Android Forensics Simson L. Garfinkel, Ph.D Associate Professor, Naval Postgraduate School http://www.simson.net/ 1 NPS is the Navyʼs Research University. Location: Monterey, CA Students: 1500 ■ US Military (All 5 services) ■ US Civilian (Scholarship for Service & SMART) ■ Foreign Military (30 countries) ■ All students are fully funded Schools: ■ Business & Public Policy ■ Engineering & Applied Sciences ■ Operational & Information Sciences ■ International Graduate Studies NCR Initiative: ■ 8 offices on 5th floor, 900N Glebe Road, Arlington ■ FY12 plans: 4 professors, 2 postdocs, 2 researchers ■ Immediate slots for .gov PhDs! 2 My current research: Automated Document & Media Exploitation The DOMEX challenge is to turn digital bits into actionable intelligence. Recent publications: ■ DoD Risks from Facebook ■ Ascription of Carved Data on multi-user systems ■ Forensic Carving of Network Packets and Associated Data Structures ■ Finding and Archiving the Internet Footprint (cid:1)(cid:202)(cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:202)(cid:213)(cid:195)(cid:105)(cid:96)(cid:202)(cid:76)(cid:222)(cid:202)(cid:1)(cid:143)(cid:202)(cid:43)(cid:62)(cid:105)(cid:96)(cid:62)(cid:202)(cid:105)(cid:152)(cid:96)(cid:195)(cid:202)(cid:213)(cid:171)(cid:202)(cid:136)(cid:152)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:133)(cid:62)(cid:152)(cid:96)(cid:195)(cid:202)(cid:156)(cid:118)(cid:202)(cid:62)(cid:202) (cid:55)(cid:62)(cid:143)(cid:143)(cid:202)(cid:45)(cid:204)(cid:192)(cid:105)(cid:105)(cid:204)(cid:202)(cid:27)(cid:156)(cid:213)(cid:192)(cid:152)(cid:62)(cid:143)(cid:202)(cid:192)(cid:105)(cid:171)(cid:156)(cid:192)(cid:204)(cid:105)(cid:192)(cid:176)(cid:202)(cid:1)(cid:202)(cid:143)(cid:62)(cid:171)(cid:204)(cid:156)(cid:171)(cid:202)(cid:118)(cid:192)(cid:156)(cid:147)(cid:202)(cid:22)(cid:192)(cid:62)(cid:152)(cid:202)(cid:136)(cid:195)(cid:202)(cid:96)(cid:136)(cid:195)(cid:86)(cid:156)(cid:219)(cid:135) (cid:105)(cid:192)(cid:105)(cid:96)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:86)(cid:156)(cid:152)(cid:204)(cid:62)(cid:136)(cid:152)(cid:195)(cid:202)(cid:96)(cid:105)(cid:204)(cid:62)(cid:136)(cid:143)(cid:195)(cid:202)(cid:156)(cid:118)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:86)(cid:156)(cid:213)(cid:152)(cid:204)(cid:192)(cid:222)(cid:189)(cid:195)(cid:202)(cid:152)(cid:213)(cid:86)(cid:143)(cid:105)(cid:62)(cid:192)(cid:202)(cid:220)(cid:105)(cid:62)(cid:171)(cid:135) (cid:156)(cid:152)(cid:195)(cid:202)(cid:171)(cid:192)(cid:156)(cid:125)(cid:192)(cid:62)(cid:147)(cid:176)(cid:202)(cid:42)(cid:133)(cid:156)(cid:204)(cid:156)(cid:125)(cid:192)(cid:62)(cid:171)(cid:133)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:219)(cid:136)(cid:96)(cid:105)(cid:156)(cid:195)(cid:202)(cid:62)(cid:192)(