyets PA 10.x” ya da “Physical Analyzer 7.x” gibi. Sürüm, hangi çözümleyicilerin kullanıldığını belirler.
- Edinim türü ve tarihi. Mantıksal mı, tam dosya sistemi mi? El koyma ile edinim arasında ne kadar zaman geçmiş?
- Hash değeri. Raporun başında edinim dosyasının özeti yazmalı; size verilen yedek kopyasının özeti bununla aynı olmalı. Kendiniz hesaplamak için hash hesaplama aracı var.
- Saat dilimi ayarı. Raporun genel bilgiler bölümünde yazar.
- Kaynak. Her mesajın, aramanın ya da fotoğrafın yanında “Source” bilgisi bulunur: kaydın hangi dosyadan, hangi veri tabanından geldiği. Bir bulguya itiraz edilecekse ilk bakılacak yer burası.
Cellebrite tek seçenek değil. Aynı işleri yapan Magnet Axiom, Oxygen Forensic Detective, MSAB XRY ve MOBILedit Forensic gibi programlar da var; bir bulguyu ikinci bir programla doğrulamak iyi bir alışkanlık. Hepsinin karşılaştırması adli bilişim programları yazısında.