Då datorer i alla dess former har kommit att bära betydande mängder relevant information för diverse forensiska utredningar så krävs en ingående kunskap gällande hur denna data lämpligast infångas. En typ av klient som nyligen har gjort sitt kommersiella intåg på marknaden är den internetbaserade tunna klienten. Det existerar i dagsläget begränsat med underlag gällande huruvida en sådan klient bär information som är relevant för en IT-forensisk utredning. Inom denna uppsats har därför en internetbaserad tunn klient av typen Chromebook varit mål för undersökning. Syftet har varit att kartlägga vilka sårbarheter som existerar, samt om möjligt huruvida dessa kan brukas som underlag vid en forensisk utredning. För detta ändamål har klientens lagrings- samt kommunikationsmönster analyserats. För genomförandet av detta brukades experimentella metodiker i form av penetrationstest samt IT-forensisk undersökning. Det har även kartlagts huruvida programvaror avsedda för operativsystemet Linux kan exekveras på klienten. Ändamålet med detta var att fastställa om klientens volatila minne kan utvinnas med hjälp av verktyg för just Linux. Rapportens resultat påvisar att det inom en klient av denna typ finns forensiskt värdefull information att inhämta. Det påvisas även att Chrome OS från en användares perspektiv kan anses som säkert. / Computers in various forms have come to carry a significant amount of relevant information for various forensic investigations. Therefore, detailed knowledge is required regarding how this data is best acquired. One type of client that has recently made its entry onto the commercial market is the Web Thin Client. As it is today, only a limited amount of relevant information can be found regarding in what capacity such a client contains data that is relevant to an IT-forensic investigation. For this reason, a Web thin client of the model Google Chromebook has been evaluated in this paper. The purpose of this examination has been to identify the vulnerabilities that currently exist, and if possible whether these can be used as a basis for a forensic investigation. To achieve this, the client's storage and communication patterns have been analyzed by implementation of experimental methodologies. The methods used for the purpose are penetration testing and an IT forensic investigation. Tests have also been performed to evaluate whether software for the Linux operating system can be executed on the client. The purpose of this was to determine whether the client's volatile memory can be extracted using tools created for Linux. The results presented in this paper demonstrate the fact that within a client of this type, valuable forensic information can be located. It is also established that Chrome OS from a user's perspective can be considered as safe.

Mobiltelefoner innehåller idag en stor mängd information som är av stort forensiskt intresse. Att skydda informationen i sin telefon är en självklarhet för många och utvecklarna av de mobila operativsystemen lägger nu större vikt på säkerhet och skydd av information. Kryptering är idag standard i de flesta mobiltelefoner och det leder till problem vid utvinning. Arbetet tar upp och jämför hur kryptering hanteras av iOS, Android och Windows Phone och vilka tillvägagångssätt som finns vid utvinning av data genom att kringgå skärmlåsen som krävs för att krypteringen ska fungera. Arbetet ger även en inblick på molnlagring i och med att det blir allt vanligare och kan komma att bli mer relevant för forensiker eftersom telefonerna blir allt svårare att utvinna data ifrån. Dessutom ges en liten inblick på forensiska verktyg som finns idag, vilka brister de har och vad som är oklart hos dem.  Frågeställningarna har besvarats genom att en grundläggande litteraturstudie genomförts för att få den bakgrundsfakta som krävs. Därefter gjordes det experiment för att visa på brister i de forensiska verktygen. Avslutningsvis svarade två it-forensiker från polisen på intervjufrågor via mail, det gjordes för att lyfta fram problematiken och visa på hur situationen ser ut i arbetslivet idag.  Arbetets resultat visar på att alla operativsystem ger, beroende på hur användaren har anpassat telefonen, möjlighet till fullt skydd mot utvinning. Och därmed klarar de forensiska verktygen som finns idag inte av att utvinna någon relevant information ifrån de senaste mobiltelefonerna. Som forensiker borde man utnyttja att molnlagring börjat användas mer och mer, då det där kan finns mycket bra information. Slutsatser som kan dras efter arbetet är att det behövs nya metoder för att utvinna data ifrån mobiltelefoner då de metoder som tidigare använts inte är kompatibla med de senaste telefonerna på grund utav de krypteringsfunktioner som används. Det finns metoder som kan fungera, men dessa metoder fungerar bara med rätt förutsättningar, vilket gör att det inte är en lösning som man alltid kan applicera. Forensiker borde även utforska möjligheten att få fram information ifrån molnlagringstjänster ifall data på telefonen är oåtkomlig för alla utom ägaren. Arbetet syftar inte till att ta fram nya metoder för utvinning eller arbetssätt inom det stora området forensik, utan kartlägger problemområdet inom mobilforensik och ger förslag på och diskuterar möjliga lösningar.

