عندما تصل الأدلة الرقمية إلى طبقة العتاد

لم تعد حيازة الجهاز كافية بالضرورة للوصول إلى البيانات التي تحتاجها التحقيقات الرقمية. فالهواتف الذكية ومحافظ العملات المشفرة ووحدات التخزين والأنظمة المضمنة قد تتيح للفريق التعرف إلى الجهاز وفحص جزء من بيئته البرمجية، بينما تبقى الملفات أو الاتصالات أو سجلات المعاملات محمية بآليات تعمل في طبقة العتاد.

هذه هي الفكرة المركزية في مادة كتبها Marc Witteman وThomas Ostrowski وCraig Mackson ونشرتها Semiconductor Engineering. ويشير النص إلى أن الإقلاع الآمن، والعنصر الآمن (Secure Element)، وبيئة التنفيذ الموثوقة (TEE)، والتخزين المشفر، وغيرها من وسائل الحماية المدعومة عتادياً، يمكن أن تحدد كيفية بدء الجهاز، وكيفية التصريح بالوصول، وأي مكونات تستطيع الوصول إلى البيانات المحمية.

ما الذي يتغير في التحقيق الرقمي؟

تبدأ التحقيقات التقليدية غالباً من نظام التشغيل أو نظام الملفات أو النسخ الاحتياطية أو واجهات التطبيقات المتاحة. لكن عندما تكون المعلومة المطلوبة خلف حاجز تنفذه شريحة أو مكوّن أمني، فإن السؤال لا يعود مقتصراً على كيفية استخراج البيانات. يتعين على الفريق أولاً تحديد ما الذي يمنع الوصول، وأين تنفذ آلية الحماية، وما إذا كان هناك مسار تقني قابل للتطبيق لفحصها.

قد لا تتوفر مخططات الجهاز أو شيفرته المصدرية أو وثائقه الهندسية، خصوصاً إذا كان الجهاز مصادراً أو مملوكاً أو قديماً أو مصمماً لمقاومة الوصول غير المصرح به. لذلك تقترح المادة توصيف الجهاز مباشرة، عبر تحديد مكوناته المهمة، وفحص واجهاته المتاحة، ومراقبة سلوكه أثناء العمليات الحساسة أمنياً، ومحاولة معرفة المكونات التي تتحكم في الوصول. ولا يهدف هذا التوصيف إلى تحليل كل جزء من الجهاز، بل إلى تحديد الآلية التي تفصل المحقق عن البيانات ذات الصلة بالقضية.

أداتان عند الحاجة إلى طبقة أعمق

تذكر المادة تحليل القنوات الجانبية (Side-Channel Analysis) وحقن الأعطال (Fault Injection) بوصفهما أسلوبين محتملين ضمن التحقيقات المتقدمة. يقيس تحليل القنوات الجانبية إشارات فيزيائية تصدر أثناء تنفيذ الجهاز لعملية معينة، وقد يكشف نشاطاً داخلياً لا يظهر عبر واجهات البرمجيات المعتادة.

أما حقن الأعطال فيعتمد على إحداث اضطراب مضبوط أثناء تشغيل الجهاز لمعرفة ما إذا كان من الممكن التأثير في عملية أمنية محددة. ويؤكد النص أن اختيار الأسلوب يجب أن يتبع نوع الجهاز وآلية الحماية والمعلومة التي يحاول الفريق الوصول إليها. ومن القنوات التي يمكن دراستها التوقيت والطاقة والانبعاثات الكهرومغناطيسية والضوء، مع اختلاف ملاءمة كل قناة بحسب إمكانية الوصول ومستوى الحماية.

وتشير المادة، على سبيل المثال، إلى أن فحص الانبعاثات الكهرومغناطيسية قد يساعد في دراسة نوع التشفير أو طريقة تنفيذه من دون إجراء تعديلات مادية، بينما قد يستخدم الباحثون اضطراباً زمنياً مناسباً لاختبار عملية التحقق من كلمة المرور. هذه أمثلة تقنية حساسة، ولذلك ينبغي أن تُنفذ فقط ضمن صلاحيات قانونية وإجراءات جنائية مضبوطة وقابلة للتكرار.

كيف تُبنى القدرة المناسبة؟

لا ينبغي أن يتحول اختبار أمن العتاد إلى هدف مستقل عن التحقيق. الهدف يظل الوصول إلى معلومات مرتبطة بالقضية، مع الحفاظ على سلامة الأدلة وتوثيق الخطوات وإمكانية إعادة النتائج. ولهذا تقترح المادة أن تقيّم الجهات أسئلة عملية قبل إنشاء مختبر داخلي، منها: عدد التحقيقات التي تعطل فيها الوصول إلى جهاز محمي، وأنواع الأجهزة الأكثر صعوبة، والمعلومات المطلوبة عادة، والخبرات والمعدات المتوافرة، وما يلزم تنفيذه داخلياً أو يمكن إسناده إلى جهات متخصصة.

قد يكون تطوير خبرة داخلية أكثر منطقية للمنظمات التي تتعامل بصورة متكررة مع الهواتف المحمية أو محافظ العملات المشفرة أو الأنظمة المضمنة أو الإلكترونيات المخصصة. أما الحالات الأقل تكراراً فقد تستدعي الاستعانة بخبراء خارجيين بدلاً من بناء مختبر كبير لا يتناسب مع حجم الحاجة.

لماذا يهم هذا الخبر؟

التغير الفعلي هنا هو انتقال جزء من التحقيق الجنائي الرقمي من استخراج البيانات عبر البرمجيات إلى فهم آليات الحماية الفيزيائية التي تتحكم في الوصول إليها. وهذا يوسع نطاق المهارات المطلوبة لدى المختبرات، لكنه لا يثبت أن كل جهاز محمي قابل للاختراق أو أن كل تقنية ستنتج دليلاً صالحاً. فالنتيجة تعتمد على تصميم الجهاز، وإمكانية الوصول إلى مكوناته، ونوع الحماية، والقيود القانونية وسلامة المنهج.

وتجدر الإشارة إلى أن المادة منشورة بصيغة مدونة راعٍ، كما أن مؤلفيها مرتبطون بـ Keysight Technologies، التي تذكر في النص أنها توفر أدوات ومختبرات وتدريباً لفرق الأدلة الجنائية. لذلك تقدم المادة إطاراً مفيداً لتحديد الاحتياج، لكنها لا تمثل تقييماً مستقلاً لأداء أدوات بعينها، ولا تعرض نتائج اختبار موثقة لجهاز أو قضية محددة.