Криминалистический анализ устройств iPhone/iPad/iPod на основе Apple iOS
Elcomsoft iOS Forensic Toolkit – специализированный продукт для криминалистического исследования устройств на основе Apple iOS. iOS Forensic Toolkit позволяет экспертам правоохранительных органов производить сбор информации и проводить судебные и компьютерно-технические экспертизы устройств iPhone, iPad и iPod производства компании Apple, работающих под управлением iOS.
С помощью iOS Forensic Toolkit возможно получить полный доступ к информации, хранящейся в поддерживаемых устройствах. С помощью iOS Forensic Toolkit специалисты могут получить доступ к расшифрованному образу файловой системы устройства, расшифровать коды, пароли и прочую защищённую информацию. Доступ к основному массиву данных осуществляется в режиме реального времени.
Поддерживаемые методы извлечения:
- Расширенный логический анализ (резервные копии, медиа-файлы, системные журналы, файлы приложений) (для всех устройств и всех версий iOS)
- Агент-экстрактор (для всех 64-бит устройств, совместимых версий iOS)
- checkm8 (в стадии бета-тестирования) (совместимые устройства, все версии iOS за исключением 7.x)
- Посредством джейлбрейка (для всех устройств и версий iOS, для которых доступен джейлбрейк)
- Взлом кода блокировки, физический анализ (совместимые 32-разрядные устройства)
Преимущества низкоуровневого доступа
Благодаря низкоуровневому доступу к устройству, iOS Forensic Toolkit может извлечь заметно больше информации, чем доступно в резервных копиях. Расшифровываются такие данные, как пароли к сайтам из связки ключей keychain, SMS, электронная почта, логины и пароли к программам.
Использование уязвимости в коде загрузчика ряда моделей iPhone (поколения с iPhone 5s до iPhone X включительно) позволяют проводить частичное извлечение файловой системы в режиме BFU (до первой разблокировки) для устройств с заблокированным экраном сразу после включения или перезагрузки.
Среди криминалистически важных данных содержится такая информация, как географическое положение устройства в каждый момент времени, карты и маршруты, рассчитанные с помощью Google Maps, история посещений интернет ресурсов, а также практически вся информация, набранная на устройстве с помощью виртуальной клавиатуры.
Криминалистически чистое извлечение через эксплойт загрузчика для ряда моделей
В Elcomsoft iOS Forensic Toolkit 8.0 для компьютеров Mac доступен режим криминалистически чистого извлечения через эксплойт загрузчика. В этом режиме доступно извлечение данных из моделей iPhone 5s, iPhone 6, 6 Plus, 6s, 6s Plus и iPhone SE первого поколения, iPhone 7, 7 Plus, 8, 8 Plus и iPhone X, работающих под управлением любых версий iOS от iOS 8 до iOS 15.5. Также доступно извлечение файловой системы для планшетов iPad 5, 6 и 7 поколений, iPad Mini 2, 3 и 4 поколений, iPad Air 1 и 2, iPad Pro 1 и 2 поколений (с диагональю экрана 9.7” и 12.9” соответственно), устройств iPod Touch 6 и 7 и Apple TV 4 и 4K.
Новый метод извлечения гарантирует криминалистическую чистоту и неизменность извлекаемых данных, а также повторяемость результатов при точном следования инструкции. Для работы метода не требуется загрузка оригинальной версии операционной системы iPhone; никакие данные на устройстве не модифицируются.
Важное отличие метода, использующего эксплойт загрузчика от других низкоуровневых методов анализа – доказываемая идентичность повторно извлечённых данных, полученных спустя время в новой сессии работы с устройством. Это означает, что после использования метода можно провести повторное извлечение и получить полностью идентичный результат (при условии, что устройство не включалось и не перезагружалось после первого извлечения, а было сразу выключено и оставалось выключенным до следующей сессии).
Преимущества нашего решения:
- Гарантированная целостность и неизменность всех разделов устройства.
- Повторяемый, верифицируемый результат с вычислением контрольной суммы.
- Любые модификации происходят только в оперативной памяти устройства.
- Интерактивные инструкции по установке эксплойта.
- Поддержка всех версий iOS от 8.0 до 15.5 включительно.
- Поддержка заблокированных устройств в режиме BFU, обход ограничений USB.
Совместимые устройства и методы извлечения
iOS Forensic Toolkit поддерживает низкоуровневое извлечение из моделей iPhone 4 - iPhone 13 Pro Max. Логическое извлечение доступно для всех моделей.
Таблица совместимости:
- Взлом кода блокировки: Для моделей iPhone 4, iPhone 4s, iPhone 5 и iPhone 5c через режим DFU [1][2].
- Для старых моделей (iPhone 4, 4s, 5 и 5c): Взлом кода блокировки, снятие и расшифровка образа раздела данных, извлечение и расшифровка связки ключей [1][2].
- Агент-экстрактор (без джейлбрейка): Извлечение файловой системы и расшифровка связки ключей для устройств с iOS 9 - 15.1.1. Также поддерживаются соответствующие модели iPad. Регистрация в программе Apple для разработчиков: обязательно (Windows)/опционально (macOS).
- С джейлбрейком: Для любой версии iOS, для которой доступен джейлбрейк.
- Прямое извлечение через уязвимость загрузчика: Гарантированная криминалистическая чистота извлечение; повторяемый, верифицируемый результат. Доступно для ряда моделей iPhone, к которым применим эксплойт уязвимости загрузчика checkm8 (от iPhone 5s до iPhone X). Извлечение образа файловой системы и связки ключей (для всех версий iOS начиная с 8.0). Также доступно для планшетов iPad 5, 6 и 7 поколений, iPad Mini 2, 3 и 4 поколений, iPad Air 1 и 2, iPad Pro 1 и 2, устройств iPod Touch 6 и 7 и Apple TV 4 и 4K. [1]
- Без джейлбрейка: Логическое извлечение, включая информацию об устройстве, резервные копии, файлы приложений, медиа-файлы и некоторые системные журналы, доступно для всех устройств независимо от версии iOS. Экран устройства должен быть разблокирован либо (для режима AFU и при условии, что не был активирован защитный режим USB) если доступен действительный файл lockdown.
Специализированный инструмент для извлечения данных из устройств, работающих под управлением Apple iOS методами физического и логического анализа.
-
Функции доступны только в редакции iOS Forensic Toolkit для macOS.
-
Для моделей iPhone 4s, iPod Touch 5, iPad 2 и 3 требуется использование одноплатного микроконтроллера Raspberry Pi Pico, прошивка для которого поставляется в составе дистрибутива.