A análise pericial do iPhone de Daniel Vorcaro trouxe à discussão arquivos temporários, registros de sistema, metadados e outros vestígios digitais. O caso ajuda a compreender por que segurança de comunicação envolve muito mais do que escolher um aplicativo.
O que são rastros digitais? Especialista em perícia digital explica o caso Vorcaro:
Para o perito digital e especialista em computação forense José Milagre, o caso Vorcaro ajuda a demonstrar que rastros digitais não se resumem às mensagens, fotos e arquivos que o usuário consegue visualizar no iPhone. Uma perícia digital pode identificar e correlacionar diferentes vestígios produzidos pelo sistema operacional e pelos aplicativos, como arquivos temporários, caches, registros de atividade, timestamps, metadados e informações armazenadas em bancos de dados. No caso analisado, a correlação entre diferentes artefatos encontrados no dispositivo ganhou relevância para a reconstrução de uma linha do tempo. “O ponto central é compreender que a interface mostra apenas uma parte da atividade do dispositivo. Na perícia digital, um vestígio isolado pode dizer pouco; seu significado depende da origem, do contexto e da correlação com outros elementos”, explica Milagre.
Quando uma mensagem desaparece da tela, o que realmente desapareceu? Para o usuário, muitas vezes a resposta parece simples: se o conteúdo não está mais disponível no aplicativo, ele deixou de existir.
Do ponto de vista da computação forense, porém, a resposta pode ser bem diferente.
Sistemas operacionais e aplicativos executam inúmeras operações em segundo plano. Algumas delas podem produzir arquivos temporários, registros, caches, metadados e outros artefatos que não são apresentados ao usuário na interface convencional.
Isso não significa que tudo o que foi apagado possa ser recuperado. Tampouco significa que um artefato encontrado seja suficiente para provar autoria, intenção ou responsabilidade.
Significa apenas que aquilo que enxergamos na tela representa uma parte do que acontece dentro de um dispositivo digital.
E essa diferença é extremamente relevante tanto para a perícia quanto para a segurança e a privacidade.
Um caso que ajuda a entender o problema
A recente divulgação de informações sobre a análise pericial realizada no iPhone de Daniel Vorcaro trouxe um exemplo concreto desse fenômeno.
Segundo o relatório pericial, foram identificados diferentes vestígios relacionados a uma sequência de comunicação.
A análise indicou uma dinâmica na qual determinado conteúdo era preparado no dispositivo, capturado como imagem e posteriormente enviado por meio de um recurso de visualização única. A expectativa natural de muitos usuários é que, depois da visualização, aquele conteúdo simplesmente deixe de existir.
A perícia, entretanto, identificou outros artefatos no dispositivo, inclusive arquivos temporários associados ao conteúdo analisado. Além disso, diferentes registros apresentavam horários próximos, permitindo que fossem examinados em conjunto para a construção de uma linha temporal dos eventos.
O objetivo aqui não é analisar o mérito da investigação, atribuir responsabilidades ou emitir juízo sobre as pessoas envolvidas, mas utilizar os aspectos técnicos divulgados no caso para compreender como dispositivos podem produzir e preservar vestígios digitais.
Uma ressalva indispensável
Um arquivo encontrado em um dispositivo não conta, sozinho, toda uma história. A presença de determinado artefato não estabelece automaticamente quem o produziu, por qual razão foi produzido ou qual interpretação jurídica deve receber.
Perícia digital exige contexto
Quando utilizada em uma investigação ou processo, a interpretação desses vestígios pode ser examinada tecnicamente, confrontada com outros elementos e submetida ao contraditório.
A interface não é o sistema
Quando utilizamos um smartphone, interagimos principalmente com a interface: mensagens, fotografias, documentos, aplicativos e notificações.
Por trás dessa camada, porém, existe uma quantidade muito maior de operações.
Dependendo do sistema operacional, da versão instalada, do aplicativo, das configurações e da própria atividade realizada, podem existir vestígios como:
- arquivos temporários;
- caches;
- bancos de dados utilizados por aplicativos;
- registros e eventos do sistema;
- datas e horários associados a operações;
- metadados;
- miniaturas e arquivos derivados;
- informações de sincronização;
- registros associados a aplicativos e serviços.
Muitos desses elementos são produzidos automaticamente pelo funcionamento normal do sistema e podem nem aparecer para o usuário na interface. É justamente por isso que uma análise forense não se limita ao que alguém consegue encontrar navegando pelo aparelho.
Visualização única não significa ausência absoluta de vestígios
Recursos como mensagens temporárias ou visualização única têm finalidades legítimas de privacidade e podem reduzir a disponibilidade convencional de determinado conteúdo.
Mas é importante compreender exatamente o que esses recursos prometem.
Impedir que um conteúdo continue disponível normalmente dentro de uma conversa não significa necessariamente eliminar qualquer vestígio relacionado àquela atividade em todo o ambiente computacional.
Podem existir registros no próprio dispositivo, em componentes do sistema operacional, em aplicativos relacionados, em backups, sincronizações ou outros endpoints envolvidos na comunicação.
