Особенности осмотра изолированного профиля («второго пространства») мобильного средства связи при расследовании киберпреступлений

Уфа, Россия, ,

В структуре современной преступности наблюдается устойчивый рост деяний, совершаемых с использованием различных технических средств, преобладающей частью которых ввиду удобства эксплуатации являются мобильные устройства, зачастую выступающие в качестве инструмента связи, хранения данных или средства доступа к электронным средствам платежа.

Современные мобильные средства связи функционируют как сложные вычислительные устройства, обладающие возможностью создания изолированных пользовательских сред. Такие среды, как правило, реализуются в операционных системах семейства Android или HarmonyOS в виде специальных профилей – защищенных пространств, или «вторых пространств» (Second Space, Secure Folder, Private Space, Work Profile и др.)1.

Функционал, изначально задуманный производителями для разделения личных и служебных данных, получил популярность у лиц, совершающих киберпреступления, как эффективный способ сокрытия цифровых следов. Как показывает анализ материалов уголовных дел о преступлениях, совершенных с использованием информационно-телекоммуникационных технологий, изолированные пространства довольно часто используются профессиональными киберпреступниками для сокрытия противоправной деятельности, в том числе хранения запрещенного контента, использования альтернативных (задействованных в преступной деятельности) аккаунтов в приложениях, запуска средств анонимизации, сокрытия криптографических ключей или мнемофраз от электронных кошельков. В этой связи исследование изолированных пользовательских профилей мобильных средств связи приобретает особую значимость.

Обнаружение скрытых рабочих пространств в мобильных средствах связи под операционной системой android и особенности осмотра «второго пространства»

Следственный осмотр представляет собой непосредственное обнаружение и исследование объектов, имеющих значение для уголовного дела, их признаков, свойств, состояния и взаиморасположения [1, с. 528]. Основные цели следственного осмотра – обнаружение следов преступления и выяснение других обстоятельств, имеющих значение для расследования; к ним также можно отнести выявление и фиксацию признаков, которые в совокупности с имеющимися в уголовном деле данными могут служить основанием для признания предметов и документов вещественными доказательствами (ст. 176 УПК РФ).

В соответствии со ст. 177 УПК РФ осмотр мобильных средств связи должен осуществляться на месте производства следственного действия, однако если для осмотра требуется продолжительное время или осмотр на месте затруднен, осматриваемый объект упаковывается, опечатывается и заверяется подписью следователя. В дальнейшем его осмотр производится как самостоятельное следственное действие2. На основании сведений, полученных в ходе осмотра, следователь может выдвинуть версии о характере преступления и его участниках, способе совершения и др. В связи с этим целесообразно рассмотреть особенности проведения осмотра современных мобильных средств связи, функционирующих под операционной системой Android, для обнаружения в них скрытых рабочих пространств, активно используемых преступниками в противоправных целях.

Анализ типовых методик проведения осмотра мобильных устройств позволяет говорить об их сугубо обобщенном характере, порой – устаревании, шаблонном подходе к такому устройству исключительно как к «предмету» или классически реализованному мобильному средству связи, а также о «разрыве» между реальной потребностью практики и изложением базовых и общеизвестных теоретических положений.

Мобильное устройство, на котором реализована функция «второго пространства», является довольно сложным объектом криминалистического исследования. На практике часто возникают ситуации, когда при беглом осмотре устройства (социальные сети, мессенджеры, фотографии) следователь не обнаруживает криминалистически значимых для расследования сведений, поскольку они располагаются в изолированной области памяти, доступ к которой защищен паролем, биометрическим «отпечатком» или вовсе скрыт программным путем. Криминалистическое исследование данных, расположенных во «втором пространстве», как правило, производится тем же набором средств и методов, которые используются при анализе основного пространства операционной системы мобильного устройства, но если осмотр основного профиля пользователя осуществляется по типовой методике проведения осмотра средства связи, то выявление и исследование изолированной среды требует существенно бóльших времен-ны́ х и интеллектуальных затрат.

