iPhone-forensik er specialiseret sikring, undersøgelse og evaluering af digitale spor på Apple iPhones. Det falder ind under paraplyen mobilforensik og beskæftiger sig med data, der kan være til stede på selve enheden, i apps, i sikkerhedskopier eller i tilknyttede Apple-tjenester. Afhængigt af enheden, iOS-versionen, sikkerhedsstatus og den tilgængelige sikkerhedskopieringsmetode kan dette omfatte beskeder, opkaldsdata, kontakter, fotos, videoer, browseroplysninger, appdata, placeringsartefakter og systemoplysninger.

En iPhone er dog ikke en almindelig lagringsenhed. Moderne Apple-enheder kombinerer hardwarebaseret kryptering, sikre enklavefunktioner, forskellige beskyttelsesklasser for filer og en tæt integreret forbindelse mellem hardware og operativsystem. Som følge heraf afhænger dybden af ​​​​den retsmedicinske adgang meget mere af enhedens specifikke tilstand end med en traditionel harddisk.

Professionel smartphone-forensik betyder derfor ikke at love en "fuldstændig kopi" på tværs af grænserne. Det afgørende er, hvilke data der rent faktisk blev teknisk indhentet, hvordan udtrækket blev dokumenteret, og hvilke konklusioner der kan drages ud fra de tilgængelige artefakter.

Hvad er iPhone-forensik præcist?

iPhone-forensik omfatter den retsmedicinske indsamling og analyse af data fra Apple iPhones og relaterede datakilder. Udtrykket beskriver ikke blot udtrækning af data fra en enhed, men en komplet efterforskningsproces.

Dette omfatter identifikation af enheden, vurdering af dens sikkerhedsstatus, valg af en passende udtrækningsmetode, sikring af det tilgængelige datasæt, udførelse af integritetstjek og efterfølgende analyse af relevante artefakter.

Omfanget af undersøgelsen afhænger af et specifikt spørgsmål. Dette kan for eksempel være, om bestemte beskeder stadig er til stede, hvilke apps der blev brugt, om der findes placeringsoplysninger, eller om der er indikationer på mulig uautoriseret adgang.

Hvorfor er en iPhone retsmedicinsk udfordrende?

Apple udvikler løbende sikkerhedsarkitekturen i iPhones. Operativsystemet, processoren, hukommelsen, Secure Enclave og kryptografiske nøgler arbejder tæt sammen.

Derfor er det ikke tilstrækkeligt blot at læse den interne flashhukommelse og derefter søge efter filer. Mange brugerdata er krypteret og kan kun fortolkes meningsfuldt, hvis de nødvendige kryptografiske krav er opfyldt.

Enhedens aktuelle tilstand kan også være afgørende. En iPhone, der er tændt og allerede er blevet låst op siden den sidste genstart, kan repræsentere et andet udgangspunkt for retsmedicinsk analyse end den samme enhed umiddelbart efter en genstart.

Hvilke data kan gemmes på en iPhone?

En iPhone kan indeholde en række forskellige datakilder. Hvilke af disse der rent faktisk kan udtrækkes, afhænger af den specifikke sag, der undersøges.

Potentielle data omfatter kontakter, opkaldslogger, SMS'er, iMessage-kommunikation, fotos, videoer, lydfiler, noter, kalenderoplysninger, browserdata, downloads, appdata, Wi-Fi-oplysninger, Bluetooth-artefakter, placeringsoplysninger, filmetadata og forskellige systemoplysninger.

Derudover er der data fra installerede messengers og andre apps. Disse oplysninger gemmes ofte i separate databaser og mappestrukturer og skal fortolkes i overensstemmelse hermed.

Hvilken rolle spiller iOS-versionen?

Den installerede iOS-version er en af ​​de vigtigste tekniske faktorer i en iPhone-test.

Apple ændrer regelmæssigt sikkerhedsmekanismer, filstrukturer, app-sandboxing og kryptografiske funktioner gennem operativsystemopdateringer.

En udtrækningsmetode, der er tilgængelig i en bestemt iOS-version, kan være begrænset eller teknisk ubrugelig i en senere version.

Derfor kan spørgsmålet om, hvilke data der kan hentes fra en iPhone, ikke besvares udelukkende ud fra enhedsmodellen.

Hvilken rolle spiller iPhone-modellen?

Hardwaregenereringen påvirker også de retsmedicinske muligheder.

Forskellige iPhone-generationer bruger forskellige processorer, Secure Enclave-versioner og sikkerhedsarkitekturer. Disse forskelle påvirker, hvilke tekniske procedurer der overhovedet er mulige.

