Citat:
Ursprungligen postat av
notknapparen
Råkade på det här när jag letade efter en länk till podden med rätteggångsinspelningarna (har glömt vem det var nu som hade den, letar ännu).
På tal om löpnummer i Telegram som du Avel nämnde.
Från Rättegångspodden;
Vittnet André Jansson, polisens IT-forensiker
(min fetning)
Åkl: Är det löpnummer på meddelandena eller?
AJ: Precis, varje meddelande får ett löpnummer, och det är det som...
/.../
Åkl: Så det är ett löpnummer som gäller från den användaren och inte i respektive konversation.
AJ: Precis, och det gäller då per enhet också.
Åkl: Kan det ha förekommit Telegram meddelanden mellan Lena och Stefan i maj 2018 som inte har gått att hitta?
AJ: Ja.
Åkl: Ett annat intressant datum är ju 11:e, 12:e maj 2018, har ni hittat nånting där?
AJ: Det har vi inte kunnat gjort.
Åkl: Men hur kan det vara så att man lyckats för just den här 14:e maj som är det intressantaste datumet kanske?
AJ: Det är ju för hur information sparas och hur den raderas. Eller rättare sagt, när du raderar så försvinner inte informationen utan den ligger kvar. Men ju längre bak i tiden desto större chans eller risk är det väl att informationen skrivs över med annan information.
Åkl: Och där 14:e maj, var har man återskapat där då? Från..
AJ: Hur menar du med...
Åkl: Ja, när man återskapar det där, är det från en, Stefans telefon, från Lenas konto...
AJ: Det är från Stefans telefon då, som det återskapas.
Åkl: Jaha, så den tas i beslag och sen så återskapar man där.
AJ: Precis.
Åkl: Och då har det legat sparat i telefonen och inte i nån molntjänst eller...?
AJ: Både i telefon och i molntjänsten.
Åkl: Ha...
AJ: Men, eh, gällande Telegram så ger dom inte ut information från deras molntjänst, vad jag vet.
Åkl: Jaha. Eh, har ni lyckats återskapa allt för det här 14:e dygnet?
AJ: Det går inte att säga. Men av det vi har sett så stämmer de här löpnummerna, så det ser inte ut som att det saknas delar i konversationen, men det går inte att säga när slutet och början är exakt.
/.../
https://www.flashback.org/sp72855010
Tack! Där har vi det ja.
Varför redovisar man inte dessa löpnummer då? Det är ju för fasen tokviktigt om det stämmer att sviten av meddelanden är obruten.
Så här kan det se ut när man rekonstruerat meddelanden i Telegram från Android-mobil:
https://www.bildtagg.se/bild/uhu8ro72t0jwz5q4qvlssnyu
MID är Message ID. Det enskilda meddelandets löpnummer.
UID är Dialog ID. Den enskilda chattens nummer.
READ_STATE har två värden: 2 eller 3.
2 betyder levererat men inte läst.
3 betyder levererat och läst.
SEND_STATE har värdet 0 eller 1.
0 betyder att meddelandet har sänts iväg.
1 betyder att det väntar på att bli skickat (pending)
DATA innehållet själva meddelandet. Video/röstsamtal/bild/platsdelning osv.
OUT har värdet 1 eller 0.
1 betyder att mobilinnehavaren har skickat meddelandet.
2 betyder att mobilinnehavaren har mottagit meddelandet.
Från fältet DATA i tabellen MESSAGES(bilden ovan) så kan det se ut så här när man hittar meddelanden, spår av meddelande till höger (suddig bild vet):
https://www.bildtagg.se/bild/rc1t1nbfzbp1oepow2kl5yv
———
Sen finns en tabell som heter DIALOGS.
Rödmarkerad här:
https://www.bildtagg.se/bild/6br0ur587x7sqeprytbj32k
DID är som vi vet Dialog ID. Unika numret för chatten.
DATE är senaste datum och tid för aktivitet i chatten (mottaget meddelande, sänt meddelande, raderat meddelande). Ska alltså gå att se sista aktiviteten i SD och LW:s chatt. Innebär att ska gå att se vilken tid SD raderar.
UNREAD_COUNT är mottagna men ej lästa meddelanden.
INBOX_MAX är högsta MID (Message ID) för mottagna meddelanden.
OUTBOX_MAX är högsta MID (Message ID) för inkomna meddelanden.
LAST_MID är senaste MID (Message ID) som är sänt eller mottaget i chatten.
Finns mycket mer men det blir lite för rörigt att ta allt på en gång så det var en liten introduktion.
Så funkar det i teorin. Frågan är om det gått att dra denna info ur SD:s mobil men datan borde finnas då de hittat både meddelandetexten (message>data) och datum (message<date) och även hittat om meddelandet är sänt eller mottaget (message>out = 1 eller 0). Så resten borde finnas där också.
Laborerar och vänder och vrider man med ovan så kanske man hittar tecken på manipulation av chatten.
Målet är alltså främst att säkerställa att Message ID löpnummer är i serie från t.ex att LW skickar bild på kakan och framåt.