botherder/androidqfPortables forensisches Erfassungstool für Android-Geräte, das über USB-Debugging relevante Daten sammelt, um potenzielle Spionage- oder Kompromittierungsspuren zu identifizieren, mit optionaler Age-Verschlüsselung für einen sicheren Transport.
HINWEIS: Dieses Projekt wird derzeit nicht gewartet. Ein unabhängiger Fork ist im MVT Project zu finden.
androidqf (Android Quick Forensics) ist ein portables Werkzeug, um die Erfassung relevanter forensischer Daten von Android-Geräten zu vereinfachen.
Ausführbare Binärdateien für Linux, Windows und Mac sollten im aktuellen Release verfügbar sein. Falls Probleme beim Ausführen der Binärdatei auftreten, möchtest du sie vielleicht selbst erstellen.
Um androidqf zu erstellen, musst Go 1.18+ installiert sein. Außerdem musst du make installieren. Wenn du bereit bist, kannst du das Repository klonen und einen der folgenden Befehle für deine Plattform ausführen:
make linux
make darwin
make windows
Diese Befehle erzeugen Binärdateien im Ordner build/.
Bevor du androidqf startest, muss das Ziel-Android-Gerät per USB mit deinem Computer verbunden und USB-Debugging aktiviert sein. Wie das geht, findest du in der offiziellen Dokumentation. Beachte jedoch, dass Android-Telefone verschiedener Hersteller möglicherweise unterschiedliche Navigationsschritte erfordern.
Sobald USB-Debugging aktiviert ist, kannst du androidqf starten. Es wird zunächst versuchen, eine Verbindung zum Gerät über die USB-Brücke herzustellen, was dazu führt, dass das Android-Telefon dich auffordert, die Host-Schlüssel manuell zu autorisieren. Stelle sicher, dass du sie autorisierst – idealerweise dauerhaft, damit die Abfrage nicht erneut erscheint.
Jetzt sollte androidqf ausgeführt werden und einen Erfassungsordner am selben Pfad erstellen, an dem du die androidqf-Binärdatei platziert hast. Während der Ausführung wird androidqf dich einige Auswahlmöglichkeiten abfragen: Diese Abfragen pausieren die Datensammlung, bis du eine Auswahl triffst – also achte darauf.
Sobald die Erfassung abgeschlossen ist, solltest du USB-Debugging und die Entwickleroptionen deaktivieren oder das Gerät auf jeden Fall in den ursprünglichen Zustand versetzen.
Das Mitführen der androidqf-Erfassungen auf einem unverschlüsselten Laufwerk kann dich – und noch mehr die Personen, von denen du Daten erfasst hast – einem erheblichen Risiko aussetzen. Zum Beispiel könntest du an einer problematischen Grenze angehalten werden und dein androidqf-Laufwerk könnte beschlagnahmt werden. Die Rohdaten könnten nicht nur den Zweck deiner Reise offenlegen, sondern enthalten wahrscheinlich auch sehr sensible Daten (z. B. eine Liste installierter Apps oder sogar SMS-Nachrichten).
Idealerweise solltest du das Laufwerk vollständig verschlüsselt haben, aber das ist möglicherweise nicht immer möglich. Du könntest auch erwägen, androidqf in einen VeraCrypt-Container zu legen und eine Kopie von VeraCrypt mitzuführen, um ihn zu mounten. VeraCrypt-Container sind jedoch in der Regel nur durch ein Passwort geschützt, das du möglicherweise preisgeben musst.
Alternativ erlaubt androidqf, jede Erfassung mit einem bereitgestellten age-öffentlichen Schlüssel zu verschlüsseln. Vorzugsweise gehört dieser öffentliche Schlüssel zu einem Schlüsselpaar, für das der Endbenutzer den privaten Schlüssel nicht besitzt – oder zumindest nicht mit sich führt. Auf diese Weise könnte der Endbenutzer die erfassten Daten selbst unter Zwang nicht entschlüsseln.
Wenn du eine Datei namens key.txt im selben Ordner wie die androidqf-Binärdatei ablegst, wird androidqf automatisch versuchen, jede Erfassung zu komprimieren, zu verschlüsseln und die ursprünglichen unverschlüsselten Kopien zu löschen.
Sobald du eine verschlüsselte Erfassungsdatei erhalten hast, kannst du sie mit age wie folgt entschlüsseln:
$ age --decrypt -i ~/pfad/zum/privaten-schluessel.txt -o <UUID>.zip <UUID>.zip.age
Bedenke, dass es immer möglich ist, dass zumindest ein Teil der unverschlüsselten Daten durch fortschrittliche forensische Techniken wiederhergestellt werden kann – obwohl wir daran arbeiten, dies zu verhindern.
Zweck von androidqf ist es, die freiwillige forensische Analyse von Geräten derjenigen zu erleichtern, die möglicherweise Ziel von hochentwickelten mobilen Spyware-Angriffen sind – insbesondere Mitglieder der Zivilgesellschaft und marginalisierte Gemeinschaften. Wir möchten nicht, dass androidqf Verletzungen der Privatsphäre nicht einwilligender Personen ermöglicht. Daher besteht das Ziel dieser Lizenz darin, die Nutzung von androidqf (und anderer gleich lizenzierter Software) zum Zweck der kontradiktorischen Forensik zu verbieten.
Um dies zu erreichen, wird androidqf unter der MVT-Lizenz 1.1 veröffentlicht, einer Anpassung der Mozilla Public License v2.0. Diese modifizierte Lizenz enthält eine neue Klausel 3.0, „Nutzungseinschränkung auf Einwilligung", die die Nutzung der lizenzierten Software (und aller daraus abgeleiteten „Größeren Werke") ausschließlich mit ausdrücklicher Einwilligung der Person/en gestattet, deren Daten extrahiert und/oder analysiert werden („Dateninhaber").