cid:105)(cid:202)(cid:96)(cid:156)(cid:220)(cid:152)(cid:143)(cid:156)(cid:62)(cid:96)(cid:105)(cid:96)(cid:202) (cid:118)(cid:192)(cid:156)(cid:147)(cid:202)(cid:204)(cid:105)(cid:192)(cid:192)(cid:156)(cid:192)(cid:136)(cid:195)(cid:204)(cid:202)(cid:55)(cid:105)(cid:76)(cid:202)(cid:195)(cid:136)(cid:204)(cid:105)(cid:195)(cid:176)(cid:202) (cid:1)(cid:195)(cid:202)(cid:105)(cid:219)(cid:136)(cid:96)(cid:105)(cid:152)(cid:86)(cid:105)(cid:96)(cid:202)(cid:76)(cid:222)(cid:202)(cid:204)(cid:133)(cid:105)(cid:195)(cid:105)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:86)(cid:156)(cid:213)(cid:152)(cid:204)(cid:143)(cid:105)(cid:195)(cid:195)(cid:202)(cid:156)(cid:204)(cid:133)(cid:105)(cid:192)(cid:202)(cid:86)(cid:62)(cid:195)(cid:105)(cid:195)(cid:93)(cid:202)(cid:96)(cid:136)(cid:125)(cid:136)(cid:204)(cid:62)(cid:143)(cid:202) (cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:195)(cid:204)(cid:156)(cid:192)(cid:62)(cid:125)(cid:105)(cid:202)(cid:96)(cid:105)(cid:219)(cid:136)(cid:86)(cid:105)(cid:195)(cid:202)(cid:133)(cid:156)(cid:143)(cid:96)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:142)(cid:105)(cid:222)(cid:202)(cid:204)(cid:156)(cid:202)(cid:147)(cid:62)(cid:152)(cid:222)(cid:202) (cid:156)(cid:152)(cid:125)(cid:156)(cid:136)(cid:152)(cid:125)(cid:202)(cid:147)(cid:136)(cid:143)(cid:136)(cid:204)(cid:62)(cid:192)(cid:222)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:86)(cid:192)(cid:136)(cid:147)(cid:136)(cid:152)(cid:62)(cid:143)(cid:202)(cid:136)(cid:152)(cid:219)(cid:105)(cid:195)(cid:204)(cid:136)(cid:125)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:195)(cid:176)(cid:202)(cid:47)(cid:133)(cid:105)(cid:202)(cid:147)(cid:156)(cid:195)(cid:204)(cid:202) (cid:195)(cid:204)(cid:192)(cid:62)(cid:136)(cid:125)(cid:133)(cid:204)(cid:118)(cid:156)(cid:192)(cid:220)(cid:62)(cid:192)(cid:96)(cid:202)(cid:62)(cid:171)(cid:171)(cid:192)(cid:156)(cid:62)(cid:86)(cid:133)(cid:202)(cid:204)(cid:156)(cid:202)(cid:213)(cid:195)(cid:136)(cid:152)(cid:125)(cid:202)(cid:204)(cid:133)(cid:105)(cid:195)(cid:105)(cid:202)(cid:147)(cid:105)(cid:96)(cid:136)(cid:62)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:96)(cid:156)(cid:86)(cid:213)(cid:135) (cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:136)(cid:195)(cid:202)(cid:204)(cid:156)(cid:202)(cid:105)(cid:221)(cid:171)(cid:143)(cid:156)(cid:192)(cid:105)(cid:202)(cid:204)(cid:133)(cid:105)(cid:147)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:156)(cid:192)(cid:96)(cid:136)(cid:152)(cid:62)(cid:192)(cid:222)(cid:202)(cid:204)(cid:156)(cid:156)(cid:143)(cid:195)(cid:112)(cid:156)(cid:171)(cid:105)(cid:152)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202) (cid:220)(cid:156)(cid:192)(cid:96)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