Мы пишем не только программы и даже не только справочные руководства по их использованию. У нас есть три методических пособия, и они не про наши продукты. Точнее, не только про них: без специализированного ПО в современной криминалистике не обойтись, поэтому конкретные программы в пособиях описываются, но предмет там другой.

В прошлой статье мы писали о том, как должно быть. Не прошло и нескольких часов, как мы получили массу отзывов, лейтмотив у которых один: всё красиво на бумаге, да забыли про овраги. Хорошо писать о правилах и методиках из уютного офиса, вот только они мало помогают, когда перед криминалистом — ноутбук, десктоп, пара-тройка телефонов и полчаса-час времени. Что ж, согласимся с практиками — и поговорим о том, какие правила можно попробовать растянуть, а какие нельзя нарушать ни в коем случае.

«Хорошо, — сказал Кот и исчез — на этот раз очень медленно. Первым исчез кончик его хвоста, а последней — улыбка; она долго парила в воздухе, когда все остальное уже пропало. — Д-да! — подумала Алиса. — Видала я котов без улыбок, но улыбка без кота! Такого я в жизни еще не встречала».

Низкоуровневое извлечение данных с помощью Elcomsoft iOS Forensic Toolkit начинается с установки агента-экстрактора в обход App Store, и агент не запустится, пока телефон не пройдёт одну-две проверки на серверах Apple. Для этого нужны сетевые запросы, которые делаются с телефона, выступающего вещественным доказательством. Именно из-за этого требования за последние три года мы выпустили три разных файрвола. Последний из них, EIFT Firewall, — бесплатное приложение для macOS и прямая замена скрипту 2023 года.

Что делать, если вы случайно удалили с iPhone что-то важное? Во-первых, не паниковать. Во-вторых, прежде, чем искать в интернете «инструменты для восстановления данных с iPhone», прочтите эту статью: мы расскажем, что кроется за рекламными лозунгами программ из поисковой выдачи. Итак, разберёмся, что с iPhone действительно можно восстановить, а что пропало навсегда.

Цифровая улика — это не факт сам по себе, а чья-то интерпретация факта. IP-адрес, фотография с телефона, файл в кэше браузера: всё это данные, которые можно прочитать правильно или неправильно. В уголовном деле цена такой ошибки обычно намного выше, чем в любой другой экспертизе. Два российских дела последних лет показывают, что бывает, когда цифровую улику принимают на веру, не проверив, что она на самом деле означает.

Картина знакомая: пара системных блоков, ноутбук, два или три телефона, NAS, коробка с внешними дисками. Времени мало. Снять образы со всего на месте невозможно, а если бы и было возможно, лабораторная очередь растянула бы работу на недели. Значит, приходится сортировать: смотреть, что перед вами, и решать, что важно, что срочно, а что подождёт. Загвоздка в том, что решения первого часа тянутся дальше, чем кажется. Они определяют не только то, что вы найдёте, но и то, останется ли найденное пригодным для суда.

Второй фактор аутентификации в наши дни — основа основ защиты учётных записей. Пароль — это то, что вы знаете; на практике это «то, что можно выманить, подобрать, найти в утечке или использовать извлечённый с другого сервиса». Второй фактор — это то, что у вас есть; несмотря на то, что современные мошенники успешно выманивают и его, без двухфакторной аутентификации ситуация была бы намного хуже.

«Защита украденного устройства» в её текущей реализации кардинально меняет правила игры для криминалистов. С точки зрения специалиста, функция делает простую вещь: требует Face ID или Touch ID для того, чтобы установить привязку устройства к компьютеру. Даже зная код блокировки, но не имея возможности авторизовать процедуру по лицу или отпечатку пальца владельца, привязать iPhone к рабочей станции для извлечения данных из него больше не выйдет. С весны 2026 года Apple включает эту защиту прямо «из коробки»; мы же готовим решение по её обходу, позволяющее установить и использовать агент-экстрактор при активной защите.

Основной целью «защиты устройства» по версии Microsoft была полностью прозрачная защита данных: системный диск зашифрован, а пользователю об этом не нужно даже знать. Шифрование на современных сборках Windows может происходить автоматически, ключи восстановления — так же автоматически загружаются в облако Microsoft (или в корпоративную сеть, Entra ID); пользователь никогда (по мнению Microsoft) не должен сталкиваться с паролями или ключами шифрования.