1日 2020 9月

iOS Keychain 同步服務加密機制探討

2020-09-01T11:36:05+08:00Categories: iOS|Tags: , , , |

Keychain 是 Apple 生態系統的主要功能之一。 Keychian 包含太多的敏感資訊,因此在 iOS 內也是受到最嚴格安全機制的保護。 同時,鑑識領域對於 Keychain 的開發還相對不足。 眾所周知,Keychain 包含用戶的帳號與密碼,以及支付工具的資料,如信用卡。除了以上資訊之外,Keychain 實際上還包含成千上萬個屬於各種 App 和系統的資訊,這些資訊是開啟許多其他敏感 App 內的內容所必需的鑰匙。 本文章會就 Keychain,其內容、保護與同步機制方法做深入的探討。

10日 2020 6月

如何使用checkra1n提取iOS檔案系統 v4

2020-09-02T10:01:06+08:00Categories: iOS|Tags: , , , , |

checkra1n 越獄工具推出後,介於 iPhone 5s~X 之間的 iOS 裝置可輕鬆取得 Root 權限,本篇介紹如何在 Mac 與 Windows 系統下使用 SSH over USB 方式與 iOS 裝置連線,除可確保傳輸穩定與快速,也可藉由 TAR 備份指令,完整提取 iOS 檔案系統(Full File System),並匯入PA進行分析。提取過程裝置不需連線上網,可確保提取出的資料符合科學鑑識的方式。

6日 2020 5月

iPhone LINE SQLite 資料庫分析

2020-11-29T17:24:02+08:00Categories: Cases|Tags: , , , |

上一篇有關 SQLite 介紹是針對 WAL 檔案的分析說明,而本篇內容會回歸到資料庫的基本架構與語法介紹,採用的資料庫範本為 iPhone 手機資料量最大的 LINE 資料庫。藉由逐步拆解 LINE 資料庫的資料表與紀錄等資訊,並透過 SQL 語法將資料庫的內容依聊天群組,訊息留言數量等條件彙整並輸出報表,可讓鑑識同仁對於資料庫的架構與資料儲存模式有基礎了解。未來若有其他 APP 尚未被 Physical Analyzer 支援,可藉由本篇介紹方式先進行初步分析,可能會取得重要證據。

9日 2020 4月

蘋果「尋找我的iPhone」功能背後的密碼學

2020-04-09T16:05:45+08:00Categories: blog|Tags: , , |

緝毒組的警員執行了一個逮捕行動,過程中保存了數隻行動裝置與相關物證,在將證據移送到秘密地點保存之前,警員皆有依照 SOP 程序將 Android 與 iOS 裝置的「飛航模式」啟用。但在行動執行完不久,接獲線報告知證據保存地點,已透過「尋找我的iPhone」功能被定位得知,請警員們立刻將證物移轉到其他地點。

15日 2020 2月

iOS SQLite WAL 檔案深度分析

2020-07-23T15:06:34+08:00Categories: blog|Tags: , , |

iOS 檔案系統採用 File Based Encryption(FBE) 加密的機制,當任一個檔案刪除後,位於該檔案 metadata 內的 File Key 金鑰也被刪除,即使採用物理提取也無法恢復檔案內容。但採用 FFS 提取 iPhone 5S – iPhone X 裝置後,透過 PA 解析開始又出現已刪除的資料,包含 Telegram, LINE 與網頁搜尋紀錄等等,為什麼 PA 上再次呈現已刪除的資訊?

27日 2020 1月

iOS版本的Telegram深度解析

2020-02-12T15:11:19+08:00Categories: Cases|Tags: , , , |

Cellebrite支援Telegram資料提取與解析,以便鑑識人員深入了解犯罪嫌疑人的日常活動,包括他們的聯絡人,聊天,頻道,通話,位置,甚至是用於上鎖Telegram App的密碼。在需要明確或確鑿證據的調查過程中,取得如此大量的數位資料是無價的。

13日 2020 1月

Checkm8與Checkra1n:iOS裝置完整檔案系統提取(FFS)

2020-01-27T17:59:26+08:00Categories: webminar|Tags: , , , , |

iOS提取是一個難以克服的作業。該平台封閉的特質僅允許有限的取證功能。雖然有時提取的技術會有新突破,以幫助鑑識界的同仁,但大多數iOS資料保護機制皆發揮作用,在有螢幕鎖的情況下僅能透過iTunes備份提取,若無法取得螢幕鎖則困難重重。

17日 2019 11月

Checkm8後時代於鑑識領域的影響

2020-01-12T20:00:12+08:00Categories: iOS|Tags: , , , |

在數位取證領域上,iOS提取教學一直都是最短的章節,早期在沒有Passcode的情況下,還有機會透過Lockdown plist透過iTunes備份提取,但Apple在iOS11後增加了USB Restriction安全性補強,無Passcode提取的道路則越來越窄。而checkm8漏洞的推出是否有幫助數位鑑識?

29日 2019 7月

iCloud功能與安全性介紹

2019-12-24T22:27:45+08:00Categories: iOS|Tags: , , |

iCloud的備份與同步功能隨著iOS版本更新,雲端上的內容加密保護機制也越來越完整。本篇介紹了iCloud備份與同步的差異性,啟用2FA與否在備份內容上的差別。最重的是,若取得Authentication Token是否可以從iCloud雲端上將用戶資料提取下來?

Go to Top