FAQs Archive - Page 2 of 3 - Paramita Digital Forensics

Q: 3. Secure Startup and EDL

Secure Startup常常會與螢幕鎖混淆。現階段UFED尚無法解開Secure Startup，僅Cellebrite的CAS服務可以提供Secure Startup繞鎖服務。

Q: 2.4 為什麼Cellebrite會讓我選擇解密或非解密？

因為裝置可以由用戶取得後啟用加密，也有可能出廠時預設的狀態就是加密。既然decrypting模式也適用於non-decrypting裝置，那為什麼還要有兩個提取選項? 原因如下 1. Decrypting Bootloader需要6個程序，且手機須開機進入作業系統。 2. Non-Decrypting模式只需要2個程序，且手機不需要開機進入作業系統。 3. Non-Decrypting模式屬於低階提取，不會改變hash值，若手機有損傷，這是唯一可能提取的模式。 4. Decrypting模式需要開機，所以hash值每次提取都不一樣，若手機不是在飛航模式，或有訊號遮蔽的環境，手機有可能會被遠端刪除。

Q: 2.3 加密裝置使用non-decrypting模式提取?

一般而言，若裝置為已加密，解密的動作會是在裝置開機完成後，才掛載解密的分區。而透過EDL提取模式，UFED會要求裝置載入客製的Decrypting Bootloader，待裝置開機到一個特定的時間點，提取模式才會開始進行。 若使用non-decrypting模式提取時，UFED整個過程只要兩步驟就開始低階提取，不管裝置的eMMC或UFS的記憶體是否為加密，就直接提取binary映像檔。因為過程不會載入客製的Decrypting Bootloader來解密，分區也尚未解密，所以你只會看到一個全部都是1與0的加密映像檔。

Q: 2.2 Decrypting提取模式

若裝置為加密狀態，在4PC上請選擇“Smart Phones/PDAs Decrypting Qualcomm”。提取過程需要裝置開機進入到Android作業系統，有時須要進入兩次EDL模式，相對比較起來，會比non-decrypting方式麻煩。 同non-decrypting提取，decrypting EDL過程也不需要人機互動，所以即使裝置的螢幕已損壞，這個模式也可以成功提取內容，除非使用ADB decrypting方式或啟用了Secure Startup。

Q: 2.1 Non-Decrypting提取模式

若裝置並沒有加密，只要在4PC上的Generic Profile選取“Smart Phones/PDAs Qualcomm”，就可以簡易與快速的進行低階提取。過程裝置不需開機進入Android作業系統，也不須人機互動操作。若裝置嚴重損壞，這個是唯一個還有機會將裝置內所有資料提取出的方式。

Q: 2. Decrypting and non-decrypting的差別?

除了可以解密的差別之外，簡單講，non-decrypting提取相對簡單。在Cellebrite尚未提供EDL漏洞提取前，早期都是透過ISP或Chip-Off方式來進行物理提取。現在有了EDL漏洞，non-decrypting提取通常只要20分鐘，大幅縮短與降低了操作門檻。

Q: 1.7 EDL是否可以繞過螢幕鎖並進行提取?

不管是non-decrypting或decrypting EDL提取，都可以繞過螢幕鎖直接進行提取。但如果裝置有使用Secure Startup，則必須要知道Secure Startup的密碼，才可以進行提取。 注意，如果使用non-decrypting提取，裝置是不需要開機進入到Android作業系統，這個模式是透過晶片組的漏洞，進而要求處理器透過USB將裝置的儲存內容全部提取出來。 若是Decrypting提取，則Cellebrite會強制將手機開機後在RAM裡安裝客製的Decrypting Bootloader，裝置會開機並進入Android作業系統，如果裝置有螢幕鎖，該模式也可成功提取所有內容。

Q: 1.6 進入EDL模式對裝置是否會有影響?

一般來說，裝置進入到EDL模式算是相對安全的。進入EDL模式並不會造成裝置的任何影響，但只有在一個情況下例外。因為有好幾個方式可以讓裝置進到EDL模式，其中一個是透過短路方式。如果使用這個方式但接錯腳位時，有可能會造成損壞，所以必須非常小心。另外一個情況是，有可能需要拆開手機才能以找到短入腳位，拆裝過程也必須要小心。

Q: 1.5 是否所有的Qualcomm裝置都可以透過EDL模式提取?

簡單的答案，不行。雖然大多數的Qualcomm裝置都可以進入到EDL模式，但不代表就一定可以被提取。因為每個晶片組(chipset)的漏洞都不一樣，對Cellebrite來說，只要是新的晶片組，皆須投入大量的研發資源，才有可能找的到漏洞。如最多裝置使用的MSM8909晶片組，Cellebrite就支援decrypted提取。但如果是MSM8210，就無法使用EDL模式提取。 詳細EDL支援的晶片組，可以參考上一篇，物理提取。

Q: 1.4 什麼是EDL模式?

Shahar Tal在他的實用指南中描述了EDL，基本上這是高通(Qualcomm)的緊急下載模式(Emergency Download)。在這個模式中，允許對晶片組進行低階(low level)讀取、設備分析、修復或重新刷機，EDL模式不是由Cellebrite開發的，是高通公司處理器的一項功能。而Cellebrite和其他廠商利用這些功能的漏洞從設備中提取資料。