Источник: Chris Vance
https://www.magnetforensics.com
Кристофер Вэнс является старшим специалистом по технической криминалистике в компании Magnet Forensics. На протяжении многих лет Кристофер работал инструктором и исследователем в нескольких крупных криминалистических компаниях, в основном обучая людей и проводя исследования в области криминалистики мобильных устройств, macOS и облачных технологий. Ранее Кристофер работал аналитиком в подразделении цифровой криминалистики Полиции штата Западная Вирджиния, где также был прикреплён к рабочей группе по борьбе с преступлениями против детей в интернете. Кристофер родом из Хантингтона, штат Западная Вирджиния, где он получил степень в области цифровой криминалистики в Университете Маршалла.
В статье пойдет речь об извлечении “максимально” защищенной информации из iPhone (Secure Storage Area). Понятно, что…контакты и так далее извлечь не проблема. Тут будут рассмотрены наиболее уникальные и интересные ситуации…
Коротко:
- Извлечение и восстановление транскрипций (текстов голосовых) VoiceMail, FaceTime, iMessage в том числе и удаленных сообщений
- Извлечение и восстановление удаленных фото (включая координаты создания фото или координаты в момент скачивания фото с других ресурсов/мессенджеров)
- Journal Storage (Secure Storage Area) — по заявлениям Apple — это уникальная часть памяти в устройстве, которая имеет дополнительную защиту! Что вообще не так и в действительности данные хранятся просто в открытом виде. По тексту будут комментарии и цитаты специалистов Magnet Forensics.
- Извлечение и восстановление информации о том, какие файлы и когда были открыты
- История поиска браузеров, какие страницы были открыты
- Что искал пользователь iPhone на своем телефоне – контакты, приложения и так далее…полная история Spotlight
- Полное извлечение файловой системы iPhone для извленеия данных
FaceTime
Да, не сильно распространен среди нас и им особо не пользуются, но очень интересна логика поведения Apple в этом направлении. Голосовые сообщения пользователей автоматически транскодируются и текст этих сообщений сохраняется автоматически в специальную базу, даже если вы не нажимали на функцию “транскрипция”. Тоже самое и по iMessage…и данные этих сообщений можно извлечь с заблокированных устройств и даже после того, как вы удалите эти сообщения. Вообще вопрос с восстановлением данных в iOS после удаления требует отдельной статьи…далее будет понятно почему.
Secure Storage Area
Secure Storage Area — Apple говорили, что данные защищены, но данные на самом деле незашифрованные, как база данных Signal например. Эти данные защищены, как все остальные данные в iPhone и не имеют дополнительной защиты. Их даже функционал FaceID Access и TouchID Access (дополнительная проверка при взаимодействии) не защищает, что позволяет извлечь и прочитать содержимое Secure Storage Area.
Обнаружив это специалисты Magnet Forensics охарактеризовали это, как “странная ситуация…” и с этого все и началось. Для начала они оставили для себя сами сообщение с текстом “Can you find me?” и поставили для себя задачу извлечь его.Исходя из скромной документации Apple, данное сообщение должно попасть в область Secure Storage Area. Так и произошло, но только это никак не помогло и извлечение оказалось достаточно простым. Восстановление с результатом в 100% целостности информации…кто понимает, тот может оценить степень незащищенности iOS. Понятно, что специалисты Magnet Forensics толковые и умные ребята, но тут именно безалаберное хранение чувствительной информации пользователей внутри файловой системы iOS — это легкий кусок хлеба с маслом для Magnet Forensics.
Почему безалаберное?
База храниться в RTF формате, который Magnet Forensics умеет вскрывать уже давно и вводить систему хранения чувствительной информации в формате, который уже давно поддается дешифрации — это просто гениально! Надежный план, как швейцарские часы. Им даже дополнительно не пришлось ничего разрабатывать для извлечения данных, а ведь это 17 iOS! На секунду последняя…
Извлечение и восстановление медиафайлов (Фото, Видео)
Специалистам Magnet Forensics удалось не просто извлечь, но восстановить удалённые фотографии и видео и извлечь их. Для проведения тестирования они положили на iPhone несколько фото и видео, часть которых позже была удалена. Извлекли, восстановили и еще раз извлекли все!
Как смогли восстановить удаленные фото?
Apple хранит скрытые/теневые копии всех фото, видео, скриншотов и так далее. Автоматически хранит! Если не хватает места на устройстве, конечно часть из этих теневых фото и видео удаляет, но вы этого не увидите и вся процедура этого хранения происходит без ведома пользователя. Именно эти скрытые/теневые копии Magnet Forensics восстанавливает.
Метаданные медиафайлов.
Метаданные медиафайлов — это данные, которые описывают содержание, качество, условия создания, автора и другие характеристики медиафайлов, в том числе какое устройство создавало данные файлы и местоположение создания широта и долгота.
Magnet Forensics из последнего iPhone на последней операционной системе удалось извлечь данные о координатах устройства, которое создавало фото (т.е. вы что-то сфоткали — данные о вас, вашем устройстве и о вашем местоположении в момент создания фото, хранится в метаданных фотографии) т.е. кто? где? делал фото известно будет без проблем. Еще интересно, но очень кратко было описано происхождение фото. т.е. его делали вы или скачали например с сайта или мессенджера и вот когда вы что-то скачали или сохранили, к этому фото автоматически привязывается местоположение пользователя в момент скачивания. А ведь у нас так много фото в галерее из Telegram, Signal, WhatsApp и так далее….
В числе информации также была информация об устройстве, которое создавало этот файл. Фотки могут синхронизироваться между устройствами и если фото было извлечено с одного из устройств — это будет видно (Фото создано на iPhone Даниил или iPhone Федор и так далее).
Цитата специалиста Magnet Forensics:
“Когда мы увидели, как Apple хранит эти данные, мы не поверили. Это выглядело, как шутка.”
Информация о том, какие файлы и когда были открыты на iPhone:
Цитата специалиста:
“Обычно при работе с другими производителями, наименование нужных нам файлов — это всегда проблема. Но в случае с Apple мы очень рады подобным наименованиям…”
Spotlight в iOS — это мощная система поиска, которая позволяет пользователям находить приложения, контакты, документы, быстро получать информацию из интернета и выполнять другие задачи прямо с главного экрана или через приложение «Настройки». Эта функция делает использование устройств на iOS более удобным и эффективным, предоставляя быстрый доступ к необходимой информации и ресурсам.
Spotlight может искать:
- Контакты, приложения, документы и файлы на вашем устройстве.
- События календаря, напоминания, заметки и электронные письма.
- Информацию в интернете, такую как новости, спортивные результаты и погода.
- Информацию о местах поблизости, включая рестораны и кинотеатры.
- Предложения App Store, iTunes Store и iBooks Store.
История Safari:
Ну и наконец…как вишинка на тортик. Информация о передвижении пользователя iPhone и местах, которые он посещал.
Вот все что тут перечислено — было восстановлено и извлечено.
Всё!
 на последней операционной системе iOS 17 и iMac, MacBook и т.д. c операционной системой MacOs 14 (Sonoma). Ваш пароль не имеет значения!){kind=link}