Derfor skal enhedsmodellen og iOS-versionen betragtes sammen.

Hvad er den sikre enklave?

Secure Enclave er en særligt beskyttet komponent i Apple-hardware, som blandt andet er involveret i sikker behandling af kryptografiske nøgler.

Det er bevidst adskilt fra det normale operativsystem og har til formål at forhindre, at følsomme nøglematerialer nemt kan læses fra enheden.

For iPhone-forensik betyder det, at dekryptering af mange data ikke udelukkende afhænger af lagerindholdet. Det er knyttet til sikkerhedsarkitekturen på den specifikke enhed.

Hvilken rolle spiller enhedskoden?

Enhedskoden kan være af stor betydning for adgang til beskyttede brugerdata.

Moderne iPhones bruger ikke bare koden som en simpel skærmlås. Den er integreret i kryptografiske beskyttelsesmekanismer.

Hvis den korrekte enhedskode er tilgængelig, kan dette forbedre omfanget af en mulig sikkerhedskopiering betydeligt, afhængigt af enheden og iOS-versionen.

Hvis koden er ukendt, afhænger yderligere muligheder af den specifikke enhedsgeneration og dens tekniske sikkerhedsstatus.

Hvad betyder BFU på en iPhone?

BFU står for Before First Unlock. Det refererer til en iPhones tilstand efter en genstart, før brugeren har indtastet enhedens adgangskode for første gang.

I denne tilstand er visse kryptografiske nøgler endnu ikke tilgængelige.

Dette gør det muligt at beskytte nogle dataklasser betydeligt bedre end senere under drift.

Hvad betyder AFU på en iPhone?

AFU står for After First Unlock. Denne tilstand starter, når iPhone er blevet låst op mindst én gang med enhedens adgangskode siden sidste genstart.

Visse kryptografiske nøgler kan forblive tilgængelige i systemet, så længe enheden fortsætter med at køre.

For retsmedicin kan dette gøre en betydelig forskel i mængden af ​​data, der kan indhentes.

Hvorfor kan en genstart være problematisk fra et retsmedicinsk perspektiv?

En genstart sætter enheden tilbage i BFU-tilstand.

Dette kan føre til tab af tidligere tilgængelige kryptografiske forudsætninger. En unødvendig genstart kan derfor begrænse mulighederne for senere udtrækning.

Derfor bør en iPhone i en bevisrelevant sag ikke genstartes uden en teknisk vurdering.

Skal en tændt iPhone slukkes?

En generel anbefaling er ikke tilrådelig.

At slukke for strømmen kan afbryde netværkskommunikationen og dermed forhindre visse ændringer. Samtidig kan det føre til tab af gunstige driftsforhold for amatørradio.

Den korrekte procedure afhænger af enhedens tilstand, undersøgelsens formål og de teknisk tilgængelige backupmetoder.

Hvad er en logisk iPhone-udtrækning?

I en logisk udtrækning indsamles data via definerede grænseflader på enheden eller operativsystemet.

Omfanget kan f.eks. omfatte kontakter, beskeder, medier eller andre oplysninger, der er tilgængelige via disse grænseflader.

En logisk udtrækning er ikke automatisk en komplet kopi af den interne hukommelse.

Hvad er filsystemudpakning?

Afhængigt af enheden giver filsystemudpakning betydeligt dybere adgang til iPhones filstruktur.

Dette kan blandt andet gøre app-databaser, konfigurationsfiler, systemartefakter og andre mapper tilgængelige, som ikke er inkluderet eller ikke fuldt ud inkluderet i en rent logisk sikkerhedskopi.

Filsystemniveauet er særligt værdifuldt for mange komplekse retsmedicinske spørgsmål.

Hvad betyder Fuldt filsystem?

Fuldt filsystem, eller FFS, refererer til den mest omfattende mulige udtrækning af den tilgængelige filsystemstruktur på en mobil enhed.

Udtrykket bør dog ikke sidestilles med en fysisk rå kopi af hvert flashhukommelsesområde.

De faktiske data, der er indeholdt i en FFS-udtrækning, afhænger af enheden, iOS-versionen, sikkerhedsstatus og den anvendte metode.

Er et fuldt filsystem det samme som en fysisk udtrækning?

Nej. Filsystemudtrækning fokuserer på den tilgængelige logiske filsystemstruktur.

I modsætning hertil ville en klassisk kopi af en fysisk databærer kortlægge den underliggende adresserbare lagring.

Med moderne iPhones er dette klassiske koncept kun delvist anvendeligt på grund af sikkerhedsarkitekturen.

