مستشعر الهاتف
يعمل مستشعر الهاتف على الجهاز محل التحقيق، فيسجّل ما يتيحه له نظام التشغيل، ثم يسلّم هذا السجل إلى محطة التحليل بوصفه دليلًا.
منصتان
تتيح Apple وGoogle لتطبيق مثبَّت قدرًا مختلفًا جدًا من المعلومات. وبدل وصف قدرة لا تصح إلا على منصة واحدة، هذه هي الصورة الصادقة لكل منهما.
Android
يجرد التطبيقات وأذوناتها، ويسجّل ترجمة أسماء النطاقات بما فيها الإجابات، ويقيّم الوضع الأمني للجهاز، ويطابق مؤشرات الاختراق على الهاتف نفسه.
iOS
يسجّل الاتصالات التي يجريها الجهاز والأسماء التي يستعلم عنها، ويوقّع هذا السجل باستخدام عنصر الأمان العتادي في الجهاز. وهو لا يجرد التطبيقات، ولا يقرأ الأذونات، ولا يقيّم الوضع الأمني، ولا يطابق المؤشرات على الجهاز.
حين يعجز الهاتف عن رؤية شيء، كثيرًا ما يستطيع رصد مستقل للشبكة رؤيته. ولذلك نعدّ رصد Guardian في تحقيقات iOS ضروريًا لا مكمّلًا في العادة — ونفضّل قول ذلك على الإيحاء بأن المنصتين تقدّمان الصورة نفسها.
بعض هذه الفروق قيود في منصة Apple لا تغيّرها أي هندسة من جانبنا. وبعضها الآخر نقص في مستشعرنا على iOS، وهو في مرحلة أبكر من نظيره على Android. والتمييز بين الأمرين مهم عند الاستدلال على معنى غياب النتائج، ولذلك يُذكر في كل سطر على حدة.
| ما يُرصد | Android | iOS |
|---|---|---|
| جرد التطبيقات المثبتة | جرد كامل، مع مصدر التثبيت وبيانات التوقيع والخط الزمني للاستخدام | غير متاح — لا يوفّر iOS أي آلية لذلك |
| الأذونات الممنوحة للتطبيقات | تُسجَّل، بما في ذلك ما هو ممنوح منها وما هو حساس | غير متاح |
| الوضع الأمني للجهاز | حالة قفل الشاشة، وإعدادات VPN والخادم الوكيل، ومؤشرات على كسر حماية النظام | غير متاح |
| ترجمة أسماء النطاقات — الاستعلامات | تُسجَّل | تُسجَّل |
| ترجمة أسماء النطاقات — الإجابات | تُسجَّل | لا تُسجَّل حاليًا — وهذا نقص في مستشعرنا على iOS، لا قيد من قيود المنصة |
| تدفقات الشبكة | تُسجَّل، مع عدّادات البايتات في كل اتجاه | تُسجَّل، مع عدّادات البايتات في كل اتجاه وعدّادات الحزم لكل تدفق |
| بصمة الجلسات المشفَّرة | تُسجَّل في وضع الجمع الموسّع | غير متاح |
| نسبة النشاط إلى التطبيق | جزئية | غير متاح — قيد من قيود منصة Apple |
| مطابقة مؤشرات الاختراق على الجهاز | مدعومة، في مقابل حزم مؤشرات موقَّعة | غير متاح — تجري المطابقة في محطة التحليل |
| سلامة ملف التصدير | يحمل ملف التصدير بيان تجزئة لكل ملف | يُوقَّع ملف التصدير على الجهاز باستخدام عنصر الأمان العتادي فيه |
| الجمع دون تدخل | يستمر تلقائيًا بمجرد بدء الجلسة | غير مدعوم — تُبدأ كل جلسة وتُوقَف على الجهاز نفسه |
سير العمل
يعمل المستشعر دون اتصال على الهاتف، ثم يسلّم ما توصّل إليه إلى محطة التحليل في ملف تصدير مستقل قابل للتدقيق.
على الجهاز محل التحقيق، وضمن التصريح الذي يشمله.
يُسجَّل محليًا. ولا يلزم اتصال بالشبكة.
سجل لما رُصد وللظروف التي رُصد فيها، يحمل ما يثبت سلامته بما يناسب منصته.
تدقّق محطة التحليل ملف التصدير، وتسجّل نتيجة التدقيق مع الدليل، ثم تربطه بملاحظات Guardian التي تغطي الفترة نفسها.
الحدود
يشمل النشر التجريبي مستشعرات الهاتف إلى جانب جهاز Guardian ومحطة تحليل، لترى بنفسك كيف يترابط الرصد من داخل الجهاز مع رصد الشبكة على عتاد حقيقي.