Quando você exclui um arquivo do disco rígido do seu computador, ele nunca desaparece. Com bastante esforço e habilidade técnica, muitas vezes é possível recuperar documentos e fotos antes considerados obliterados. Esses computadores forenses são uma ferramenta útil para a aplicação da lei, mas como eles realmente funcionam?
últimas postagens
Estabelecendo as bases legais
Antes de entrarmos nas questões técnicas, vale a pena discutir os aspectos legais e processuais chatos da computação forense no contexto da aplicação da lei.
Primeiro, vamos acabar com o velho mito de que um mandado é sempre necessário para que um policial examine um dispositivo digital como um telefone ou um computador. Embora esse seja frequentemente o caso, muitas “brechas” (por falta de uma palavra melhor) podem ser encontradas dentro da estrutura da lei.
Muitas jurisdições, como o Reino Unido e os Estados Unidos, permitem que as autoridades alfandegárias e de imigração examinem dispositivos eletrônicos sem um mandado. Os oficiais de fronteira americanos também podem examinar o conteúdo dos dispositivos sem um mandado se houver um fio iminente de evidência sendo destruído, conforme afirmado por um julgamento do 11º Circuito de 2018.
Quando comparados aos seus colegas americanos, os policiais do Reino Unido tendem a ter mais liberdade para apreender o conteúdo dos dispositivos sem precisar apresentar seu caso a um juiz ou magistrado. Eles podem, por exemplo, baixar o conteúdo de um telefone usando uma legislação chamada Lei de provas policiais e criminais (PACE), independentemente de haver acusações. No entanto, se a polícia finalmente decidir que deseja examinar o conteúdo, precisa da aprovação dos tribunais.
Legislação também dá à polícia do Reino Unido o direito de examinar dispositivos sem mandado em certas circunstâncias em que há uma necessidade urgente – como em um caso de terrorismo, ou onde há um medo genuíno de que uma criança possa ser explorada sexualmente.
Mas, em última análise, independentemente do “como”, quando um computador é apreendido, ele representa apenas o início de um longo processo que começa com um laptop ou telefone sendo removido em um saco plástico inviolável e muitas vezes termina com a apresentação de provas em um tribunal.
A polícia deve aderir a um conjunto de regras e procedimentos para garantir a admissibilidade das provas. As equipes de computação forense documentam cada movimento para que, se necessário, possam repetir as mesmas etapas e obter os mesmos resultados. Eles usam ferramentas específicas para garantir a integridade dos arquivos. Um exemplo é um “bloqueador de gravação”, projetado para permitir que profissionais forenses extraiam informações sem modificar inadvertidamente a evidência que está sendo examinada.
É essa base legal e rigor processual que determina se uma investigação forense de computador será bem-sucedida – não sofisticação técnica.
Pratos móveis, estojos móveis
Não obstante as questões legais, é sempre interessante observar os muitos fatores que podem determinar a facilidade com que os arquivos excluídos podem ser recuperados pela aplicação da lei. Isso inclui o tipo de disco que está sendo usado, se a criptografia estava em vigor e o sistema de arquivos da unidade.
Pegue os discos rígidos, por exemplo. Embora estes tenham sido amplamente superados por unidades de estado sólido (SSDs) mais rápidas, as unidades de disco rígido mecânicas (HDDs) foram o mecanismo de armazenamento predominante por mais de 30 anos.
Os HDDs usavam pratos magnéticos para armazenar dados. Se você já desmontou um disco rígido, provavelmente já observou como eles se parecem um pouco com CDs. Eles são circulares e de cor prata.
Quando em uso, esses pratos giram em velocidades incríveis – geralmente 5.400 ou 7.200 RPM e, em alguns casos, até 15.000 RPM. Conectados a esses pratos estão “cabeças” especiais que realizam operações de leitura e gravação. Quando você salva um arquivo no drive, essa “cabeça” se move para uma parte específica do prato e transforma uma corrente elétrica em um campo magnético, alterando assim as propriedades do prato.
Mas como ele sabe para onde ir? Bem, ele analisa algo chamado tabela de alocação, que contém um registro de cada arquivo armazenado em um disco. Mas o que acontece quando um arquivo é excluído?
A resposta curta? Não muito.