Kan en iPhone kopieres fuldstændigt bid for bid?

Den generelle erklæring om en komplet bit-for-bit-kopi er teknisk problematisk med moderne iPhones.

Den interne flashhukommelse er tæt forbundet med hardwarebaseret kryptering og enhedsspecifik nøglehåndtering.

Selv et råt billede af krypterede lagerområder kunne ikke meningsfuldt analyseres automatisk uden de tilsvarende kryptografiske nøgler.

En retsmedicinsk rapport bør derfor præcist specificere, hvilken ekstraktionsmetode der rent faktisk blev anvendt.

Hvad er en krypteret iPhone-sikkerhedskopi?

En lokalt oprettet iPhone-sikkerhedskopi kan fungere som en yderligere retsmedicinsk datakilde.

Hvis sikkerhedskopien oprettes i krypteret form, kan den indeholde en større mængde data end en ukrypteret sikkerhedskopi, afhængigt af konfigurationen.

Backup-adgangskoden eller den nødvendige adgang er relevant for analysen.

En sikkerhedskopi afspejler dog kun de data, som den respektive sikkerhedskopieringsprocedure rent faktisk indfanger.

Kan en iPhone-backup analyseres retsmedicinsk?

Ja. En iPhone-sikkerhedskopi kan indeholde et væld af relevante oplysninger og kan analyseres med passende værktøjer.

Det er dog en separat datakilde og bør ikke sidestilles med en direkte filsystemudtrækning fra enheden.

For kronologisk klassificering er det også vigtigt at vide, hvornår sikkerhedskopien blev oprettet.

Hvilken rolle spiller iCloud?

Mange iPhone-data kan synkroniseres eller sikkerhedskopieres til iCloud.

Afhængigt af konfigurationen kan dette omfatte fotos, kontakter, filer, sikkerhedskopier og andre data.

En undersøgelse af iCloud-data er dog ikke automatisk en del af enhver retsmedicinsk undersøgelse af iPhones. Det repræsenterer en yderligere datakilde med sine egne tekniske og juridiske krav.

Er dataene på iPhone og i iCloud altid identiske?

Nej.

Afhængigt af synkroniseringsstatus kan data være lokalt tilgængelige, kun i skyen eller synkroniseret på tværs af flere tilsluttede enheder.

Afhængigt af tjenesten kan sletningsprocesser også påvirke flere enheder.

Derfor skal en undersøgelse afklare, hvilken datakilde et bestemt fund stammer fra.

Kan iMessage-beskeder undersøges retsmedicinsk?

Ja. Afhængigt af omfanget af udtrækningen kan iMessage-data og tilhørende databaser analyseres.

Ud over den synlige beskedtekst kan tidsoplysninger, deltageroplysninger, vedhæftede filer og andre tekniske artefakter være relevante.

De oplysninger, der rent faktisk er tilgængelige, afhænger af de data, der er gemt på den specifikke enhed.

Kan slettede iMessages gendannes?

Under visse betingelser kan der stadig være datarester eller tilhørende artefakter til stede.

Der er ingen garanti.

Oprydning af databasen, yderligere brug, synkroniseringsprocesser og andre tekniske processer kan resultere i, at slettet indhold ikke længere kan gendannes.

Kan WhatsApp-data undersøges på en iPhone?

Ja. Afhængigt af udtrækningsmetoden og det tilgængelige datasæt kan WhatsApp-data være en del af en iPhone-undersøgelse.

Nyheder, medier, databaser og andre app-artefakter kan være relevante.

Det er dog generelt ikke garanteret, at slettede chats kan gendannes.

Kan signaldata analyseres?

Signal bruger lagrings- og kommunikationsmekanismer, der er specielt designet til databeskyttelse og kryptering.

Om relevante data er tilgængelige, afhænger i høj grad af, hvilken adgang der er til enheden eller appdataene.

En Signal-chat, der ikke længere er synlig, kan derfor ikke automatisk rekonstrueres.

Kan Telegram-data undersøges?

Telegram bruger forskellige lagrings- og kommunikationsmodeller, herunder cloudbaserede chats og særlige former for krypteret kommunikation.

Afhængigt af brug og lokale data kan der være forskellige artefakter på iPhonen.

Analysen skal derfor altid tage højde for, hvilken type Telegram-kommunikation der er berørt.

Kan slettede beskeder gendannes på en iPhone?

Nogle gange afhænger gendannelsesmuligheden af, hvor beskeden blev gemt, og hvad der skete med de tilhørende datastrukturer efter sletningen.