The ordinary phone of today is not the same as it was 10 years ago. We still use them tomake phone calls and to send text messages, but the ordinary phone of today has muchmore uses, it is essentially a computer. To put into context to 10 years ago, it is a verypowerful computer, capable of processing wide array of information and presenting it tothe user. Nearly every single device today has a wireless connection, which makes everyuser connectable and able to use online services and internet at any time and place.This gives the user the possibility to integrate his or hers everyday actions with socialmedia and different search functions. Being able to search the internet for persons,restaurants, public transportation and a lot more is very useful to most. Searching andinteracting in the near vicinity where you currently are is even more useful, this presents uswith location data.The usage of location data grants computer forensics a unique possibility to position adevice at a specific date and time. This can be helpful in court to sentence a perpetrator orto free an innocent.In this paper, we will try to explain the different methods used for mobile devicepositioning and present information how some popular applications make use of andmanage geographic positioning.

Every website, computer and IT system have users who need to verify their identity throughauthentication. The most common form of authentication today is to apply an alphanumericpassword. Passwords are often based on biographical information that can be derived from the userhimself and common elements that are usually utilized while creating passwords are names, petnames, family related, and date of birth. While passwords today are often based on the individual'sbiographical elements, the police have problems cracking encrypted devices because it takes a longtime and is complex to identify the correct password among all possible combinations. This problemis the basis for the work and is the reason why this model for how biographical dictionaries should bestructured and contain is created. To design the model, a literature review has been carried outwhere elements have been defined and a structure formed. Interviews with IT forensics from thepolice and NFC were then held to refine the different elements and structure of the initial model andto create a reality anchor. The result of this work is a product in the form of a model that can be usedto create biographical dictionaries based on target people. The model demonstrates whichbiographical elements are relevant for finding potential passwords. The conclusion drawn is that themodel can facilitate the work of the police and IT forensics when it comes to cracking people'sbiographical passwords. By using a dictionary that is built with the model, time-consuming attackssuch as brute-force attacks or more general dictionary attacks do not need to be applied. / Till varje hemsida, dator och IT-system finns användare som behöver verifiera sin identitet genomautentisering. Den vanligaste formen av autentisering är idag att applicera ett alfanumerisktlösenord. Lösenord bygger ofta på biografiska uppgifter som kan härledas från användaren själv ochvanliga element som brukar användas vid lösenordsgenerering är: namn, husdjursnamn, familj ochfödelsedatum. Samtidigt som lösenord idag ofta bygger på individens biografiska element har polisenproblem att knäcka krypterade enheter på grund av att det tar lång tid och är väldigt komplext attidentifiera rätt lösenord bland alla möjliga kombinationer. Detta problem ligger till grund för arbetetsamt är orsaken till varför denna modell för hur biografiska ordböcker ska vara strukturerade ochinnehålla skapas. För att utforma modellen har en litteraturöversikt genomförts där element hardefinierats och en struktur formats. Intervjuer med IT-forensiker från polisen och NFC hölls därefterför att förädla den initiala modellens olika element och struktur samt att skapa enverklighetsförankring. Resultatet av detta arbete är en slutprodukt i form av en modell som går attnyttja för att skapa biografiska ordböcker utifrån målpersoner. Modellen påvisar vilka biografiskaelement som är relevanta för att hitta potentiella lösenord. Slutsatsen som dras gör gällande attmodellen kan underlätta polisens och IT-forensikers arbete när det kommer till att knäcka personersbiografiska lösenord. Genom att nyttja en ordbok som är uppbyggd med modellen behöver intetidskrävande angrepp som ”brute force” attacker eller mer generella ordboksattacker appliceras.

