提升智能家居取证能力：一种基于仿真技术的方法，利用厂商提供的Android系统备份数据

《Forensic Science International: Digital Investigation》：Enhancing smart home forensics: An emulation-based approach utilizing vendor privileged android backup data

本文提出一种基于Android模拟器的智能家居应用取证方法，利用厂商高权限备份数据构建登录状态的应用环境，无需网络或账户凭证，成功提取多款应用及二十余种设备的云端数据，开发了SHARF工具并验证其有效性。

　　

卢兆|刘思琪|杜彦辉

中国人民公安大学，北京，100038，中国

摘要

智能家居设备目前会收集有关我们家庭各个方面的数据，如温度、安全和照明等。这些多样化的用户数据可以通过移动应用程序（app）进行访问和管理。然而，手机上存储的用户数据非常少，因为供应商的服务器通常负责处理这些复杂数据的存储和加工。因此，传统的离线手机数据提取方法不足以获取所需的数据。本文提出了一种基于Android模拟的智能家居应用取证方法。这种方法不需要事先知道目标应用的登录信息，也不需要源手机连接互联网。它仅依赖于目标应用的手机备份数据，这些数据可以在计算机上实现，从而恢复一个完全一致的应用使用场景。调查人员可以通过计算机上的模拟工具复制源手机的操作，以获取完整的应用数据。本文主要讨论了运行带有内置高权限备份功能的供应商定制ROM的Android设备，分析了它们高权限备份的智能家居应用的结构和内容，介绍了模拟数据处理方法，并基于研究开发了一个智能家居产品应用的模拟工具（SHARF），使得能够对多个智能家居应用进行模拟取证。

引言

智能家居是一种高效的住宅设施和家庭日程管理系统。为了整合与家庭相关的设施，它利用了物联网（IoT）设备、网络通信技术、安全防护技术、自动控制技术、音视频技术等。智能家居设备在日常生活环境中越来越被广泛使用。它们收集并处理关于运动、温度、湿度、照明等可能在调查中相关的信息（Dubey等人，2023年）。因此，从各种智能家居设备中收集数据并识别适合数字取证检查的工件是至关重要的。

市场上有各种各样的智能家居设备，如智能音箱、智能门锁、智能灯等，还有许多新的设备正在设计和生产中。为了增强对这些设备的用户管理，通常使用移动应用程序来进行控制、配置和监控。由于封装的接口协议和数据加密等因素，对智能家居的直接取证分析变得复杂。此外，大多数智能家居设备有限的数据存储能力也给识别相关的取证工件带来了挑战。因此，取证工作往往转向管理应用程序。在智能家居生态系统中，移动应用程序——特别是Android应用程序——通常作为统一控制和状态展示的中心管理界面：一方面，它们直接与云服务器通信并显示云聚合的数据；另一方面，它们整合了丰富的上下文信息，如设备清单、房间布局、自动化规则和用户交互记录。与直接操作单个硬件设备相比，对这些管理应用程序进行数字取证通常更为可行，并且可以获得更密集的信息（Kaushik等人，2023年）。然而，这些数据的大部分并不存储在手机上，而是存储在供应商的服务器上。手机和设备都需要连接互联网才能向服务器发送请求，服务器随后检索数据并将其返回给应用程序进行显示。当前的传统离线手机提取方法通常仅限于访问用户账号名称。通过手机直接连接互联网来检索数据可能会破坏数据的完整性，并违反既定的取证协议。其他方法，例如使用单独的设备安装相关应用程序并使用目标账户凭据登录，依赖于对账户详细信息的了解，包括用户名和密码。如果没有这些信息，从应用程序中提取有意义的数据就变得不切实际（Alam和Kabir，2023年）。

在这项研究中，我们介绍了一种实用且高效的取证模拟方法，该方法利用了供应商特权化的Android备份数据。这种方法不需要网络连接或与被扣押设备上的目标应用程序直接交互，它仅依赖于小米、vivo、OPPO、华为和荣耀等主要制造商提供的内置备份/迁移/克隆功能生成的应用程序备份包。使用这些包，我们可以在取证工作站的Android模拟器中重建一个与源设备一致的应用程序运行环境，并保持登录状态。然后，调查人员可以在模拟器中操作应用程序并访问云服务，从而避免对原始设备的数据状态进行进一步修改，也无需提前获取用户的明文登录凭据（例如，用户名、密码或短信验证码）。我们已经在五种智能家居应用程序和二十多种不同的Android手机型号上验证了这种方法，在所有情况下都成功进行了模拟，而无需访问账户凭据。