Isso também não significa o contrário: não é correto afirmar que qualquer conteúdo apagado sempre poderá ser recuperado.
A possibilidade de localização de vestígios depende de diversos fatores, incluindo o estado do dispositivo, o tempo transcorrido, o uso posterior, a arquitetura do sistema e do aplicativo e os mecanismos de armazenamento envolvidos.
O tempo também importa na perícia digital
Arquivos temporários são, por definição, temporários. Um sistema pode reutilizar determinadas áreas de armazenamento, remover arquivos, alterar bancos de dados e sobrescrever informações durante sua utilização normal.
Por isso, o estado do dispositivo no momento em que ocorre uma coleta forense pode influenciar significativamente aquilo que estará disponível para análise.
Essa é uma das razões pelas quais preservação é um conceito central em evidência digital.
Não basta apenas possuir o dispositivo. Importam também as condições de coleta, preservação, extração e análise dos dados.
Um vestígio isolado pode dizer pouco. A correlação pode dizer muito mais.
Imagine quatro elementos encontrados separadamente:
um screenshot;
um arquivo temporário;
um registro de atividade;
e um horário.
Cada um deles, isoladamente, pode admitir diferentes explicações.
Quando diversos elementos independentes apresentam compatibilidade temporal e contextual, entretanto, o analista pode avaliar se existe uma sequência tecnicamente coerente entre eles.
Essa é uma característica importante da computação forense.
A análise não deveria depender de uma única “prova mágica”, mas da correlação entre diferentes vestígios.
Ao mesmo tempo, correlação não elimina a necessidade de cautela. Uma linha do tempo é uma construção técnica baseada nos dados disponíveis e na visão do perito e precisa considerar limitações, hipóteses alternativas, diferenças de relógio, características das ferramentas utilizadas e contexto.
E os metadados?
Metadados também podem contribuir para uma investigação.
Um documento pode conter informações relacionadas, por exemplo, a autor, datas de criação e modificação, software utilizado e outras propriedades.
Esses dados podem ajudar a compreender a história de determinado arquivo.
Mas existe uma ressalva fundamental: metadado não é sinônimo de autoria.
O simples fato de determinado nome aparecer no campo “autor” de um documento não demonstra, isoladamente, que aquela pessoa efetivamente escreveu o conteúdo.
Algumas propriedades de documentos podem ser alteradas ou removidas. Por isso, precisam ser analisadas em conjunto com outros elementos técnicos e contextuais e jamais consideradas isoladamente.
Na prática forense, metadados são mais uma peça do quebra-cabeça, e não uma assinatura incontestável de quem realizou determinada ação ou edição em um documento.
Tentar eliminar uma informação pode gerar novas operações no sistema
Existe aqui uma questão contraintuitiva.
Uma pessoa sem conhecimento sobre o funcionamento interno de um dispositivo ou sobre blindagem de comunicações pode acreditar que determinada sequência de ações está simplesmente reduzindo a quantidade de informações existentes.
Mas cada interação com o sistema pode produzir novas operações.
Abrir, copiar, converter, capturar, compartilhar, mover ou manipular um conteúdo pode envolver diferentes componentes do sistema operacional e dos aplicativos.
Dependendo do ambiente, essas operações podem produzir novos arquivos temporários, registros, alterações em bancos de dados, metadados ou outros artefatos.
Isso não significa que toda ação necessariamente produzirá vestígios recuperáveis.
A lição é mais simples: não é possível avaliar exposição digital olhando apenas para aquilo que aparece na tela.
Conhecer o funcionamento técnico do ambiente é parte essencial de qualquer estratégia séria de privacidade.
Comunicação segura não começa no aplicativo
Essa talvez seja a lição mais importante
Quando alguém pergunta qual é o aplicativo de mensagens “mais seguro”, a pergunta já começa incompleta e o foco já começou errado.
Um aplicativo pode empregar excelente criptografia e ainda fazer parte de um ambiente inseguro.
A proteção de uma comunicação precisa ser analisada como um sistema.
- Dispositivo
Quem controla fisicamente o equipamento?
Como ele está configurado?
Existe criptografia de armazenamento, autenticação adequada, gerenciamento corporativo, segregação entre uso pessoal e profissional?
- Sistema operacional
Qual é o modelo de segurança e privacidade do sistema operacional?
Quais permissões são concedidas aos aplicativos?
Quais serviços funcionam em segundo plano?
Que tipo de registros, sincronizações e artefatos são produzidos?
- Aplicação
Qual é a arquitetura do aplicativo?
Como ocorre a criptografia?
Onde ficam armazenadas as informações?
Como funcionam backups, sessões, dispositivos vinculados, notificações e retenção?
É uma solução comercial amplamente utilizada ou uma aplicação desenvolvida para um ambiente específico?
- Identidade e autenticação
Não adianta proteger a transmissão se uma conta puder ser facilmente comprometida.
Autenticação, gestão de credenciais, recuperação de contas e controle de sessões também fazem parte da arquitetura.
- Endpoints
Uma comunicação possui pelo menos dois lados.