:195)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:31)(cid:136)(cid:86)(cid:192)(cid:156)(cid:195)(cid:156)(cid:118)(cid:204)(cid:202)(cid:55)(cid:156)(cid:192)(cid:96)(cid:93)(cid:202)(cid:219)(cid:136)(cid:105)(cid:220)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:55)(cid:105)(cid:76)(cid:202)(cid:171)(cid:62)(cid:125)(cid:105)(cid:195)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202) (cid:22)(cid:152)(cid:204)(cid:105)(cid:192)(cid:152)(cid:105)(cid:204)(cid:202)(cid:13)(cid:221)(cid:171)(cid:143)(cid:156)(cid:192)(cid:105)(cid:192)(cid:93)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:195)(cid:156)(cid:202)(cid:156)(cid:152)(cid:176) (cid:1)(cid:143)(cid:204)(cid:133)(cid:156)(cid:213)(cid:125)(cid:133)(cid:202)(cid:204)(cid:133)(cid:136)(cid:195)(cid:202)(cid:195)(cid:204)(cid:192)(cid:62)(cid:136)(cid:125)(cid:133)(cid:204)(cid:118)(cid:156)(cid:192)(cid:220)(cid:62)(cid:192)(cid:96)(cid:202)(cid:62)(cid:171)(cid:171)(cid:192)(cid:156)(cid:62)(cid:86)(cid:133)(cid:202)(cid:136)(cid:195)(cid:202)(cid:105)(cid:62)(cid:195)(cid:222)(cid:202)(cid:204)(cid:156)(cid:202) (cid:213)(cid:152)(cid:96)(cid:105)(cid:192)(cid:195)(cid:204)(cid:62)(cid:152)(cid:96)(cid:93)(cid:202)(cid:136)(cid:204)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:147)(cid:136)(cid:195)(cid:195)(cid:202)(cid:62)(cid:202)(cid:143)(cid:156)(cid:204)(cid:176)(cid:202)(cid:12)(cid:105)(cid:143)(cid:105)(cid:204)(cid:105)(cid:96)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:136)(cid:152)(cid:219)(cid:136)(cid:195)(cid:136)(cid:76)(cid:143)(cid:105)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:195)(cid:202) (cid:86)(cid:62)(cid:152)(cid:202)(cid:76)(cid:105)(cid:202)(cid:147)(cid:62)(cid:96)(cid:105)(cid:202)(cid:219)(cid:136)(cid:195)(cid:136)(cid:76)(cid:143)(cid:105)(cid:202)(cid:213)(cid:195)(cid:136)(cid:152)(cid:125)(cid:202)(cid:76)(cid:62)(cid:195)(cid:136)(cid:86)(cid:202)(cid:118)(cid:156)(cid:192)(cid:105)(cid:152)(cid:195)(cid:136)(cid:86)(cid:202)(cid:204)(cid:156)(cid:156)(cid:143)(cid:195)(cid:176)(cid:202)(cid:42)(cid:192)(cid:156)(cid:125)(cid:192)(cid:62)(cid:147)(cid:195)(cid:202) (cid:86)(cid:62)(cid:143)(cid:143)(cid:105)(cid:96)(cid:202)(cid:86)(cid:62)(cid:192)(cid:219)(cid:105)(cid:192)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:143)(cid:156)(cid:86)(cid:62)(cid:204)(cid:105)(cid:202)(cid:136)(cid:152)(cid:118)(cid:156)(cid:192)(cid:147)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:136)(cid:195)(cid:152)(cid:189)(cid:204)(cid:202)(cid:105)(cid:219)(cid:105)(cid:152)(cid:202)(cid:62)(cid:202) (cid:86)(cid:156)(cid:147)(cid:171)(cid:143)(cid:105)(cid:204)(cid:105)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:204)(cid:213)(cid:192)(cid:152)(cid:202)(cid:136)(cid:204)(cid:202