Для разработки эффективной методики осмотра изолированных пользовательских профилей мобильных средств связи необходимо понимание технической реализации скрытых сред на уровне операционной системы устройства. Изолированные профили в мобильных средствах связи реализуются на уровне пользовательских пространств (User space), файловых систем (Sandboxing) или криптографической изоляции (Encryption keys per profile) [2, p. 180; 3, p. 470]. Например, в устройствах марки Samsung реализована аппаратно защищенная среда Knox Secure Folder [4, p. 74], в устройствах марки Xiaomi формируется отдельный пользователь с собственной файловой системой MIUI Second Space [5, p. 256], а в устройствах Huawei и Honor – изолированная среда Magic UI Private Space [6, p. 19].

Не останавливаясь подробно на особенностях разграничения прав доступа в мобильных операционных системах, необходимо отметить, что в основе функционала «второго пространства», как правило, лежит штатный механизм операционной системы семейства Android – многопользовательский режим Multiuser или профили с управляемыми привязками Managed Profiles; согласно документации Android Open Source Project (AOSP) каждому пользователю выделяется отдельная директория в каталоге устройства /data/user и собственное изолированное хранилище3. Приложения, установленные в изолированном профиле, не имеют доступа к данным основного пользователя, что позволяет программным путем «создать» два формально независимых устройства на одном физическом носителе. Данный факт подтверждается популярной современной практикой установки пользователями мобильных устройств во «второе пространство» приложений, функционирование которых по определенным причинам обязательно, но нежелательно с точки зрения обеспечения безопасности личных данных.

Криминалистически значимым при исследовании «второго пространства» мобильного устройства является то, что данные изолированного профиля не удаляются при сбросе настроек основного профиля и требуют отдельного форматирования раздела данных. Однако при стандартном подключении устройства к компьютеру, например, через режим MTP (от англ. media transfer protocol – протокол передачи мультимедиафайлов), пользователь видит только файлы активного в данный момент профиля.

Производители различных устройств внедряют собственные программные решения, которые модифицируют стандартную архитектуру операционной системы, что требует дифференцированного подхода к осмотру мобильных средств связи. Для эффективного выявления криминалистически значимых сведений при проведении осмотра устройств с целью обнаружения «второго пространства» необходимо владеть комплексом знаний и навыков, которые в ряде случаев могут обеспечить исследование (осмотр) мобильного средства связи без проведения экспертизы. Для этого необходимо различать модификации различных архитектур построения рассматриваемого функционала.

Так, например, для устройств марки Samsung (архитектура Knox Secure Folder) «второе пространство» создает изолированный контейнер на уровне ядра KNOX, шифруемый аппаратным ключом eSE. Данные внутри изолированной среды не видны при стандартном логическом извлечении без ввода пароля от скрытой папки или без использования специализированных криминалистических средств, способных обходить защиту ядра KNOX. Стоит также отметить, что в моделях устройств с операционной системой Android версии 13 и выше обход шифрования программными средствами, как правило, в настоящее время вообще невозможен.

Для устройств Xiaomi реализован полноценный второй пользовательский профиль, при этом переключение между пространствами осуществляется через меню «Настройки» или отдельный ярлык. Отличительной особенностью данных устройств является то, что файловая система «второго пространства» монтируется только при активном входе в него. При осмотре устройства, находящегося в «первом пространстве», данные «второго пространства» в общем хранилище не отображаются.

Для устройств Huawei и Honor реализация изолированного пространства максимально схожа с MIUI Second Space от Xiaomi, но имеет особенность, связанную с возможностью полного сокрытия входа во «второе пространство» из настроек основного профиля, при этом для открытия скрытого профиля требуется ввод кода доступа в номеронабирателе или активация режима специально настроенным жестом.

Сам факт наличия изолированного профиля может быть установлен без доступа к его содержимому, для этого в ходе осмотра мобильного средства связи необходимо обращать внимание, например, на следующие цифровые «артефакты»:

– списки приложений App List, в которых могут фигурировать системные приложения или системные «менеджеры» изолированного пространства;

– файловая система с наличием, например, таких директорий, как /data/user/10 и т. п., если устройство было изъято в состоянии, позволяющем получить доступ к корневой файловой системе;

– логи установки Package Manager с записями о том, что приложение было установлено или запущено в профиле другого пользователя.