Uma organização pode proteger muito bem um dispositivo e perder o controle sobre a informação assim que ela chega ao equipamento de outra pessoa.
- Infraestrutura e armazenamento
Backups, serviços em nuvem, sistemas corporativos, computadores sincronizados e outros componentes podem ampliar significativamente a superfície de exposição.
- Pessoas e procedimentos
Talvez seja a camada mais esquecida.
Não existe criptografia capaz de impedir alguém autorizado a visualizar uma informação de fotografar uma tela, encaminhar um arquivo ou transferir o conteúdo para outro ambiente.
Segurança tecnológica sem procedimento operacional é incompleta.
Em alguns cenários, soluções convencionais podem não ser suficientes
Para grande parte das comunicações cotidianas, ferramentas comerciais bem configuradas podem oferecer um nível adequado de proteção.
Mas empresas, executivos e profissionais que lidam com informações altamente sensíveis podem apresentar modelos de risco diferentes.
Nesses casos, a solução pode envolver ambientes dedicados, segregação de dispositivos, políticas específicas de armazenamento e retenção, gerenciamento de endpoints, infraestrutura controlada e outras medidas de segurança.
Em determinados projetos, pode inclusive ser necessário avaliar soluções ou aplicações próprias, sempre considerando que desenvolver software internamente não o torna automaticamente seguro.
Uma arquitetura de comunicação precisa ser definida a partir de risco, finalidade e modelo de ameaça, e não simplesmente pela popularidade de determinado aplicativo.
Segurança de comunicação é arquitetura
Por isso, dizer “utilizamos um aplicativo criptografado” não deveria encerrar uma análise de segurança.
Criptografar a transmissão protege uma parte importante do problema.
Mas uma comunicação pode existir antes de ser transmitida e continuar produzindo efeitos depois de recebida.
Uma arquitetura adequada precisa considerar todo o ciclo de vida da informação:
criação → armazenamento → acesso → transmissão → recebimento → retenção → descarte.
Cada uma dessas etapas pode apresentar riscos diferentes.
Quando o problema já chegou ao processo
Existe ainda o outro lado dessa discussão.
Quando dispositivos, mensagens, documentos, arquivos ou registros passam a integrar uma investigação ou processo judicial, é necessário compreender exatamente o que foi encontrado e o que foi inferido a partir desses achados.
É nesse ponto que a assistência técnica em perícia digital ganha importância.
Uma análise independente pode examinar aspectos como integridade dos dados, metodologia empregada, cadeia de custódia, condições da extração, correlação temporal equivocada ou forçosa, limitações das ferramentas utilizadas e compatibilidade entre os vestígios encontrados e as conclusões apresentadas.
Isso não significa partir do pressuposto de que uma perícia oficial esteja certa ou errada.
Significa aplicar ao elemento técnico a mesma lógica do contraditório existente no processo.
Evidência digital também precisa ser tecnicamente interpretada.
Da perícia à prevenção
A experiência em perícia digital também oferece uma perspectiva importante para segurança.
Quem analisa dispositivos depois de incidentes, investigações e disputas consegue compreender, na prática, como informações podem permanecer distribuídas entre diferentes camadas de um ambiente tecnológico.
É justamente essa visão que pode ser utilizada preventivamente.
A CyberExperts atua em perícia digital e assistência técnica, inclusive no apoio técnico a estratégias de defesa e na preservação, coleta e análise independente de evidências digitais.
Também desenvolve trabalhos consultivos voltados à segurança da informação, proteção da privacidade e arquitetura de comunicações para empresas, empresários, executivos e profissionais que lidam com informações sensíveis.
Dependendo do projeto, a análise pode envolver dispositivos, sistemas operacionais, aplicações, infraestrutura, armazenamento, endpoints, autenticação, políticas de retenção, procedimentos internos e avaliação da exposição existente.
O objetivo não é criar a promessa irreal de uma comunicação “sem rastros”.
É construir um ambiente compatível com o risco e com as necessidades legítimas de confidencialidade e proteção da informação.
A principal lição
O caso Vorcaro ilustra uma característica importante do ambiente digital: o que desaparece da interface não necessariamente desaparece de todas as camadas do sistema.
Da mesma forma, um vestígio encontrado isoladamente não deveria ser tratado automaticamente como explicação definitiva de um fato.
É a análise técnica, contextual e correlacionada que permite compreender o significado dos dados disponíveis.
E, quando o assunto é proteção da informação, existe uma conclusão ainda mais ampla:
privacidade não consiste apenas em escolher por onde uma mensagem será enviada.
Ela depende de compreender todo o ambiente pelo qual aquela informação passa, inclusive os processos internos utilizados pelo aplicativo e pelo sistema operacional para executar determinadas funcionalidades, antes, durante e depois da comunicação.
CyberExperts
Se sua empresa ou atividade profissional envolve informações sensíveis, a Cyber Experts realiza avaliações técnicas e projetos voltados à perícia digital, proteção da privacidade e estruturação de ambientes de comunicação compatíveis com diferentes modelos de risco.
José Milagre, CEO da CyberExperts. Mestre e Doutor UNESP – jose.milagre@cyberexperts.com.br