)(cid:136)(cid:152)(cid:204)(cid:156)(cid:202)(cid:62)(cid:202)(cid:118)(cid:156)(cid:192)(cid:147)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:76)(cid:105)(cid:202)(cid:192)(cid:105)(cid:62)(cid:96)(cid:136)(cid:143)(cid:222)(cid:202) (cid:171)(cid:192)(cid:156)(cid:86)(cid:105)(cid:195)(cid:195)(cid:105)(cid:96)(cid:176)(cid:202)(cid:12)(cid:105)(cid:204)(cid:62)(cid:136)(cid:143)(cid:105)(cid:96)(cid:202)(cid:105)(cid:221)(cid:62)(cid:147)(cid:136)(cid:152)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:202)(cid:156)(cid:118)(cid:202)(cid:105)(cid:135)(cid:147)(cid:62)(cid:136)(cid:143)(cid:202)(cid:133)(cid:105)(cid:62)(cid:96)(cid:105)(cid:192)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202) (cid:143)(cid:156)(cid:125)(cid:202)(cid:119)(cid:202)(cid:143)(cid:105)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:192)(cid:105)(cid:219)(cid:105)(cid:62)(cid:143)(cid:202)(cid:220)(cid:133)(cid:105)(cid:192)(cid:105)(cid:202)(cid:62)(cid:202)(cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:202)(cid:220)(cid:62)(cid:195)(cid:202)(cid:213)(cid:195)(cid:105)(cid:96)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:156)(cid:204)(cid:133)(cid:105)(cid:192)(cid:202) (cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:195)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:220)(cid:133)(cid:136)(cid:86)(cid:133)(cid:202)(cid:136)(cid:204)(cid:202)(cid:86)(cid:62)(cid:147)(cid:105)(cid:202)(cid:136)(cid:152)(cid:204)(cid:156)(cid:202)(cid:86)(cid:156)(cid:152)(cid:204)(cid:62)(cid:86)(cid:204)(cid:176)(cid:202)(cid:29)(cid:136)(cid:152)(cid:125)(cid:213)(cid:136)(cid:195)(cid:204)(cid:136)(cid:86)(cid:202) (cid:204)(cid:156)(cid:156)(cid:143)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:96)(cid:136)(cid:195)(cid:86)(cid:156)(cid:219)(cid:105)(cid:192)(cid:202)(cid:147)(cid:213)(cid:143)(cid:204)(cid:136)(cid:171)(cid:143)(cid:105)(cid:202)(cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:204)(cid:133)(cid:62)(cid:204)(cid:202)(cid:192)(cid:105)(cid:118)(cid:105)(cid:192)(cid:202)(cid:204)(cid:156)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202) (cid:195)(cid:62)(cid:147)(cid:105)(cid:202)(cid:136)(cid:152)(cid:96)(cid:136)(cid:219)(cid:136)(cid:96)(cid:213)(cid:62)(cid:143)(cid:195)(cid:93)(cid:202)(cid:105)(cid:219)(cid:105)(cid:152)(cid:202)(cid:204)(cid:133)(cid:156)(cid:213)(cid:125)(cid:133)(cid:202)(cid:152)(cid:62)(cid:147)(cid:105)(cid:195)(cid:202)(cid:136)(cid:152)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:96)(cid:136)(cid:118)(cid:118)(cid:105)(cid:192)(cid:105)(cid:152)(cid:204)(cid:202) (cid:69)(cid:69) (cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:195)(cid:202)(cid:133)(cid:62)(cid:219)(cid:105)(cid:202)(cid:96)(cid:136)(cid:118)(cid:118)(cid:105)(cid