Slijede razlike između dviju inačica stranice.
| Starije izmjene na obje strane Starija izmjena Novija izmjena | Starija izmjena | ||
|
racfor_wiki:seminari2025:tp52607 [2026/02/03 02:47] Timoteja Piveta |
racfor_wiki:seminari2025:tp52607 [2026/02/20 09:30] (trenutno) Timoteja Piveta [Sažetak] |
||
|---|---|---|---|
| Redak 2: | Redak 2: | ||
| - | **Sadržaj** | + | ===== Sažetak ===== |
| - | **Sažetak** | ||
| + | Bluetooth tehnologija danas je sastavni dio velikog broja svakodnevnih uređaja, uključujući mobilne telefone, nosive uređaje i razne IoT sustave. Posebno je značajan Bluetooth Low Energy (BLE), koji zbog niske potrošnje energije i stalnog oglašavanja generira digitalne tragove, čak i bez izravne korisničke interakcije. Zbog toga Bluetooth komunikacija predstavlja vrijedan izvor dokaza u kriminalističkim i sigurnosnim istragama. | ||
| + | Ovaj rad daje pregled Bluetooth forenzike kao specijalizirane grane digitalne forenzike. Opisane su osnovne značajke Bluetooth tehnologije, | ||
| + | Zaključno, seminar razmatra sigurnosne ranjivosti Bluetooth sustava i njihov forenzički značaj, naglašavajući potrebu za opreznom i kritičkom interpretacijom prikupljenih podataka. | ||
| - | **Uvod** | + | ===== Uvod ===== |
| - | Razvoj bežične tehnologije | + | |
| - | Bluetooth forenzika | + | |
| + | Razvoj bežičnih komunikacijskih tehnologija | ||
| + | U kontekstu digitalne forenzike, Bluetooth komunikacija | ||
| + | Bluetooth forenzika | ||
| + | |||
| + | ===== Osnove Bluetootha ===== | ||
| - | **Osnove Bluetootha** | ||
| Bluetooth je bežična komunikacijska tehnologija kratkog domena koja omogućuje bežičnu razmjenu podataka dva uređaja, koristeći radio valove u frekvencijskom pojasu 2.4 GHz. Postoje dvije vrste Bluetootha: klasični (BR/EDR) i Bluetooth Low Energy (BLE). Klasični Bluetooth održava stalnu vezu i namjenjen je za veći protok podataka te se koristi za slušalice, tipkovnice i audio, dok BLE održava povremenu komunikaciju, | Bluetooth je bežična komunikacijska tehnologija kratkog domena koja omogućuje bežičnu razmjenu podataka dva uređaja, koristeći radio valove u frekvencijskom pojasu 2.4 GHz. Postoje dvije vrste Bluetootha: klasični (BR/EDR) i Bluetooth Low Energy (BLE). Klasični Bluetooth održava stalnu vezu i namjenjen je za veći protok podataka te se koristi za slušalice, tipkovnice i audio, dok BLE održava povremenu komunikaciju, | ||
| Redak 17: | Redak 23: | ||
| Bluetooth forenzika primjenjuje forenzičke metode na Bluetooth, posebno BLE, komunikaciju i podatke s ciljem dokazivanja prisutnosti, | Bluetooth forenzika primjenjuje forenzičke metode na Bluetooth, posebno BLE, komunikaciju i podatke s ciljem dokazivanja prisutnosti, | ||
| - | **Izvori forenzičkih dokaza u Bluetooth okruženju** | + | ===== Izvori forenzičkih dokaza u Bluetooth okruženju |
| - | Forenzički dokazi u Bluetooth sustavima mogu se podijeliti u tri glavne skupine. | ||
| - | **Over-the-air radio promet** | + | Forenzički dokazi |
| - | BLE advertising paketi mogu se pasivno snimati pomoću specijaliziranog hardvera ili kompatibilnih razvojnih pločica. Iz ovih paketa moguće je izvući MAC adrese (ili njihove randomizirane varijante), identifikatore servisa, proizvođačke podatke te vremenske uzorke emitiranja. Iako sadržaj komunikacije često nije dostupan bez ključeva, sama prisutnost | + | |
| - | **Sistemski artefakti krajnjih uređaja** | + | ==== Over-the-air radio promet ==== |
| - | Mobilni operativni sustavi pohranjuju različite Bluetooth artefakte, uključujući zapise o pairingu, cache popise uređaja i sistemske logove. Na Android platformi osobito je vrijedan Bluetooth HCI snoop log, koji omogućuje detaljnu analizu Bluetooth komunikacije unutar alata poput Wiresharka. Ovi zapisi često pružaju najkompletniji uvid u stvarni tijek komunikacije. | + | |
