Добрый день Алисы .🎀🔮

Пока что я готовлю довольно большой пост про отслеживание телефонов, но чтобы вы не скучали решила сделать небольшой пост и сборник статей про форензику iOS.🍏

Для начала этап подготовки

Он играет большую роль для криминалистики например: определения возможного местоположения, типа носителя, формат цифровых доказательств и его криптографического ключа.

В мобильных устройствах, источники и типы цифровых доказательств включают в себя : видеофайлы, история просмотров, GPS, локации, приложения .

Поэтому крайне важно, чтобы на этапе подготовки криминалисты, чтобы получили информацию о продукте и записать все.
Иногда в криминалистике iOS необходимо понимать электронные компоненты iOS и как они работают. Например, iOS камера устройства захватывает сцену через устройство с зарядовой связью и преобразовывает это к электрическому сигналу. Затем сигнал преобразуется в цифровой, с помощью аналого-цифрового преобразователя . Затем данные изображения форматируются в файловом контейнере с зашифрованным 256-битным ключом для каждого файла. Затем это заворачивается с ключом класса защиты данных и хранится в метаданных файла изображения , потом он шифруется с помощью ключа EMF , который генерируется из уникального аппаратный UID. Зашифрованный файл изображения хранится на флэш-накопителе.
Таким образом, с нашей точки потребуется искать дополнительные данные, чтобы убедиться, что у нас есть необходимые инструменты для восстановить доказательные других .

Еще для понимание iOS крименалистики нужно иметь представление о модулях системы безопасности . В iOS есть несколько моделей безопасности , таких как: Цепочка безопасной загрузки iOS ,подписание iOS-приложений ,песочница приложения iOS.

Для во время загрузки в цепочки загрузки iOS используется механизм безопасной цепочки загрузки. Мы знаем много вредоносов и тд , которые заражают на уровне загрузки. Защищенная цепочка загрузки iOS гарантирует, что никакое низкоуровневое программное обеспечение не будет скомпрометировано и что iOS работает на действительном iDevice. Подписание вашего приложения позволяет iOS определить, кто его подписал, и подтвердить, что оно не было изменено с момента вашей подписи. Песочница повышает безопасность и целостность операционной системы, ограничивая возможности приложения.

Далее после подготовки, идет расследование вот полезнове директории для него.

буфер обмена

/private/var/mobile/Library/caches/com.apple.UIKit.pboard

Клавиатура

/private/var/mobile/Библиотека/Клавиатура

локации

/private/var/root/Library/Caches/locations/consolidated.db
/private/var/root/Library/Caches/locations/cache_encryptedA.db

Снимки

/private/var/mobile/Library/Cache/Snapshots/
/private/var/mobile/Applications/<app_UUID>/Library/Caches/Snapshots

Spotlight

/private/var/mobile/Library/Spotlight

Обои

/private/var/mobile/Библиотека/Трампборд/

Еще доплнительно всякие логи и полезности

/private/var/log/lastlog
/private/var/mobile/Library/Preferences/com.apple.voicemail.plist
/private/var/preferences/csidata 
/private/var/run/configd.pid 
/private/var/run/resolv.conf 
/private/var/root/Library/Lockdown/data_ark.plist
/private/var/tmp/MediaCache/diskcacherepository.plist 
/private/var/log/wtmp 
/private/var/mobile/Library/Voicemail/_subscribed 
/private/var/mobile/Library/Voicemail/voicemail.db 
/private/var/preferences/SystemConfiguration/...
NetworkInterface.plist 
com.apple.AutoWake.plist 
com.apple.network.identification.plist 
com.apple.wifi.plist 
preferences.plist

Для расследования на iso часто используются различные инструменты, вот несколько неплохих инструментов MOBILedit, Athena , Lantern, SIMIS , Neutrino , XACT, Final , Elcomsoft, OXYGEN Forensics, iExplorer.
На этом все🔆 , получилось довольно смазанно, но для более подробного ознакомления смотрите в архив ниже .
Спасибо за прочтение❤️🧩
Помните чем глубже кроличья нора тем дальше можно идти🐰
#ios #forensics #mobile