:192)(cid:105)(cid:152)(cid:204)(cid:202)(cid:195)(cid:171)(cid:105)(cid:143)(cid:143)(cid:136)(cid:152)(cid:125)(cid:195)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:62)(cid:192)(cid:105)(cid:202)(cid:136)(cid:152)(cid:202)(cid:96)(cid:136)(cid:118)(cid:118)(cid:105)(cid:192)(cid:105)(cid:152)(cid:204)(cid:202) (cid:133)(cid:213)(cid:147)(cid:62)(cid:152)(cid:202)(cid:143)(cid:62)(cid:152)(cid:125)(cid:213)(cid:62)(cid:125)(cid:105)(cid:195)(cid:176)(cid:202)(cid:12)(cid:62)(cid:204)(cid:62)(cid:135)(cid:147)(cid:136)(cid:152)(cid:136)(cid:152)(cid:125)(cid:202)(cid:204)(cid:105)(cid:86)(cid:133)(cid:152)(cid:136)(cid:181)(cid:213)(cid:105)(cid:195)(cid:202)(cid:195)(cid:213)(cid:86)(cid:133)(cid:202)(cid:62)(cid:195)(cid:202)(cid:86)(cid:192)(cid:156)(cid:195)(cid:195)(cid:135) (cid:96)(cid:192)(cid:136)(cid:219)(cid:105)(cid:202)(cid:62)(cid:152)(cid:62)(cid:143)(cid:222)(cid:195)(cid:136)(cid:195)(cid:202)(cid:86)(cid:62)(cid:152)(cid:202)(cid:192)(cid:105)(cid:86)(cid:156)(cid:152)(cid:195)(cid:204)(cid:192)(cid:213)(cid:86)(cid:204)(cid:202)(cid:195)(cid:156)(cid:86)(cid:136)(cid:62)(cid:143)(cid:202)(cid:152)(cid:105)(cid:204)(cid:220)(cid:156)(cid:192)(cid:142)(cid:195)(cid:112)(cid:62)(cid:213)(cid:204)(cid:156)(cid:147)(cid:62)(cid:204)(cid:136)(cid:135) (cid:86)(cid:62)(cid:143)(cid:143)(cid:222)(cid:202)(cid:96)(cid:105)(cid:204)(cid:105)(cid:192)(cid:147)(cid:136)(cid:152)(cid:136)(cid:152)(cid:125)(cid:93)(cid:202)(cid:118)(cid:156)(cid:192)(cid:202)(cid:105)(cid:221)(cid:62)(cid:147)(cid:171)(cid:143)(cid:105)(cid:93)(cid:202)(cid:136)(cid:118)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:86)(cid:156)(cid:147)(cid:171)(cid:213)(cid:204)(cid:105)(cid:192)(cid:189)(cid:195)(cid:202)(cid:171)(cid:192)(cid:105)(cid:219)(cid:136)(cid:156)(cid:213)(cid:195)(cid:202) (cid:213)(cid:195)(cid:105)(cid:192)(cid:202)(cid:220)(cid:62)(cid:195)(cid:202)(cid:136)(cid:152)(cid:202)(cid:86)(cid:156)(cid:152)(cid:204)(cid:62)(cid:86)(cid:204)(cid:202)(cid:220)(cid:136)(cid:204)(cid:133)(cid:202)(cid:142)(cid:152)(cid:156)(cid:220)(cid:152)(cid:202)(cid:204)(cid:105)(cid:192)(cid:192)(cid:156)(cid:192)(cid:136)(cid:195)(cid:204)(cid:195)(cid:176)(cid:202)(cid:47)(cid:133)(cid:136)(cid:195)(cid:202)(cid:195)(cid:156)(cid:192)(cid:204)(cid:202)(cid:156)(cid:118)(cid:202) (cid:62)(cid:96)(cid:219)(cid:62)(cid:152)(cid:86)(cid:105)(cid:96)(cid:202)(cid:62)(cid:152)(cid:62)(cid:143)(cid:222)(cid:195)(cid:136)(cid:195)(cid:202)(cid:136)(cid:195)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:195)(cid:204)(cid:213)(cid:118)(cid:118)(cid:202)(cid:156)(cid:118)(cid:202)(cid:12)(cid:34)(cid:31)(cid:13)(cid:56)(cid:93)(cid:202)(cid:204)(cid:133)(cid:105)(cid:202)(cid:143)(cid:136)(cid:204)(cid:204)(cid:143)(cid:105)(cid:135)(cid:142)(cid