iOS SQLite WAL 檔案深度分析
iOS 檔案系統採用 File Based Encryption(FBE) 加密的機制,當任一個檔案刪除後,位於該檔案 metadata 內的 File Key 金鑰也被刪除,即使採用物理提取也無法恢復檔案內容。但採用 FFS 提取 iPhone 5S – iPhone X 裝置後,透過 PA 解析開始又出現已刪除的資料,包含 Telegram, LINE 與網頁搜尋紀錄等等,為什麼 PA 上再次呈現已刪除的資訊?
iOS 檔案系統採用 File Based Encryption(FBE) 加密的機制,當任一個檔案刪除後,位於該檔案 metadata 內的 File Key 金鑰也被刪除,即使採用物理提取也無法恢復檔案內容。但採用 FFS 提取 iPhone 5S – iPhone X 裝置後,透過 PA 解析開始又出現已刪除的資料,包含 Telegram, LINE 與網頁搜尋紀錄等等,為什麼 PA 上再次呈現已刪除的資訊?
Cellebrite支援Telegram資料提取與解析,以便鑑識人員深入了解犯罪嫌疑人的日常活動,包括他們的聯絡人,聊天,頻道,通話,位置,甚至是用於上鎖Telegram App的密碼。在需要明確或確鑿證據的調查過程中,取得如此大量的數位資料是無價的。
iOS提取是一個難以克服的作業。該平台封閉的特質僅允許有限的取證功能。雖然有時提取的技術會有新突破,以幫助鑑識界的同仁,但大多數iOS資料保護機制皆發揮作用,在有螢幕鎖的情況下僅能透過iTunes備份提取,若無法取得螢幕鎖則困難重重。
在數位取證領域上,iOS提取教學一直都是最短的章節,早期在沒有Passcode的情況下,還有機會透過Lockdown plist透過iTunes備份提取,但Apple在iOS11後增加了USB Restriction安全性補強,無Passcode提取的道路則越來越窄。而checkm8漏洞的推出是否有幫助數位鑑識?
iOS裝置的資料加密機制從A7處理器後(iPhone 5S後),不管在硬體(導入Secure Enclave)與iOS(FBE啟用)上,安全功能皆有很大的提升。本內容針對iOS Data Protection架構進行探討,閱讀完後可有初步了解竊取iPhone資料的難度!
iCloud的備份與同步功能隨著iOS版本更新,雲端上的內容加密保護機制也越來越完整。本篇介紹了iCloud備份與同步的差異性,啟用2FA與否在備份內容上的差別。最重的是,若取得Authentication Token是否可以從iCloud雲端上將用戶資料提取下來?
我們都知道智慧手機中存儲了重要的資料,使它們成為極好的證據來源。 但是,資料保存和提取並不如想像中容易。並沒有單一的方式可簡單的提取證據。在這篇文章中,我們介紹了另一個Lockdown/Pairing方式來進行提取。
確認嫌犯手機上的聯絡人清單總是充滿著挑戰,鑑識人員在資料提取時可能會面臨到嫌犯蓄意刪除聯絡人與通聯紀錄等資料。因為有著這些變數,如何透過符合科學鑑識的方式(Forensically Sound)找出被刪除資訊,並提交數位證據給法庭當作審判的重要環節。
來自Worsley, Manchester的37歲足球經紀人Peter Morrision,在天氣惡劣的情況下以平均時速81英里(約時速130公里)駕駛著他的Benz ML 350 4X4,沿著Tebay, Cumbria附近的M6南行。 “這個時速是從出發點,沿著高速公路上到車禍現場的時間和距離”
Cellebrite本週最新資訊揭露他們已經掌握一個最新 iOS 12.3漏洞,可以解鎖任何一台iPhone、iPad的iOS裝置。透過UFED-Premium工具就能完成解鎖,進而提取裝置資料。因破解方式採用類似JB概念,所以可做到完整檔案系統提取(Full File System Extraction),除了 APP 資訊外,手機刪除的資料已可提取出並分析。