AFU (After First Unlock)
Grundbegriff
Der Begriff „AFU“ steht als Abkürzung für „After First Unlock“, dt. in etwa „nach der ersten Entsperrung“. Es ist ein vornehmlich in der Mobilgeräteforensik angewandter Begriff für den Status eines (Mobil)-Gerätes, kann als Konzept jedoch prinzipiell auch auf andere Geräte angewandt werden.
Definition und Erklärung für Mobilgeräte
Bei heutigen Mobilgeräten ist im persistenten Flash-Speicher i.d.R. die Nutzerdatenpartition mit sog. FBE (File-based-Encryption) verschlüsselt. Diese Verschlüsselung wird z.B. über Hardware-Coprozessor-Subsysteme realisiert, so dass Schlüssel nicht ausgelesen werden können. Vereinfacht lässt sich der Zustand folgendermaßen beschreiben: Wurde das Gerät hochgefahren, ohne die PIN bzw. den Entsperrcode einzugeben, hat es lediglich Zugriff auf die eigene Systempartition, da diese keine sensitiven Nutzerdaten enthält. Das Gerät enthält erst durch die korrekte Eingabe des Entsperrcodes Zugriff auf die eigene Nutzerdatenpartition. Folglich können auch die meisten Applikationen erst nach der erstmaligen Eingabe des Sperrcodes nach einem Neustart auf ihre Sandbox-Datenbereiche zugreifen. Nach dem erstmaligen korrekten eingeben des Sperrcodes nach dem Hochfahren befindet sich das Mobilgerät im AFU-Zustand, bis es das nächste Mal neugestartet wird.
Im AFU-Zustand befindet sich der Schlüssel bzw. die Schlüsselkette zur Entschlüsselung von Nutzerdaten im Hauptspeicher. Aus Usability-Gründen wird das Schlüsselmaterial dort vorgehalten, damit z.B. Applikationen ihre Hintergrundaufgaben ausführen können, ohne dass der Nutzer wiederholt seinen Entsperrcode eingeben muss.
Relevanz für die IT-Forensik
In der IT-Forensik sind die Nutzerdaten eines Mobilgerätes von hohem Wert. Bei Geräten im AFU-Zustand ist demnach eine Sicherung von entschlüsselten Nutzerdaten (ggf. ohne Kenntnis des Entsperrcodes) möglich, sofern sich Zugriff zum Betriebssystem und dem Hauptspeicher verschafft wird. Dieser Zugriff kann bspw. durch Ausnutzung von Sicherheitslücken geschehen. Dadurch werden aufwändige bzw. technisch nicht realisierbare Entschlüsselungsversuche der extrahierten Daten vermieden.