Molntjänster används idag över hela världen och ger många fördelar för en användare eller företag. En nackdel med molnet är att det är en miljö som kriminella kan använda sig av för att utföra brott. En anledning till att molnet är en attraktiv plats för kriminella är på grund av bristen på IT-forensiska metoder för att utföra en undersökning mot molnmiljön. När ett brott har anmälts i molnet så kommer en IT-forensiker utföra en undersökning genom att samla in digitala bevis för att avgöra vad som har hänt, dock kan detta vara problematiskt på grund av molnets komplexitet. Det traditionella sättet för att utföra en IT-forensisk undersökning blir en utmaning i molnet på grund av flera anledningar, några av dem är molnets dynamiska miljö och att flera användare delar på samma resurser. Denna studie genomför en systematiskt litteraturstudie för att identifiera tekniska utmaningar och möjligheter vid en IT-forensisk undersökning i molnet. Flera utmaningar och möjligheter identifierades från existerande litteratur som i sin tur kategoriserades och sammanställdes i modeller. Flera utmaningar tas upp som att datan i molnet inte är centraliserad och att virtuella maskiner kan vara i ett volatilt tillstånd. Vid möjligheter så går det exempelvis att hämta ögonblicksbilder från molnet för att utföra en analys på och även hämta bevis från en klients dator. / Cloud services are being used all over the world today and provides several benefits for a user or a company. A downside with the cloud is that it is an environment that criminals can use to conduct a crime. One reason why a criminal uses the cloud to conduct a crime is due to the lack of suitable digital forensic techniques against the cloud environment. When a crime has been reported in the cloud, a digital forensics investigation can occur to gather digital evidence to determine what has happened. Unfortunately, this could be problematic because of the complexity of the cloud environment. The traditional way of conducting a digital forensic investigation becomes a challenge in the cloud because of several reasons. Some of the reasons are the dynamic environment of the cloud and that several users share the same resources. This study will conduct a systematic literature review to identify technical challenges and possibilities in a digital forensic investigation in the cloud. Several challenges and possibilities were identified from existing literature which in turn got categorized and compiled into models. This study presents challenges, for example the data in the cloud is not centralized and virtual machines may be in a volatile state. There are several possibilities for instance, collecting snapshot for analysis and collect evidence from a client’s computer.

I takt med att världen blir alltmer uppkopplad och digitaliserad, är det en ständig utmaning för lagstiftningen att hänga med i utvecklingen. Digitaliseringen har också öppnat upp en helt ny arena för brottslighet, där elektroniska enheter och information har blivit alltmer centrala. För att bekämpa den ökande brottsligheten i den digitala sfären, har det funnits ett behov av att säkra digitalt bevismaterial som lagras utanför den fysiska enheten. Tidigare kunde det vara svårt att komma åt dessa digitala bevis på ett effektivt och lagligt sätt. Den nya lagen om genomsökning på distans har öppnat upp för möjligheten att säkra digitalt bevismaterial även utanför den lokala enheten. Syftet med uppsatsen var att undersöka hur lagen har påverkat det IT-forensiska arbetet, samt kartlägga möjligheter och utmaningar som lagen medför. Därutöver lyfter arbetet även fram önskemål på förändringar i lagen ur ett IT-forensiskt perspektiv. Detta undersöktes med hjälp av en kvalitativ studie där det utfördes intervjuer med IT-forensiker på Polismyndigheten och en verksamhetsutvecklare på NFC. / As the world becomes increasingly connected and digitized, it is a constant challenge for legislation to keep up with the pace of the technical development. Digitalization has also established an entirely new arena for criminal activity, where electronic devices and information have become increasingly central. To combat the increasing digital crime, there has been a need to secure digital evidence stored outside of the physical device. Previously, it could be difficult to access this digital evidence in an effective and legal manner. The new law on cloud forensic investigation has enabled the probability of securing digital evidence even outside of the local device. The purpose of this essay was to examine how the law has affected the IT-forensic investigation work, as well as to identify the opportunities and challenges posed by the law. In addition, the work highlights requests for changes to the law from an IT forensic perspective. This was investigated using a qualitative study where interviews were conducted with IT-forensic experts from Polismyndigheten and a developer from NFC.

IT system intrusions are a problem today and the belief that all you need is a strong outer defense has faded. Today continuous monitoring of the IT infrastructure is widespread and alerts are continuously investigated. The clarity of what caused the alert will vary from a clear brute-force attempt to something more sophisticated that could be perceived as normal activity. The investigation of these alerts can bring clarity or in the worst case dismiss a legit intrusion as some system event or user action. The risk should vary depending on how easy or hard an intrusion is to detect, investigate, and for how long the artifacts will remain on a system. By investigating if different attacks carry different risks it should be possible to use this in a tool like threat modeling. The detection risk that different attacks carry can affect where a defender should spend their resources and provides awareness of the types of attack that they are especially vulnerable to. An environment is set up where an attacker targets a victim with chosen attacks and each attack step is forensically investigation with open-source tools. In this forensic investigation logs, files, active tasks, and network connections are investigated. In the end, the results indicate that it is possible to conclude that different attacks carry different risks. Three grading parameters are suggested based on this work, and these parameters could be used in a threat modeling implementation. / Idag är intrång in i IT system ett problem och idén om att det räcker med ett stark yttre försvars är passé. Kontinuerlig övervakning av IT system är nu vanligt och varningar som uppstår är undersökta. Vad som orsakade varningen kan varierar från rätt uppenbara saker så som brute force attacker till mer sofistikerade attacker som kan antas vara normal aktivitet. Att undersöka varningarna kan ge klarhet i vad som hänt eller i värsta fall avvisa ett intrång som någon systemhändelse eller användarhandling. Risken borde variera beroende på hur enkelt det är att upptäcka, undersöka och hur länge som artefakterna finns kvar på systemet. Genom att undersöka om olika attacker kommer med olika risker så borde det vara möjligt att använda denna kunskap inom ett verktyg så som hot modellering. Med denna kunskapen kan försvarare lättare spendera sina resurser där de behövs mest och vara medvetna om vilka attacker de är extra sårbara för. Genom att sätta upp en miljö där en anfallare attackerar ett offer med förbestämda attacker och efter varje attacksteg genomföra en forensisk undersökning med open-source verktyg. Där loggar, filer, aktiva processer och nätverks uppkopplingar undersöks. Resultaten pekar efter detta på att det är går att anta att olika attacker kommer med olika risknivåer. Baserat på detta arbetet så föreslås tre stycken klassificeringspunkter som kan användas inom till exempel hotmodellering.