:152)(cid:156)(cid:220)(cid:152)(cid:202) (cid:136)(cid:152)(cid:204)(cid:105)(cid:143)(cid:143)(cid:136)(cid:125)(cid:105)(cid:152)(cid:86)(cid:105)(cid:202)(cid:171)(cid:192)(cid:62)(cid:86)(cid:204)(cid:136)(cid:86)(cid:105)(cid:202)(cid:156)(cid:118)(cid:202)(cid:96)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:202)(cid:62)(cid:152)(cid:96)(cid:202)(cid:147)(cid:105)(cid:96)(cid:136)(cid:62)(cid:202)(cid:105)(cid:221)(cid:171)(cid:143)(cid:156)(cid:136)(cid:204)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152)(cid:176)(cid:202) (cid:12)(cid:156)(cid:86)(cid:213)(cid:147)(cid:105)(cid:152)(cid:204)(cid:202)(cid:202)(cid:202)(cid:202)(cid:202)(cid:202)(cid:202) (cid:186)(cid:204)(cid:133)(cid:47)(cid:105)(cid:202)(cid:133)(cid:171)(cid:105)(cid:192)(cid:202)(cid:156)(cid:49)(cid:86)(cid:176)(cid:105)(cid:45)(cid:195)(cid:176)(cid:195)(cid:202)(cid:136)(cid:136)(cid:152)(cid:152)(cid:204)(cid:125)(cid:105)(cid:93)(cid:143)(cid:202)(cid:143)(cid:204)(cid:136)(cid:192)(cid:125)(cid:62)(cid:105)(cid:152)(cid:152)(cid:195)(cid:86)(cid:143)(cid:62)(cid:105)(cid:204)(cid:202)(cid:136)(cid:86)(cid:156)(cid:156)(cid:152)(cid:147)(cid:93)(cid:202)(cid:147)(cid:62)(cid:152)(cid:213)(cid:62)(cid:152)(cid:143)(cid:222)(cid:136)(cid:204)(cid:195)(cid:222)(cid:136)(cid:195)(cid:202)(cid:93)(cid:96)(cid:202)(cid:62)(cid:105)(cid:152)(cid:119)(cid:202)(cid:96)(cid:152)(cid:202)(cid:105)(cid:96)(cid:195)(cid:136)(cid:202)(cid:195)(cid:12)(cid:195)(cid:105)(cid:34)(cid:147)(cid:31)(cid:136)(cid:152)(cid:13)(cid:56)(cid:62)(cid:204)(cid:202)(cid:136)(cid:62)(cid:156)(cid:195)(cid:152)(cid:202)(cid:202) (cid:13)(cid:221)(cid:171)(cid:143)(cid:156)(cid:136)(cid:204)(cid:62)(cid:204)(cid:136)(cid:156)(cid:152) (cid:31)(cid:105)(cid:96)(cid:136)(cid:62) (cid:51)(cid:41)(cid:45)(cid:51)(cid:47)(cid:46)(cid:44)(cid:14)(cid:39)(cid:33)(cid:50)(cid:38)(cid:41)(cid:46)(cid:43)(cid:37)(cid:44)(cid:12)(cid:48)(cid:40)(cid:14)(cid:36)(cid:14) (cid:47)(cid:133)(cid:105)(cid:202)(cid:12)(cid:34)(cid:31)(cid:13)(cid:56)(cid:202)(cid:86)(cid:133)(cid:62)(cid:143)(cid:143)(cid:105)(cid:152)(cid:125)(cid:105)(cid:202)(cid:136)(cid:195)(cid:202)(cid:204)(cid:156)(cid:202)(cid:204)(cid:213)(cid:192)(cid:152)(cid:202) (cid:96)(cid:136)(cid:125)(cid:136)(cid:204)(cid:62)(cid:143)(cid:202)(cid:76)(cid:136)(cid:204)(cid:195)(cid:202)(cid:136)(cid:152)(cid:204)(cid:156)(cid:202)(cid:62)(cid:86)(cid:204)(cid:136)(cid:156)(cid:152)(cid:62)(cid:76)(cid:143)(cid:105)(cid:202)(cid:136)(cid:152)(cid:204)(cid:105)(cid:143)(cid:143)(cid:136)(cid:125)(cid:105)(cid:152)(cid:86)(cid:105)(cid:176) (cid:147)(cid:156)(cid:192)(cid:105)(cid:202)(cid:181)(cid:213)(cid:105)(cid:213)(cid:105)(cid:92)(cid:202)(cid:220)(cid:220)(cid:220)(cid:176)(cid:62)(cid:86)(cid:147)(cid:181)(cid:213)(cid