应当注意的是，本文讨论的基于模拟器的“回放式”取证可能涉及持续访问云服务，因此其法律范围应与纯本地数据分析区分开来。离线解析已经导出的备份数据通常是检查被扣押设备上数据的一部分。相比之下，在模拟器中恢复登录状态并主动与供应商的云服务交互，在某些司法管辖区可能被视为对远程自动化系统的持续访问。这种访问的合法性取决于适用的法律、司法授权的范围，以及在特定情况下获得的同意。因此，本文中介绍的方法仅应在有明确法律授权和程序合规性的情况下用于主动的云交互。如果授权仅限于物理设备及其本地存储的数据，分析范围应限于离线备份解析和本地工件检查，而不应进一步主动访问云。

本工作的贡献包括：

•

提出了一种比较备份文件结构并进行统一转换的方法。对包括华为、vivo和小米在内的不同智能手机品牌的备份文件结构进行了比较分析，并基于此分析开发了一种将这些备份文件转换为通用TAR格式的方法。

•

介绍了一种基于供应商特权化备份的应用程序模拟方法。通过识别智能手机备份文件和模拟应用程序之间的结构差异，设计了一种在模拟器中重新利用应用程序备份数据的策略，并通过一系列实验验证了该方法的适用性。

•

进一步提出了云计算取证中的一个新颖概念。该方法在不损害本地数据完整性的前提下，允许分析备份时的历史云快照，并在受控网络环境中观察后续的数据流入，从而扩展了移动应用程序云计算取证的能力边界。

•

提供了一个实用的取证工具（SHARF）。该工具利用供应商特权化的应用程序备份文件，完全自动化地模拟相应应用程序，实现一键获取本地和云数据。其有效性已通过在多种智能手机型号和各种智能家居应用程序上进行的实验得到验证。

本文的结构如下：第2节回顾了关于智能家居设备取证和手机应用取证的先前研究。第3节详细介绍了所提出的应用程序模拟方法，包括从多个供应商获取高权限备份的解析工作流程、目录映射和权限恢复策略，以及基于模拟器的应用程序运行状态重建。第4节报告了实验结果，证明了该方法的实际有效性，通过分组实验识别了关键会话数据，并评估和讨论了其在不同品牌、型号和Android版本的智能手机以及不同应用程序中的适用性和局限性。本节还简要介绍了本研究中开发的智能家居应用模拟取证工具。最后，第5节总结了我们的工作。

部分摘录

物联网和智能家居系统的取证研究

智能家居设备的出现及其后续的普及引起了研究人员的兴趣，促使人们提出了许多针对物联网和特定智能家居设备的取证框架。在他们的学术研究中，Ahmed等人（2024年）对物联网取证领域进行了深入探讨。他们的分析详细研究了调查人员面临的众多挑战，这些挑战源于物联网网络固有的异构架构

概述

为了解决上述挑战，本文提出了一种不需要事先访问目标应用账户凭据的模拟方法，在备份生成过程中手机也不需要连接互联网。该方法假设可以合法访问未锁定的智能手机，因为必须在该设备上操作供应商内置的备份或迁移功能。

实验验证

为了验证所提出方法的有效性和适用性，设计并进行了一系列实验。首先，选择了一个典型的智能家居应用程序来重现该方法，以验证模拟器中的界面状态和云交互是否与源设备一致。随后，对不同目录进行了tar目录分组迁移实验，以验证不同目录类型数据的影响

结论

本文提出了一种利用供应商定制ROM提供的高权限Android备份数据进行智能家居应用取证分析的新方法。与依赖于root权限、JTAG或直接操作被扣押手机的传统方法相比，该方法以系统内置的备份/迁移功能为切入点，在源设备离线时生成应用程序备份包，然后重建一个登录状态的应用程序环境

CRediT作者贡献声明

卢兆：撰写——原始草稿、验证、软件、方法论、调查、资金获取、概念化。刘思琪：调查、方法论、验证、撰写——审阅与编辑。杜彦辉：撰写——审阅与编辑、监督、概念化。

利益冲突声明

作者声明他们没有已知的可能会影响本文所述工作的财务利益或个人关系。