Questão de Segurança da Informação — Computação Forense — CESPE / CEBRASPE 2025

Computação Forense: identificação da versão do sistema operacional

✅ CERTO. A afirmação está correta: a identificação precisa da versão do sistema operacional é etapa essencial na perícia forense de dispositivos móveis, pois determina quais ferramentas e técnicas de extração são compatíveis e eficazes, além de influenciar a interpretação dos dados obtidos. Essa é uma premissa básica da computação forense, que envolve a preservação, identificação, extração, documentação e interpretação de dados digitais.

A computação forense é o ramo da ciência forense digital que lida com evidências encontradas em computadores e mídias de armazenamento digital, com o objetivo de examinar a mídia de forma a identificar, preservar, recuperar, analisar e apresentar fatos e opiniões sobre a informação digital. No contexto de um aparelho celular apreendido em uma operação contra crimes financeiros, a correta identificação do sistema operacional (por exemplo, Android ou iOS) e sua versão específica é crucial por vários motivos.

Primeiro, cada sistema operacional possui estruturas de arquivos, formatos de banco de dados e mecanismos de armazenamento próprios. Por exemplo, um iPhone (iOS) utiliza o sistema de arquivos APFS e armazena dados em um formato específico, enquanto um Android pode usar ext4 ou F2FS. As ferramentas de extração forense, como o Cellebrite UFED, são desenvolvidas para funcionar com versões específicas do sistema operacional; uma versão desatualizada da ferramenta pode não suportar a versão mais recente do Android, resultando em extração incompleta ou falha.

Segundo, a versão do sistema operacional influencia as técnicas de extração disponíveis. Por exemplo, a extração lógica (que coleta dados por meio de APIs do sistema) pode ser mais fácil em versões mais antigas, enquanto versões mais recentes podem exigir técnicas avançadas como extração física ou até mesmo a exploração de vulnerabilidades (forense baseada em exploits). Além disso, a versão do sistema operacional pode afetar a interpretação dos dados: formatos de banco de dados (como o SQLite) podem variar entre versões, e a localização de artefatos (como mensagens, contatos, histórico de chamadas) pode mudar.

Terceiro, a identificação correta da versão é fundamental para garantir a integridade e a admissibilidade da evidência. Se o perito não souber a versão exata, pode usar uma ferramenta inadequada que altere os dados, comprometendo a cadeia de custódia e a validade da prova. A cadeia de custódia, embora não explicitamente nomeada no Código de Processo Penal, é um princípio que exige que a evidência seja preservada sem alterações, e a escolha correta da ferramenta é parte desse processo.

Na prática, o perito deve primeiro identificar o modelo do dispositivo e, em seguida, a versão do sistema operacional, muitas vezes por meio de informações na tela de bloqueio, nas configurações do sistema ou por meio de análise do sistema de arquivos. Essa informação é então usada para selecionar a ferramenta de extração adequada, como o Cellebrite UFED, o XRY ou o Magnet AXIOM, que possuem bancos de dados de suporte para diferentes versões de sistemas operacionais.

A banca explora aqui um conceito fundamental da computação forense: a necessidade de conhecimento técnico específico para lidar com cada dispositivo. A afirmação é uma verdade geral, sem exceções relevantes, e não há pegadinha sutil. O candidato que entende o fluxo de trabalho forense reconhece imediatamente a importância da identificação da versão do SO.

Item — ✅ Correto

A afirmação está correta porque a versão do sistema operacional é um dos principais fatores que determinam a compatibilidade das ferramentas de extração forense. Cada versão pode apresentar diferenças em relação a APIs, permissões, criptografia e formatos de armazenamento, o que exige que o perito escolha a técnica adequada. Por exemplo, a extração de dados de um iPhone com iOS 17 pode exigir ferramentas e métodos diferentes dos usados para iOS 15. Além disso, a versão do SO influencia a interpretação dos artefatos, como a localização de mensagens ou o formato de bancos de dados. Portanto, a identificação correta é fundamental para uma perícia eficaz e para a preservação da integridade da evidência.

Gabarito: letra C (Certo).