:105)(cid:213)(cid:105)(cid:176)(cid:86)(cid:156)(cid:147) (cid:202) (cid:202)(cid:202)(cid:32)(cid:156)(cid:219)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:201)(cid:12)(cid:105)(cid:86)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:202)(cid:211)(cid:228)(cid:228)(cid:199)(cid:202)(cid:202)(cid:206)(cid:202)(cid:202) (cid:211)(cid:202)(cid:202)(cid:32)(cid:156)(cid:219)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:201)(cid:12)(cid:105)(cid:86)(cid:105)(cid:147)(cid:76)(cid:105)(cid:192)(cid:202)(cid:211)(cid:228)(cid:228)(cid:199)(cid:202)(cid:202) (cid:202) (cid:192)(cid:62)(cid:152)(cid:204)(cid:195)(cid:92)(cid:202)(cid:118)(cid:105)(cid:105)(cid:96)(cid:76)(cid:62)(cid:86)(cid:142)(cid:74)(cid:62)(cid:86)(cid:147)(cid:181)(cid:213)(cid:105)(cid:213)(cid:105)(cid:176)(cid:86)(cid:156)(cid:147) (cid:33)(cid:35)(cid:45)(cid:49)(cid:53)(cid:37)(cid:53)(cid:37) (cid:33)(cid:35)(cid:45)(cid:49)(cid:53)(cid:37)(cid:53)(cid:37) http://www.simson.net/clips/academic/2007.ACM.Domex.pdf 3 I also maintain the Forensics Wiki: http://www.forensicswiki.org/ http://www.forensicswiki.org/ 4 This is an introductory tutorial! 1:30 - 3:45 Forensics Overview & Android Forensics ■ Forensics and digital Investigations (overview) ■ Challenges facing computer forensics today ■ Cell phone forensics (overview) ■ Forensics Targets in Android Phones —Allocated vs. Residual Data —Logical vs. Physical ■ FAT32 & YAFFS analysis ■ Clearing, Sanitization and Anti-forensics ■ Feature Extraction, Cross-Drive Analysis, and Research Opportunities 3:45 - 4:00 Break 4:00 - 5:00 Android System Analysis ■ Extracting the data ■ Open Source and Commercial Tools ■ Q&A 5 Forensic definitions Forensics & The “magic camera” Hypothesis-based investigation digital investigations “Forensics” has two meanings. fo·ren·sics n. (used with a sing. verb) The art or study of formal debate; argumentation. The use of science and technology to investigate and establish facts in criminal or civil courts of law. (American Heritage Dictionary, 4th Edition) 7 Courts settle disputes, redress grievances, and mete out punishment Deciding some disputes requires the use of physical evidence: ■ Fingerprints ■ DNA ■ Handwriting ■ Polygraph Judges and juries can't examine physical evidence and make a determination They don't have the expertise ■ Evidence may be open to interpretation. 8 Even photographs may require interpretation When were these photographs taken? Were they faked? 9 The Commissar Vanishes documents how Stalin's Soviet Union tampered with the past. Abel Yenukidze: ■ Shot during the purges of 1936-1938 ■ Photo removed from official photographs by Stalin’s darkroom —http://www.hoover.org/publications/digest/3531641.html —http://www.newseum.org/berlinwall/commissar_vanishes/ 10