botherder/androidqfAndroidデバイス向けのポータブルフォレンジック取得ツール。USBデバッグを介して関連データを収集し、潜在的なスパイウェアや侵害の痕跡を特定。オプションでage暗号化を使用して安全に転送可能。
注記：このプロジェクトは現在メンテナンスされていません。独立したフォークは MVT Project にあります。
androidqf（Android Quick Forensics）は、Android デバイスから関連するフォレンジックデータを簡単に取得するためのポータブルツールです。
Linux、Windows、Mac 用の実行可能バイナリは、最新リリース で入手できるはずです。バイナリの実行に問題がある場合は、自分でビルドしてみてください。
androidqf をビルドするには、Go 1.18 以降がインストールされている必要があります。また、make のインストールも必要です。準備ができたらリポジトリをクローンし、対象のプラットフォームに応じて以下のコマンドのいずれかを実行してください。
make linux
make darwin
make windows
これらのコマンドは、build/ フォルダにバイナリを生成します。
androidqf を起動する前に、対象の Android デバイスを USB 経由でコンピュータに接続し、USB デバッグを有効にしておく必要があります。その方法については 公式ドキュメント を参照してください。ただし、Android スマートフォンはメーカーによってデフォルトとは異なる操作手順が必要な場合があることに注意してください。
USB デバッグが有効になったら、androidqf を起動します。まず USB ブリッジ経由でデバイスへの接続を試み、Android スマートフォンにホストキーの手動認証を求めるプロンプトが表示されます。認証を許可し、できれば今後プロンプトが表示されないように永続的に許可してください。
これで androidqf が実行され、androidqf バイナリを配置した同じパスに取得フォルダが作成されます。実行中のある時点で、androidqf はいくつかの選択肢を表示します。これらのプロンプトは選択が行われるまで取得を一時停止するので、注意してください。
取得が完了したら、USB デバッグと開発者向けオプションを必ず無効にし、デバイスを元の設定に戻すか、少なくとも元の状態に復元してください。
androidqf の取得データを暗号化されていないドライブで持ち運ぶと、自分自身、さらにはデータを取得した人物を大きなリスクにさらす可能性があります。たとえば、問題のある国境で止められ、androidqf ドライブを押収されるかもしれません。生データは旅行の目的を明らかにするだけでなく、インストールされたアプリケーションのリストや SMS メッセージなど、非常に機密性の高いデータを含んでいる可能性が高いです。
理想的にはドライブ全体を暗号化すべきですが、それが常に可能とは限りません。VeraCrypt コンテナ内に androidqf を配置し、マウント用の VeraCrypt のコピーも一緒に持ち運ぶことも検討できます。ただし、VeraCrypt コンテナは通常パスワードだけで保護されており、そのパスワードを強要される可能性があります。
別の方法として、androidqf では各取得データを指定した age 公開鍵で暗号化できます。理想的には、この公開鍵はエンドユーザーが秘密鍵を所持していない（少なくとも持ち運ばない）鍵ペアに属するものです。これにより、エンドユーザーは強制された場合でも取得データを復号できないようになります。
androidqf 実行可能ファイルと同じフォルダに key.txt というファイルを配置すると、androidqf は自動的に各取得データを圧縮・暗号化し、暗号化されていない元のコピーを削除します。
暗号化された取得ファイルを入手したら、次のように age で復号できます。
$ age --decrypt -i ~/path/to/privatekey.txt -o <UUID>.zip <UUID>.zip.age
念のため、高度なフォレンジック技術によって暗号化されていないデータの少なくとも一部が復元される可能性は常にあります（ただし、それを軽減するための作業も行っています）。
androidqf の目的は、高度なモバイルスパイウェア攻撃の標的となる可能性のある人々（特に市民社会や疎外されたコミュニティのメンバー）のデバイスの同意に基づくフォレンジック分析を容易にすることです。androidqf が同意しない個人のプライバシー侵害を可能にすることを望んでいません。したがって、このライセンスの目的は、敵対的フォレンジックの目的で androidqf（および同じライセンスの他のソフトウェア）を使用することを禁止することです。
これを実現するために、androidqf は MVT License 1.1 のもとで公開されています。これは Mozilla Public License v2.0 を改変したものです。この改変ライセンスには、新しい条項 3.0「同意に基づく使用制限」が含まれており、ライセンスされたソフトウェア（およびそれから派生した「より大きな著作物」）の使用は、データが抽出・分析される人物（「データ所有者」）の明確な同意がある場合にのみ許可されます。