На практике выявление, равно как и осмотр «второго пространства», осложняется факторами, связанными с отсутствием явных признаков его наличия в интерфейсе устройства, скрытым режимом активации изолированной среды и маскировкой среды под системные функции. Косвенными признаками наличия «второго пространства» в ряде случаев могут выступать: наличие нескольких пользователей в системе, увеличенный объем занятой памяти на устройстве, наличие большого количества системных журналов (файлы logs), артефакты в файловой системе вида /data/system/users/ и т. п.

Основанием для производства осмотра мобильного средства связи является наличие у следователя достаточных данных о том, что в ходе процессуального действия будет получена информация, имеющая доказательственное значение для уголовного дела.

Осмотр мобильного средства связи проводится следователем, дознавателем, руководителем следственного органа либо органом дознания как по возбужденному уголовному делу, так и при проверке сообщения о преступлении, при этом понятые принимают участие в данном следственном действии по усмотрению следователя (в отсутствие понятых применение технических средств фиксации хода и результатов следственного действия обязательно). Для участия в осмотре мобильного средства связи при необходимости может приглашаться лицо, обладающее специальными знаниями, привлекаемое к участию в процессуальных действиях для содействия в обнаружении, закреплении и изъятии предметов и документов, применении технических средств в исследовании материалов уголовного дела, для постановки вопросов эксперту, а также для разъяснения сторонам и суду вопросов, входящих в его профессиональную компетенцию (ст. 58 УПК РФ), – специалист. Зачастую именно от знания косвенных признаков наличия скрытых пространств в устройстве зависит необходимость приглашения специалиста, который в дальнейшем окажет помощь в обнаружении, фиксации и изъятии следов преступления, в том числе при выявлении скрытых «признаков» осматриваемого средства.

При проведении осмотра мобильного устройства необходимо строго соблюдать правила обращения с техническими средствами, учитывая перспективу их дальнейшего экспертного исследования [7, с. 78]. В некоторых случаях проводить осмотр средства связи допустимо только после проведения экспертизы, чтобы исключить возможность утраты информации или изменения свойств осматриваемого объекта.

Отдельной проблемой при проведении осмотра мобильных средств связи и изолированных пользовательских профилей мобильных устройств является установление или получение от владельца кода (пароля) как от основного, так и от «второго пространства». В судебной практике сложился условный подход, согласно которому отказ от предоставления кода доступа к телефону или изолированному профилю (если есть основания полагать, что там хранятся криминалистически значимые сведения) может расцениваться как воспрепятствование производству следственных действий [8, с. 96]. Однако следует помнить, что отказ в предоставлении следствию доступа к мобильному устройству не может считаться подтверждением вины его владельца, поскольку это нарушает презумпцию неви- новности и конституционное право граждан на защиту своих прав и свобод (в виде правила nemo tenetur – права не свидетельствовать против себя)4 [9, с. 51]. В случае принятия за истину тезиса, что пароль – нейтральный ключ к доказательствам, попытка установить его не является истребованием цифровых данных. Таким образом, важно помнить, что обвиняемый защищен не только от непосредственно уличающих вопросов, он имеет более широкое право – на молчание [10, с. 70].

Если подозреваемый отказывается предоставить пароль, следователь не имеет права самостоятельно применять программные средства для подбора кода доступа, но вправе направить устройство на экспертизу, где эксперт, обладающий специальными знаниями и необходимыми программными средствами, может извлечь данные из изолированного профиля в рамках производства экспертизы. Если у следователя имеется пароль доступа к основному и (или) «второму пространству», можно руководствоваться следующим алгоритмом действий.

• 1.    Перевести устройство связи в авиарежим для недопущения изменения текущего его состояния и удаленного уничтожения информации⁵.

• 2.    Подключить устройство к сети питания (по возможности).

• 3.    Установить (со слов задержанного либо иным способом) и внести в протокол пароль доступа к устройству.

• 4.    Провести в присутствии понятых сброс парольной защиты для обеспечения дальнейшего свободного входа в мобильное устройство.

• 5.    Проверить наличие на устройстве изолированных пользовательских профилей.

• 6.    Выявить признаки наличия изолированного пользовательского профиля на мобильном средстве связи навигацией в меню настроек операционной системы.