| - | **Aplikacijski | + | Over-the-air (OTA) radio promet odnosi se na sve Bluetooth pakete koji se prenose bežičnim putem između uređaja i mogu se detektirati izravno iz radio spektra, bez potrebe za pristupom samim uređajima. U kontekstu Bluetooth forenzike, OTA promet predstavlja najneposredniji i često jedini dostupni izvor dokaza, osobito u situacijama kada krajnji uređaji nisu fizički dostupni ili su podaci |
| - | IoT uređaji i pripadajuće mobilne aplikacije | + | Za razliku od sistemskih logova, OTA promet ne ovisi o operacijskom sustavu, aplikaciji ili konfiguraciji |
| + | BLE oglašivački paketi mogu se pasivno snimati pomoću specijaliziranog hardvera ili kompatibilnih razvojnih pločica. Iz ovih paketa | ||
| - | **Metodologija Bluetooth forenzičke analize** | + | ==== Sistemski artefakti krajnjih |
| - | Bluetooth forenzička analiza kreće od identifikacije potencijalnih dokaza (računalo, mobitel, mrežni promet) s ciljem akvizicije, to jest sakupljanja podataka bez promjene izvornog stanja. Razlikujemo tri vrste akvizicije: pasivna, logička i aktivna. Pasivna se bazira na snimanju BLE oglašavanja i RF sniffinga. Logička koristi Android HCI snoop logove, sistemske Bluetooth logove i aplikacijske zapise, dok aktivna koristi samo spajanje na uređaj, čitanje GATT karakteristika i slanje upita. Sakupljene podatke, kao što su struktura BLE paketa, vremesnki slijed oglašavanja i uparivanje, analiziramo kroz dekodiranje podataka, filtriranje šuma i traženja obrazaca. Analiza mora biti ponovljiva. Korelacija je cilj analize, to jest povezivanje više izvora u smislenu cjelinu, na primjer korelacija Bluetooth oglašavanja skupa sa GPS lokacijom. Korelacijom dokazujemo ponašanje ne identitet. NAvedeno interpretiramo i pišemo izvještaj. | + | |
| - | **Sigurnosne ranjivosti i forenzički značaj** | + | Mobilni operativni sustavi pohranjuju niz sistemskih artefakata povezanih s Bluetooth komunikacijom koji imaju visoku forenzičku vrijednost. Ti artefakti nastaju kao posljedica normalnog rada Bluetooth stacka i često uključuju zapise o uparivanju (pairing), cache popise prethodno detektiranih uređaja, sigurnosne ključeve te detaljne sistemske logove. Za razliku od OTA radio prometa, koji pruža uvid u ponašanje uređaja izvana, sistemski artefakti omogućuju rekonstrukciju komunikacije iz perspektive samog uređaja. |
| - | Ranjivosti Bluetootha | + | Na Android platformama se često koristi Bluetooth HCI snoop log, koji bilježi komunikaciju na razini Host Controller Interface (HCI), odnosno sučelja između operativnog sustava i Bluetooth kontrolera. Ovaj zapis sadrži detaljne informacije o svim Bluetooth događajima, |
| + | Forenzička prednost sistemskih artefakata leži u činjenici da oni često zaobilaze ograničenja pasivnog sniffinga, poput gubitka paketa, problema s praćenjem kanala ili enkripcije. Budući da se promet bilježi na samom uređaju prije ili nakon enkripcije, HCI snoop log pruža više informacija o Bluetooth interakcijama nego over-the-air snimke. | ||
| + | |||
| + | ==== Aplikacijski i IoT podaci ==== | ||
| + | |||
| + | Iznad osnovne BLE komunikacije često se nalazi aplikacijska logika specifična za pojedinog proizvođača, | ||
| + | Forenzičkom analizom GATT strukture moguće je rekonstruirati konkretne radnje koje su se dogodile u stvarnom svijetu, poput otključavanja pametne brave, promjene konfiguracije uređaja, sinkronizacije senzorskih mjerenja ili aktivacije određenih funkcija. Za razliku od samog radio prometa, koji uglavnom pruža informacije o prisutnosti i ponašanju, aplikacijski podaci omogućuju izravnu poveznicu između Bluetooth komunikacije i fizičkih događaja. | ||
