Извлечение данных из облака iCloud
Облачные сервисы - ценный, часто - основной источник информации во время расследования. При отсутствии, повреждении или блокировке физического устройства доступ в облако нередко является единственным способом получить данные. Учётная запись Apple выступает в роли агрегатора; в облако попадают данные со всех устройств пользователя, включая iPhone, iPad и Mac.
Elcomsoft Phone Breaker – универсальный инструмент для извлечения данных из резервных копий и облачного хранилища iCloud. Инструмент позволяет специалистам получить доступ к резервным копиям и скачивать различные типы данных.
Работа с локальными резервными копиями
В зашифрованных резервных копиях доступно больше ценных данных по сравнению с незашифрованными, что делает их ценным объектом исследования. Elcomsoft Phone Breaker поможет расшифровать защищённые паролем резервные копии, а если пароль неизвестен - восстановить его атакой на GPU. Исходный двоичный формат резервной копии можно сконвертировать в удобную структуру с сохранением оригинальных путей к файлам для исследования вручную. Встроенный инструмент Keychain Explorer представляет быстрый и удобный способ просмотра паролей, извлечённых из связки ключей локальной резервной копии.
Извлечение синхронизированных данных
Устройства Apple постоянно синхронизируют данные через iCloud. Этот процесс происходит в реальном времени, что повышает ценность таких данных для расследования. В число таких данных входят контакты, календари, заметки, фотографии и видеоролики и многое другое. При помощи нашего инструмента часто можно восстанавливать записи, которые пользователь считает удалёнными, такие как заметки и медиафайлы (фото и видео) после очистки папки "недавно удалённых" файлов.
Облачные данные можно извлечь даже если самого устройства на руках нет. Для доступа к данным из облака нужны лишь логин и пароль пользователя, а также второй фактор аутентификации.
В настоящее время поддерживаются следующие типы данных:
| Тип данных | Описание |
|---|---|
| Account Info | Токены восстановления FileVault (для расшифровки дисков Mac) и полный список всех подключённых устройств. |
| Apple Maps | Сохранённые избранные места (Примечание: остальные данные карт в настоящее время недоступны из-за сквозного шифрования). |
| Calendars | Встречи и запланированные мероприятия пользователя. |
| Contacts | Адресная книга. |
| iBooks | Сохранённые книги и документы, включая PDF. |
| Notes | Папки и вложения, включая элементы, удалённые вручную или очищенные автоматически по истечении 30-дневного срока «Недавно удалённых». |
| Photos | Облачные фото- и видеоальбомы с EXIF-метаданными (местоположение, время), часто включая недавно или окончательно удалённые файлы. |
| Screen Time | Списки установленных приложений по устройствам, ограничения использования приложений и сведения об участниках семейного доступа (имена и адреса электронной почты). |
| Voice Memos | Сохранённые аудиозаписи. |
| Wallet | Посадочные талоны, программы лояльности и скидочные карты. |
| Web Data | Закладки, список чтения и открытые в данный момент вкладки на всех устройствах (Примечание: история браузера недоступна из-за сквозного шифрования). |
Облачные резервные копии
Облачные резервные копии содержат ценные данные, не попадающие в другие источники. Резервные копии создаются в iCloud ежедневно, когда пользователи заряжают свои устройства при подключении к сети Wi-Fi. Apple не предоставляет официального механизма загрузки облачных резервных копий; единственный штатный способ получить данные из облака - настроить новое устройство Apple. Данные из облачных резервных копий можно скачать из учётной записи Apple только с помощью сторонних инструментов, таких как Elcomsoft Phone Breaker.
Загрузка крупной резервной копии может занять несколько часов. Последующие обновления загружаются инкрементально и выполняются значительно быстрее. В Elcomsoft Phone Breaker есть режим быстрого скачивания избранных данных, пропустив самые "тяжёлые"данные (например, музыку и видео). Многие типы данных можно выбрать из списка и скачать за несколько минут, обеспечив быстрый доступ к ключевой информации.
Текущее ограничение: Загрузка облачных резервных копий в настоящее время работает нестабильно. Apple регулярно меняет проприетарные протоколы, что временно нарушает работу EPB. Мы в курсе ситуации и работаем над ней.
Файлы iCloud Drive
Файлы из iCloud Drive могут представлять значительную ценность в расследовании. Сюда входят как скачанные, так и созданные пользователем документы, таблицы и файлы, синхронизированные из папок Рабочего стола, Загрузок, Корзины и Документов с компьютеров Mac. Также извлекаются некоторые данные сторонних приложений, например зашифрованные резервные копии WhatsApp.
Данные со сквозным шифрованием
Ряд чувствительных данных защищается при помощи сквозного шифрования. К таким данным относятся облачная связка ключей, данные приложения "Здоровье", коды доступа "Экранного времени", данные "Карт" и сообщения в iCloud.
Текущее ограничение: Извлечение категорий данных со сквозным шифрованием временно недоступно в связи с недавними изменениями в инфраструктуре Apple. Мы в курсе проблемы и работаем над решением.
