В девятой бета-версии iOS Forensic Toolkit 8.0 для Mac появилась поддержка криминалистически чистого извлечения для ряда моделей iPad, iPod Touch и Apple TV, работающих под управлением всех версий iOS до 15.5 включительно.

Мы изучили решения конкурентов на основе checkm8, и обнаружили множество недостатков. В их число входят неполная поддержка линейки устройств Apple и версий iOS, а также несоответствие процесса и выдаваемого результата принципу криминалистической чистоты исследования. Наше решение — единственное на рынке, в котором поддерживаются все модели смартфонов, планшетов и приставок Apple, для которых доступен эксплойт checkm8 независимо от версии операционной системы. Кроме того, наше решение — единственное, соответствующее принципу криминалистической чистоты, обеспечивающее гарантированный, повторяемый и верифицируемый результат извлечения.

Эксплойт checkm8 применим ко многим устройствам Apple, в которых была обнаружена уязвимость загрузчика. В то же время детали реализации различаются между разными устройствами, основанными на уязвимых процессорах даже в рамках одного поколения. В свежей версии iOS Forensic Toolkit мы добавили поддержку checkm8 для большого числа планшетов iPad, а также устройств iPod Touch и Apple TV.

Почему это важно? Срок службы планшета у среднего пользователя, как правило, значительно превышает время жизни смартфона, а в корпоративной среде планшеты iPad могут использоваться в течение многих лет. Это косвенно подтверждается и самой компанией Apple, которая поддерживает порядка 500 циклов заряда-разряда для аккумуляторов iPhone и вдвое больше – для аккумуляторов в планшетах iPad.

Помимо долговременного использования, у планшетов iPad и телефонов iPhone различаются и сценарии использования. Смартфон чаще используется для потребления контента, в то время как планшет — для его создания. Кроме того, планшеты часто используются в компаниях — как в виде корпоративных устройств, так и в качестве устройств сотрудников в рамках программ BYOD. На таких устройствах может содержаться значительное данных, которые могут выступать в роли ценных улик.

Совместимость

В новой сборке добавлены планшеты iPad 5, 6 и 7 поколений, iPad Mini 2, 3 и 4 поколений, iPad Air 1 и 2, а также iPad Pro 1 и 2 поколений (с диагональю экрана 9.7” и 12.9” соответственно). Кроме того, поддерживаются модели iPod Touch 6 и 7 и Apple TV 4 и 4K.

Поддерживаются все версии iOS до 15.5 включительно. Ниже приводится полный список вновь добавленных совместимых устройств:

Использование микроконтроллера Pico

В седьмой бета-версии iOS Forensic Toolkit мы представили программно-аппаратный комплекс на основе микроконтроллера Raspberry Pi Pico. При помощи платы, работающей под управлением специальной прошивки, возможен перевод устройства в режим PwnedDFU с применением эксплойта checkm8. Для этого мы использовали решение на основе микроконтроллера Raspberry Pi Pico с нашей собственной прошивкой. Для большинства устройств использование микроконтроллера не потребуется; он понадобится лишь для устройств, оборудованных той же моделью контроллера USB, которая установлена в iPhone 4s.

Определить, для каких именно моделей устройств вам потребуется микроконтроллер Raspberry Pi Pico, можно по следующей таблице:

Особенности установки эксплойта

Для большинства устройств ввод в режим извлечения данных через эксплойт загрузчика осуществляется напрямую. Для некоторых устройств, однако, есть ряд особенностей.

В приставке Apple TV 4K нет выхода USB. Для его подключения к компьютеру необходимо дополнительное оборудование и навыки пайки.

Для планшетов iPad 6/7 и iPad Pro 2 под управлением iOS 14 или 15 перед началом работы необходимо удалить код блокировки экрана. О том, как это правильно сделать — в статье Удаление кода блокировки с iPhone: подводные камни и проблемы.

Заключение

Значение обнаруженной в загрузчике ряда моделей Apple уязвимости и связанного с ней эксплойта checkm8 трудно переоценить. Наше решение — единственное на рынке, в котором поддерживаются абсолютно все устройства, в загрузчике которого присутствует данная уязвимость. В список поддерживаемых устройств входят не только смартфоны iPhone, но и планшеты iPad, устройства iPod Touch, приставки Apple TV и даже часы Apple Watch.