| + | Međutim, značajan izazov u ovom području predstavlja činjenica da aplikacijski protokoli često nisu standardizirani. Proizvođači implementiraju vlastite, tzv. vendor-specific servise, čija semantika nije javno dokumentirana. To zahtijeva dodatne forenzičke tehnike poput reverznog inženjeringa mobilnih aplikacija ili dinamičke analize GATT komunikacije. Upravo zbog toga aplikacijski i IoT podaci imaju visoku dokaznu vrijednost, ali zahtijevaju duboko tehničko razumijevanje BLE protokola i specifične implementacije uređaja. | ||
| + | U kontekstu Bluetooth forenzike, ovi podaci često predstavljaju završni sloj analize, jer omogućuju povezivanje tehničkih tragova s konkretnim radnjama korisnika ili sustava. Kada se kombiniraju sa sistemskim artefaktima i OTA prometom, aplikacijski podaci značajno povećavaju pouzdanost forenzičkih zaključaka. | ||
| + | |||
| + | ===== Metodologija Bluetooth forenzičke analize ===== | ||
| + | |||
| + | |||
| + | Bluetooth forenzička analiza započinje identifikacijom potencijalnih izvora dokaza, pri čemu se utvrđuje koji su uređaji, sustavi i komunikacijski kanali relevantni za istragu. U toj fazi identificiraju se krajnji uređaji poput računala i mobilnih telefona, dostupni IoT uređaji te potencijalni izvori mrežnog i radio prometa. Posebna se pažnja posvećuje volatilnosti Bluetooth podataka, budući da se mnogi artefakti mogu brzo izgubiti ili prepisati tijekom normalnog rada sustava. | ||
| + | Nakon identifikacije slijedi akvizicija podataka, čiji je osnovni cilj prikupljanje dokaza bez promjene izvornog stanja. U Bluetooth forenzici razlikuju se tri osnovna tipa akvizicije: pasivna, logička i aktivna. Pasivna akvizicija temelji se na snimanju BLE oglašavanja i RF sniffingu te se smatra forenzički najčišćom metodom jer ne uključuje nikakvu interakciju s ciljnim uređajem. Logička akvizicija obuhvaća prikupljanje sistemskih Bluetooth zapisa, kao što su Android HCI snoop logovi, sistemski logovi Bluetooth stacka i aplikacijski zapisi, koji omogućuju detaljan uvid u tijek komunikacije iz perspektive samog uređaja. Aktivna akvizicija uključuje izravno spajanje na Bluetooth uređaj, čitanje GATT karakteristika i slanje upita, pri čemu postoji rizik promjene stanja sustava, zbog čega ova metoda zahtijeva strogu dokumentaciju i jasno opravdanje. | ||
| + | Sakupljeni podaci zatim se podvrgavaju forenzičkoj analizi, koja uključuje dekodiranje Bluetooth paketa, filtriranje šuma i izdvajanje relevantnih događaja. Analiza obuhvaća proučavanje strukture BLE paketa, vremenskog slijeda oglašavanja, | ||
| + | Središnji dio forenzičke obrade predstavlja korelacija podataka, čiji je cilj povezivanje više izvora dokaza u smislenu i konzistentnu cjelinu. U Bluetooth forenzici rijetko je moguće dokazati apsolutni identitet uređaja zbog randomizacije adresa i mehanizama privatnosti, | ||
| + | Završna faza metodologije uključuje interpretaciju rezultata i izradu forenzičkog izvještaja. U ovoj fazi tehnički nalazi prevode se u jasno i neutralno objašnjenje događaja, uz navođenje ograničenja analize i mogućih alternativnih tumačenja. Forenzički izvještaj mora jasno razlikovati činjenice od pretpostavki te dokumentirati korištene metode i alate, čime se osigurava pravna održivost i stručna vjerodostojnost rezultata. | ||
| + | |||
| + | ===== Sigurnosne ranjivosti i forenzički značaj | ||
| + | |||
| + | |||
| + | Sigurnosne ranjivosti Bluetooth tehnologije | ||
| + | Ranjivosti | ||
| + | Posebno kritična skupina ranjivosti pojavljuje se u fazi uparivanja, koja predstavlja trenutak uspostave povjerenja između uređaja. Kako bi Bluetooth bio primjenjiv na uređaje s ograničenim mogućnostima interakcije, | ||
| + | Dodatni izazov predstavlja fleksibilnost Bluetooth standarda, koja proizlazi iz potrebe za kompatibilnošću različitih uređaja i generacija tehnologije. Standard definira velik broj opcionalnih sigurnosnih mehanizama i dopušta različite načine njihove implementacije. U praksi to često dovodi do korištenja najslabijih dopuštenih sigurnosnih postavki ili do neujednačenih implementacija, | ||
