Ta bort kryptering av internt minne i Android?

Detta var på en CAT S60 som kör Android 6.0.

Absolut kan det vara så. Dom krypterade som jag har är Android 4.4.x samt 6.0. Den okrypterade är Android 8.0. Så jag har själv ingen Android 9 att prova mot, d.v.s. alla mina är FDE eller inget alls.

Kika i dmesg i terminalen ifall den avslöjar något specifikt i ditt fall. Se också om Du kan hitta en log mapp som TWRP skriver till. Kan troligtvis vara en RamDisk monterad mot /tmp eller hela vägen mot /var/log. Kanske finns något där som avslöjar. En annan grej, som dock kan ta längre tid, är att kika in i källkoden för just din version utav TWRP, att där kika på vilka metoder den kör för dekrypteringen.

Om det är filbaserad kryptering så är jag lost i detta fall då jag inte har sådant i dagsläget. Frågan blir om där finns färdiga verktyg som kan dekryptera FBE filer som är raderade.

Du får slå gänget på Oxygen-Forensic en signal och fråga efter en kopia utav https://www.oxygen-forensic.com/en/products/oxygen-forensic-d... .

Om jag läst rätt så används dm-crypt vid FDE och man använder ext4 encryption, senare kallad fscrypt för FBE.

Vid FDE har man en nyckel för att låsa upp disken och alla kommer åt datat i det läget, vilket betyder att en kvarglömd telefon på café är i praktiken hela lagringen upplåst även om låsskärmen är aktiv - och skicklig hackare kan ta sig förbi denna så länge telefonen inte har stängts av innan.

Med FBE så kan man styra med olika nycklar och individuella nyckelringar för olika mappar och det är möjligt att göra en kryptering som bara användaren kan läsa då den har nyckelringen för det filträdet medans root/OS ser bara de krypterade filerna/mapparna, - ja kanske rent av bara roten på mappen då även mappfilerna som beskriver innehållet (lista med filnamn + inodnummer) för nivån lägre ned i mappträdet då mappfiler är en fil precis som datafiler.

Från android 10 så finns bara FBE medans android 7-9 så kan man välja vilken och vilken som används default styrs av policys av Google själv, telefontillverkare eller mobiloperatör, och innan dess var det förmodligen bara FDE när det var påslaget (det gjorde man helst inte på android 4 och lägre av prestandaskäl) med dom nackdelarna det var med extremt reducerad funktionalitet (typ kunna slå 112 endast) innan lagringen var öppnad och tex. timer/larm/klockor fungerade inte innan disken var öppnad.

Med FDE så måste lagringen alltid vara öppnad om telefonen skall vara användbar, men med FBE så kan man låsa olika delar av filsystemet som när tex. låskärmen är aktiv och för att komma åt användarens filer i begripligt läsbar form igen så måste det låsas upp med PIN etc.

I hans exempel så krävs det en skicklig person/verktyg om det bara är låsskärmen som förhindrar åtkomst. Om telefonen är avstängd så är det jobbigare.

Kollar man på https://blog.oxygen-forensic.com/oxygen-forensic-detective-v-... så påstår dom att dom har stöd för att gå förbi skärmlåset.

Medan i FBE så kan man i praktiken skapa olika nycklar för olika filer och således ha olika nivåer på säkerhet. Plus att väckarklockan, kalenderpåminnelser och lite annat fungerar utan startlösenord .

Den telefonens bootloader är upplåst och då får man tillgång till att kunna installera custom recovery och då kan man komma åt mer saker, OM custom recoveryn kan dekryptera telefonen, t.ex. så klarar inte TWRP av att dekryptera Android 12