  • 6.1.    Проверить в меню «Настройки», пункт «Пользователи и аккаунты», наличие записей «Гость», «Второе пространство» или «Безопасная папка», проверить список установленных приложений на наличие разделов Secure Folder, Second Space, Parallel Space, Shelter и т. п., а также шторки уведомлений на наличие иконки переключения профилей пользователей.

  • 6.2.    Извлечь информацию (если изолированный профиль активен (например, устройство находится в «безопасной папке» при изъятии) или подозреваемый добровольно предоставил доступ – производится фото- или видеосъемка содержимого), зафиксировать приложения внутри изолированного профиля.

  • 6.3.    Составить перечень файлов, расположенных в загрузках, галерее, данных в телефонной книге и прочих криминалистически значимых сведений.

• 7.    Проверить сервисы и мессенджеры, функционирующие на момент осмотра, отключить в настройках функцию автоматического удаления сообщений (при обнаружении защищенных паролем сервисов и мессенджеров установить пароль и внести его в протокол).

• 8.    Зафиксировать переписку и другую значимую информацию путем создания снимков экрана или фотосъемки изображений на экране осматриваемого устройства.

• 9.    Проверить историю установленных на устройстве браузеров в целях определения посещаемых веб-ресурсов.

• 10.    При выявлении запрещенных вебресурсов установить и зафиксировать в протоколе пользовательские учетные данные для доступа к ним.

• 11.    Проверить устройство на наличие программного обеспечения, способного отслеживать действия пользователя, в случае обнаружения принять меры для его отключения.

• 12.    Осмотреть перечень программного обеспечения, фиксирующего заметки пользователя, календари, ежедневники, файлы и документы на наличие в них учетных данных, а также другой значимой информации.

• 13.    Проверить хранилище графических изображений на наличие фотоизображений,

• 14.    По результатам осмотра составить протокол осмотра предмета (мобильного средства связи) с приложением фототаблиц.

• 15.    В случае невозможности извлечения данных из-за блокировки устройства вынести постановление о назначении компьютерно-технической экспертизы.

а также иной информации, позволяющей изобличить преступника.

При описании внешнего вида телефона в протоколе осмотра следует отразить: наименование, марку, размеры, цвет, конструкцию, материал, из которого изготовлено устройство; модель и ее характеристики; фоновый рисунок или иные особенности визуального отображения; имя владельца на дисплее; наличие повреждений; наличие изолированных пользовательских профилей [11, с. 47].

В ходе проведения осмотра мобильного средства связи следует также установить:

• –    уникальный IMEI-код (от англ. international mobile equipment identity – международный идентификатор мобильного оборудования) средства связи путем набора на мобильном устройстве комбинации *#06# [12, с. 23];

• –    абонентский номер, идентифицирующий элемент сети связи, путем набора комбинации клавиш, определенной оператором связи;

• –    информацию о соединениях между абонентскими устройствами, например, путем создания личного кабинета пользователя, использования приложения от оператора связи либо веб-версии личного кабинета абонента с целью извлечения детализации разговоров и обмена сообщениями (с письменного согласия владельца);

• –    данные об IP-адресе и MAC-идентификаторе, количестве слотов для SIM-карты, видах операторов, определенных устройством, и IMEI-кодах путем детального осмотра технического средства встроенными средствами операционной системы;

• –    сохраненные данные о беспроводных устройствах и подключениях (в разделе расширенных свойств имеются данные о MAC-адресе устройства, с которого осуществлялась раздача, и выделенный IP-адрес);

• –    данные об аккаунте и привязанных банковских картах, в том числе виртуальных электронных кошельках (в приложениях, мессенджерах).

Установленный IMEI-код сразу же в ходе осмотра можно проверить путем использования специальных сервисов (например, на сайте 6. Широкий спектр возможностей позволяет не только удостовериться в действительности IMEI-кода технического средства без постороннего вмешательства в программное обеспечение, но и перепроверить в базах данных информацию о его утере или хищении. Полученная информация отражается в протоколе с описанием процедуры получения сведений.

