Recuperação de quadros de arquivos de vídeo h.264/avc corrompidos

Abstract

Esta dissertação trata da recuperação de quadros (imagens) de bitstreams de vídeo H.264/AVC armazenados em arquivos contêineres ISO/IEC 14496 (“.mp4”) corrompidos. O interesse em tais padrões de vídeo e de contêiner se dá pela prevalência por eles alcançada no mercado e pela grande quantidade de solicitações recebidas pelo Instituto de Criminalística da Polícia Civil do Distrito Federal para exame de equipamentos (sistemas de videossegurança, smartphones, filmadoras, etc.) que geram ou armazenam dados nesse formato. Em diversas situações, esses arquivos de vídeo são localizados em mídias investigadas, mas, por se encontrarem danificados, não podem ser reproduzidos por tocadores (players) de mídia. Nesses casos, a recuperação forense de quadros que os compõem se mostraria de grande utilidade para a formação de provas periciais. O trabalho apresenta teoria sobre o padrão H.264/AVC e sobre as diferentes especificações de contêineres ISO/IEC 14496 e, na sequência, detalha e interpreta os dados (bitstream) e metadados de um arquivo de vídeo. Em seguida, diferentes graus de corrupção são produzidos no arquivo, sendo expostas as consequências em sua reprodução. Como resultado, consegue-se comprovar que quadros integrantes de bitstream desacompanhado de seus metadados são irrecuperáveis. Mais do que isso, um procedimento para recuperação de quadros de arquivos corrompidos é apresentada e demonstrada, sendo também disponibilizado um algoritmo para localização de todos os quadros não sobrescritos, desde que presentes os metadados. _______________________________________________________________________________________ ABSTRACT

This thesis presents a procedure for the recovery of frames (images) contained in H.264/AVC bitstreams stored in corrupted ISO/IEC 14496 container files (“.mp4”). The focus on these container and bitstream formats is due to the fact that they are currently one of the most commonly used formats for recording, compression and distribution of video. Indeed, most video files found in seized evidence (e.g. smartphones, flash drives, CCTVs) under examination in the digital forensic laboratory of the Brazilian Federal District Police are in these formats. There are many cases, however, in which video files are partly retrieved, but they turn out to be corrupted in such ways that media players cannot reproduce them. In these situations, one plausible way to find out what their contents are and, depending on what is found, use them in a court of law, is to forensically recover their frames. This work starts by laying out the theory behind the H.264/AVC standard and the ISO/IEC 14496 containers. Next, it scrutinizes all the metadata of a video file. Different levels of corruption are intentionally inflicted on this same file, allowing the consequences on their playback to be shown and explained. Lastly, it is shown that it is not possible to recover frames from bitstreams that are not accompanied by their respective metadata, and a technique for the recovery of frames from corrupted video files is presented and demonstrated, along with an optimized algorithm to locate all the non-overwritten frames related to these files, regardless of where they are stored in the media.