| + | |||
| + | ===== Alati za Bluetooth forenziku ===== | ||
| - | **Alati za Bluetooth forenziku** | ||
| U praksi se koriste: | U praksi se koriste: | ||
| Redak 46: | Redak 75: | ||
| Kombinacija pasivnog snimanja i analize sistemskih artefakata daje najpouzdanije rezultate. | Kombinacija pasivnog snimanja i analize sistemskih artefakata daje najpouzdanije rezultate. | ||
| - | **Pravni i etički aspekti** | + | ===== Pravni i etički aspekti |
| + | |||
| + | |||
| + | Bluetooth forenzika mora se provoditi u skladu s važećim pravnim okvirima, osobito u pogledu zaštite privatnosti i zakonitosti prikupljanja podataka. Budući da Bluetooth komunikacija koristi radio kao otvoreni medij, tehnički je moguće pasivno snimati OTA promet bez znanja ili pristanka vlasnika uređaja. Međutim, pravna dopuštenost takvog snimanja ovisi o nacionalnom zakonodavstvu i kontekstu u kojem se analiza provodi. U forenzičkom kontekstu posebno je važno razlikovati pasivno promatranje radio prometa od aktivne intervencije u komunikaciju. | ||
| + | |||
| + | ===== Zaključak ===== | ||
| + | |||
| + | |||
| + | Bluetooth forenzika postaje sve važnija disciplina unutar digitalne forenzike zbog sveprisutnosti Bluetooth tehnologije, | ||
| + | Analiza Bluetooth komunikacije pokazuje da, unatoč mehanizmima zaštite poput enkripcije i randomizacije adresa, sustav ostavlja mjerljive tragove koje se može analizirati. Pasivno snimanje over-the-air prometa, analiza sistemskih artefakata i interpretacija aplikacijske logike omogućuju dokazivanje prisutnosti uređaja, rekonstrukciju vremenskog slijeda događaja te utvrđivanje interakcije između uređaja. Ključnu ulogu u tome ima pravilno provedena forenzička metodologija, | ||
| + | Sigurnosne ranjivosti Bluetooth sustava, koje proizlaze iz otvorenog radio medija, ograničenja uređaja i fleksibilnosti standarda, dodatno naglašavaju potrebu za opreznom interpretacijom dokaza. Forenzički nalazi moraju se promatrati u kontekstu mogućih manipulacija, | ||
| + | Zaključno, Bluetooth forenzika zahtijeva interdisciplinarni pristup koji objedinjuje znanje o bežičnim protokolima, | ||
| + | |||
| + | ===== Literatura ===== | ||
| + | |||
| + | [1] [[https:// | ||
| + | |||
| + | [2] [[https:// | ||
| + | |||
| + | [3] [[https:// | ||
| + | |||
| + | [4] [[https:// | ||
| + | |||
| + | [5] [[https:// | ||
| + | |||
| + | [6] [[https:// | ||
| + | |||
| + | [7] [[https:// | ||
| + | |||
| + | [8] [[https:// | ||
| - | Bluetooth forenzika mora poštovati pravne okvire, osobito u pogledu privatnosti i dopuštenosti pasivnog snimanja radio prometa. Aktivna interakcija s uređajima može imati pravne posljedice, stoga se u forenzičkom kontekstu preferira pasivna akvizicija i stroga dokumentacija svakog koraka. | + | [9] [[https:// |
| - | **Zaključak** | + | [10] [[https:// |
| + | [11] [[https:// | ||
| - | **Literatura** | + | [12] [[https:// |
| - | Bluetooth Core Specification, | + | |
| - | NIST SP 800-121 Rev. 2 – Guide to Bluetooth Security | + | |
| - | Becker et al., Tracking Anonymized Bluetooth Devices, PoPETS | + | |
| - | Wu et al., BLESA: Spoofing Attacks against Reconnections in BLE, USENIX | + | |
| - | Garbelini et al., SweynTooth: Unleashing Mayhem over BLE, USENIX ATC | + | |
| - | SWGDE – Best Practices for Mobile Device Forensic Analysis | + | |
| - | SWGDE – Test Method for Bluetooth Module Extraction and Analysis | + | |
| - | Wireshark Bluetooth Documentation | + | |
| - | Android Open Source Project – Bluetooth HCI Snoop Log | + | |
| - | Nordic Semiconductor – BLE Sniffer Documentation | + | |
| - | Great Scott Gadgets – Ubertooth One Documentation | + | |