Информация о соединениях между абонентами может быть получена в ходе как осмотра сотового телефона путем использования подключенного личного кабинета, так и направления запроса оператору связи. При направлении запроса следует требовать информацию о базовых станциях с указанием азимутов обслуживания абонента. Кроме того, возможно использование сайтов, позволяющих установить координаты базовых станций, определить с помощью карт, размещенных в сети Интернет, местонахождение абонента.

Представленный порядок осмотра мобильных устройств с отражением особенностей выявления и исследования изолированных пользовательских профилей имеет прикладное значение для практики расследования киберпреступлений, обеспечивая преодоление разрыва между техническими возможностями сокрытия криминалистически значимой информации и механизмами ее поиска, фиксации, извлечения, исследования и проверки, позволяя в ряде случаев подтвердить факт наличия скрытого раздела памяти еще до получения доступа к его содержимому.

Стоит обратить особое внимание на то, что мобильные устройства под управлением операционной системы Android популярны у лиц, совершающих киберпреступления, что имеет определенные основания, которые необходимо учитывать при разработке криминалистических методик расследования указанных преступных деяний.

Привлекательность любой технологической платформы для киберпреступников определяется рядом факторов, например, рас- пространенностью ее использования, средствами или возможностями, предоставляемыми данной платформой. Операционная система Android – единственная мобильная программная оболочка, в которой указанные факторы достигают уровня, сопоставимого с экосистемой Windows от Microsoft, позволяющей гибко настраивать программные средства под конкретные нужды пользователя и варьировать установкой сборок (прошивок или кастомных версий программного обеспечения), ориентированных на обеспечение анонимности в сети Интернет.

Мотив киберпреступников при выборе мобильных средств под управлением системы Android для использования в противоправной деятельности обусловлен масштабом пользовательской базы. По официальным статистическим данным сервиса веб-аналитики StatCounter, устройства на базе Android занимают доминирующее положение на мировом рынке мобильных устройств (более 68 % от общего объема мобильных систем)7, что создает сравнительно бóльшую выборку доступных для эксплуатации устройств.

Кроме того, в системе Android предоставлен широкий арсенал программируемых средств, который может использоваться киберпреступниками, что обусловлено архитектурными особенностями программной оболочки, в частности открытостью экосистемы (в отличие от системы iOS, где распространение приложений контролируется через магазин приложений App Store с обязательной верификацией личности разработчика, система Android позволяет устанавливать программное обеспечение из любых источников). Наличие таких преимуществ, в частности инструментов клонирования и изоляции рабочих пространств и разделения учетных записей в системе Android, активно используется преступниками для создания защищенных сред в противоправных целях.

Заключение

Предложенный криминалистический алгоритм осмотра мобильных средств связи с отражением возможности выявления и осмотра изолированных профилей представляет собой своеобразный «отклик» на комплекс вызовов, порожденных архитектурными особенностями преобладающей в настоящее время в технических средствах киберпреступников операционной системы Android.

Прикладное значение исследования заключается в возможности использования адаптированного под нужды практики алгоритма действий при обнаружении признаков наличия изолированного профиля в мобильном средстве связи, включающего фиксацию факта «второго пространства» и порядок действий по его осмотру.

С развитием мобильных операционных систем и внедрением аппаратных модулей защиты классические методы логического извлечения данных [13, с. 120] становятся менее эффективными, кроме того, в обозримом будущем прогнозируется увеличение доли устройств, где изолированные профили будут защищены специальными чипами безопасности eSE [14, p. 301928], не поддающимися программному обходу даже в условиях экспертного исследования.

Таким образом, можно сделать вывод, что изолированные профили мобильных средств связи, представляя собой довольно сложные объекты для криминалистического исследования, требуют от следователя и специалиста не только знания порядка проведения осмотра основного пространства мобильного устройства или процессуальных особенностей фиксации, изъятия или исследования цифровых следов из защищенных контейнеров без нарушения целостности доказательственной информации, но и понимания процессуальных границ допустимого вмешательства, владения знаниями о файловой системе и архитектуре операционной системы Android, принципов их функционирования, механизмов шифрования данных внутри изолированных сред, методов их обнаружения и «обхода» программных барьеров. Соответственно, разработанный алгоритм осмотра мобильных средств связи с функцией изолированных пользовательских профилей является одним из составных элементов системы противодействия киберпреступности в условиях доминирования на рынке Android-устройств.