Aqui está a resposta longa: o registro desse arquivo é excluído, permitindo que o espaço ocupado no disco rígido seja substituído posteriormente. No entanto, os dados permanecem fisicamente presentes nos pratos magnéticos e só são realmente excluídos quando novos dados são adicionados a esse local específico no prato.
Afinal, excluí-lo exigiria que a cabeça magnética se movesse fisicamente para esse local no prato e o substituísse. Isso pode impedir outros aplicativos e diminuir o desempenho do computador. No que diz respeito aos discos rígidos, é mais simples fingir que os arquivos excluídos simplesmente não existem.
Isso torna a recuperação de arquivos excluídos muito mais fácil para a aplicação da lei. Eles só precisam recriar as partes que faltam na tabela de alocação, o que pode ser feito com ferramentas gratuitas, incluindo Recuva.
Sólido (Estado) como uma Rocha
Claro, os SSDs são diferentes. Não contêm partes móveis. Em vez disso, os arquivos são representados como elétrons mantidos por trilhões de transistores microscópicos de porta flutuante. Coletivamente, eles se combinam para formar chips flash NAND.
Os SSDs têm algumas semelhanças com os HDDs, na medida em que os arquivos só são excluídos quando são substituídos. No entanto, algumas diferenças importantes inevitavelmente complicam o trabalho dos profissionais de computação forense. E como os HDDs, os SSDs organizam os dados em blocos, com o tamanho variando muito entre os fabricantes.
A principal diferença aqui é que, para um SSD gravar dados, o bloco deve estar completamente vazio de conteúdo. Para garantir que o SSD tenha um fluxo constante de blocos disponíveis, o computador emite algo chamado “comando TRIM”, que informa ao SSD quais blocos não são mais necessários.
Para os investigadores, isso significa que, quando eles tentam encontrar arquivos excluídos em um SSD, eles podem descobrir que a unidade os colocou inocentemente muito além de seu alcance.
Os SSDs também podem espalhar arquivos em vários blocos na unidade para reduzir a quantidade de desgaste incorrido pelo uso diário. Como os SSDs podem suportar apenas um número finito de gravações, é importante que sejam distribuídos pela unidade, em vez de em um local pequeno. Essa tecnologia é chamada de nivelamento de desgaste e é conhecida por dificultar a vida dos profissionais forenses digitais.
Depois, há o fato de que os SSDs geralmente são mais difíceis de criar, porque muitas vezes você não pode removê-los fisicamente de um dispositivo.
Enquanto os discos rígidos são quase sempre substituíveis e conectados por meio de interfaces padrão, como IDE ou SATA, alguns fabricantes de laptops optam por soldar fisicamente o armazenamento à placa-mãe da máquina. Isso torna a extração do conteúdo de maneira forense muito mais difícil para os profissionais de aplicação da lei.
As verdadeiras complicações
Então, em conclusão: Sim, a aplicação da lei pode recuperar os arquivos que você excluiu. No entanto, os avanços na tecnologia de armazenamento e a criptografia generalizada complicaram um pouco as coisas.
No entanto, os problemas técnicos muitas vezes podem ser superados. Quando se trata de investigações digitais, o maior desafio enfrentado pela aplicação da lei não são os mecanismos das unidades SSD, mas sim a falta de recursos.
Não há profissionais treinados suficientes para fazer o trabalho. E o resultado final é que muitas forças policiais em todo o mundo enfrentam um acúmulo esmagador de telefones, laptops e servidores não processados.
Um pedido da Lei de Liberdade de Informação do jornal britânico The Times mostrou que as 32 forças policiais da Inglaterra e do País de Gales mais de 12.000 dispositivos pendentes de exame. O tempo para processar um dispositivo varia de um mês a mais de um ano.
E isso tem consequências. A base de qualquer sistema de justiça criminal justo é que os acusados tenham um julgamento rápido. Como diz o ditado, justiça atrasada é justiça negada. Este princípio é tão fundamentalmente importante que está até representado na Sexta Emenda da Constituição dos EUA.
Infelizmente, não é um problema facilmente solucionável sem que mais dinheiro seja gasto pelas forças em recrutamento e treinamento. Você não pode resolvê-lo com mais tecnologia.