В преддверии Нового Года мы обновляем iOS Forensic Toolkit, инструмент для низкоуровневого извлечения данных из мобильных устройств Apple. В обновлении добавлена поддержка checkm8 для iOS, iPadOS и tvOS 16.2. В отдельной ветке продукта восстановлена возможность установки агента-экстрактора на мобильные устройства Apple с компьютеров под управлением Windows, в поддержка агента расширена до версии iOS 15.5.

Способов извлечения данных из устройств Apple — множество, и чем старше устройство и/или установленная на нём версия операционной системы, тем больше вариантов доступно эксперту-криминалисту. Как правильно выбрать способ извлечения данных из iPhone, iPad, Apple TV или Apple Watch и что делать, если доступных способов несколько?

В экосистеме Apple присутствует полный набор средств для резервного копирования, восстановления и синхронизации данных через облако. Те же механизмы могут использоваться и в целях криминалистического анализа, чем и занимаются эксперты в области облачной криминалистики. В этой статье мы расскажем о том, какие типы данных хранятся в облаке, чем отличаются резервные копии от синхронизированных данных, о сквозном шифровании и трёх разных механизмах хранения фотографий в облаке.

Расширенное логическое извлечение — универсальный способ доступа к данным, который работает для всех поколений смартфонов и планшетов Apple независимо от запущенной версии ОС. В предыдущих версиях iOS Forensic Toolkit процесс извлечения был реализован в полуавтоматическом режиме, но переход на командную строку в восьмой версии инструментария потребовал нового подхода. В этой статье подробно описаны шаги, необходимые для расширенного логического анализа устройств iPhone и iPad.

Извлечение данных из iPhone или iPad с использованием эксплойта загрузчика позволяет получить доступ к цифровым уликам в режиме «только для чтения». В то же время этот способ анализа требует от эксперта навыков работы с командной строкой и предварительной тренировки по переводу устройства в режим DFU, а неправильная последовательность действий может нарушить криминалистическую чистоту извлечения. В этой статье приводится пошаговое руководство по работе с checkm8 в инструментарии iOS Forensic Toolkit.

Об извлечении файловой системы из устройств Apple мы пишем буквально еженедельно. Стараясь избегать повторов, мы редко пишем о том, что это такое, для чего нужно и какие, собственно, существуют способы добраться до файловой системы в iOS. В этой статье мы расскажем о способах низкоуровневого анализа, их особенностях и различиях.

Логический анализ — термин, который чаще всего встречается в контексте анализа устройств Apple. В то же время трудно найти другой термин, который трактовался бы так же широко, часто — неверно. В этой статье мы расскажем о том, что из себя представляет современный логический анализ и почему «логический анализ» iPhone — далеко не то же самое, что «резервная копия».

Облачные резервные копии — бесценный источник информации. Но почему сообщения iMessage иногда в резервной копии есть, а иногда их нет? В игру включилось сквозное шифрование, которое спутало все карты. Попробуем разобраться, куда попадают сообщения, если их нет в резервной копии.

Больше года назад мы уже публиковали информацию о мобильных устройствах Apple, сведённую в таблицу; см. Памятку по мобильным устройствам Apple. С тех пор вышла череда обновлений, информация о доступных методах извлечения в известной мере утратила актуальность.

Резервные копии – основной способ сохранить ценную, уникальную информацию. Резервные копии создаются на современных смартфонах автоматически; на компьютерах Windows за этот процесс отвечают многочисленные встроенные и сторонние приложения, многие из которых используют стойкое шифрование. Исследование резервных копий – важный шаг в процессе расследования, для чего необходимо в первую очередь расшифровать данные.