Lösenord har länge varit den metod som föredragits av användare för att skydda användarkonton och känslig information. I strävan till att finna enklare, snabbare och säkrare autentiseringsmetoder har biometriska säkerhetslösningar snabbt vuxit i popularitet. Mobiltelefoner har traditionellt skyddats med hjälp av lösenord men har på senare tid även börjat inkludera någon form av biometrisk sensor för autentisering.   Genom att utföra en kvalitativ intervjustudie med IT-forensiker som arbetar på Polismyndigheten inom olika distrikt i Västra Götalands län undersökte denna studie forskningsfrågan: hur har biometriska säkerhetslösningar i jämförelse med lösenord påverkat IT-forensikerns arbete på Polismyndigheten? Studien visar att biometrisk utrustning inte ger extra säkerhet i jämförelse med lösenord, eftersom en bakomliggande säkerhetskod alltid finns till hands ifall den biometriska sensorn slutar fungera. Därmed dras biometriska enheter med samma sorts svagheter som alltid funnits med lösenord. Nyckelord: biometri, lösenord, säkerhet, etik, juridik, IT-forensik. / Passwords have long been the users’ preferred method of choice to protect user accounts and sensitive data. In a strive to find simpler, quicker and more secure forms of authentication methods, biometric security solutions have seen an increased in popularity. Most mobile phones now include a type of biometrical sensors as an option for authentication. By conducting a qualitative interview study with IT-forensics employed by the police force in different districts in Västra Götaland county, this study aims to investigate the research question: How have biometric security solutions in comparison to passwords influenced the working methods of IT-forensics at the Swedish Police Authority? The study shows that biometric security solutions give no added benefit to security in comparison to passwords, because there is always an underlying security code that is ready to be used in case the biometric authentication fails to work. Therefore, biometric devices suffer from the same kinds of weaknesses that have always plagued passwords. Keywords: biometrics, passwords, security, ethics, law, IT-forensics.

En fallstudie tillämpades för att undersöka de inbyggda apparna, Internet Explorer 10, den nya utforskaren File Explorer och reparationsverktyget ”Återställ datorn utan att ta bort filer” i Windows 8. Analysen visade att apparna E-post, Kontakter och Meddelanden sparade större delar av användarens Facebook-profil lokalt på datorns hårddisk. När bildfiler öppnades upp med appen Foton sparades miniatyrbilder av originalet på hårddisken. När videofiler spelades upp med appen Video sparades filnamnet i filer. Databasfilen index.dat som i tidigare versioner av Internet Explorer sparade webbhistorik har tagits bort och ersatts av ESE-databasen WebCacheV01.dat. Precis som föregångaren i Windows 7 sparar File Explorer både snabblistor, genvägsfiler och miniatyrbilder.  Digitala spår från det tidigare operativsystemet lämnades kvar efter reparation med ”Återställ datorn utan att ta bort filer” i foldern Windows.old.

In contemporary encryption the vast amount of text subject to cracking has brought about the demand for methods distinguish files more likely to be encrypted. The encryption software Truecrypt can encrypt files that are not possible to identify with a file signature. To solve the detection problem, an algorithm sensitive to the absence of structure in the very code of files was developed. The program was written in the programming language EnScript which is built into the forensic software suite EnCase. The essential part of the algorithm therefore deployes the statistic of a chi-square test for deviance from a uniform distribution to distinguish files with contents that appear to be random. The program managed to detect encrypted files that were created with Truecrypt. Test results indicate that the newly developed program is nearly double as fast and has at least the same accuracy in the detection as other pro- grams. The software is licensed under open source standard GNU GPL. The procedure developed will drastically facilitate for computer forensic experts to detect if any existing encrypted file is located on the hard drive.