Beskeder kan efterlade forskellige spor, for eksempel i appdatabaser, sikkerhedskopier eller synkroniseringssystemer.

Udsagnet "slettet" bør derfor ikke automatisk sidestilles med "stadig genvindelig" eller "permanent væk".

Kan slettede billeder gendannes på en iPhone?

Under visse omstændigheder kan fotos også være til stede i andre datakilder, såsom synkroniserede biblioteker, sikkerhedskopier eller forhåndsvisningsdata.

På grund af kryptering og hukommelsesstyring er en klassisk gendannelse fra frigjorte flashhukommelsesområder dog betydeligt mere begrænset på moderne iPhones end på ældre ukrypterede lagringsmedier.

Hvilken rolle spiller Fotos-appen?

Fotos-appen gør mere end blot at administrere de faktiske billedfiler.

Yderligere databaser kan indeholde oplysninger om medier, albummer, redigeringsprocesser eller andre interne tildelinger.

Derfor kan både mediefiler og tilhørende databaseoplysninger være relevante i en retsmedicinsk analyse.

Kan EXIF-data analyseres?

Billeder kan indeholde EXIF ​​og andre metadata.

Dette kan omfatte optagetid, kameraparametre og, hvis relevant, lokationsoplysninger.

Disse metadata skal dog ses i kontekst. De kan ændres, fjernes under eksport eller omskrives af visse applikationer.

Kan man undersøge placeringsdata på en iPhone?

En iPhone kan indeholde lokationsrelaterede artefakter forskellige steder.

Dette kan omfatte oplysninger fra apps, kortapplikationer, fotos, netværksforbindelser og andre systemkomponenter.

En retsmedicinsk undersøgelse kan sammenligne sådanne datakilder.

En fuldstændig problemfri bevægelsesprofil kan dog ikke automatisk udledes af dette.

Hvad er "vigtige steder" på iPhone?

Apple-systemer kan administrere visse lokationsrelaterede oplysninger til operativsystemfunktioner.

Hvilke data der er tilgængelige og retsmedicinsk tilgængelige på en specifik enhed afhænger af iOS-versionen, enhedskonfigurationen og undersøgelsesmetoden.

Sådanne oplysninger bør ikke fortolkes isoleret som endegyldigt bevis for bopæl.

Kan Apple Maps-data undersøges?

Afhængigt af datasættet kan der være app- og systemartefakter fra kort- eller navigationstjenester til stede.

De kan for eksempel være relevante til at rekonstruere bestemte søge- eller navigationsprocesser.

Hvilken specifik udtalelse der er mulig, afhænger af de tilgængelige data.

Kan Safari-data undersøges?

Safari kan generere historikposter, downloads, cookies, cacheoplysninger og andre browserartefakter.

Afhængigt af iOS-versionen og udtrækningsmetoden kan sådanne data være en del af en undersøgelse.

Også her skal der tages højde for private browsingtilstande, synkronisering og mulige sletningsprocesser.

Kan slettet Safari-historik gendannes?

Under visse betingelser kan der stadig være spor af tidligere browserbrug i andre datastrukturer.

En fuldstændig gendannelse af en slettet historik er dog ikke garanteret.

Hvilke oplysninger der stadig er tilgængelige, skal verificeres ud fra det specifikke udtræk.

Kan opkaldslogge analyseres?

Ja. Opkaldsdata er ofte blandt de relevante mobile artefakter.

Afhængigt af datasættet kan telefonnumre eller kontakter, tidspunkter, varighed eller andre tekniske oplysninger være til stede.

Dataene skal fortolkes i sammenhæng med anden kommunikationsinformation.

Kan FaceTime-aktivitet undersøges?

Afhængigt af iOS-versionen og tilgængelige data kan oplysninger om FaceTime-kommunikation eller relaterede systemfejl være tilgængelige.

Den specifikke mængde afhænger af den specifikke ekstraktionsproces.

Kan kontakter og slettede kontakter undersøges?

Kontaktoplysninger kan administreres lokalt, via iCloud eller via andre tilknyttede konti.

Undersøgelsen skal derfor tage højde for, hvilken konto eller database en kontakt stammer fra.

Om slettede kontakter stadig kan gendannes, afhænger af den respektive datatilstand.

Kan AirDrop-aktivitet spores?

Afhængigt af systemets tilstand og datasituationen kan AirDrop efterlade tekniske spor.

En komplet historik over alle filer, der nogensinde er blevet overført, gemmes dog ikke nødvendigvis permanent.

Derfor skal forskellige artefakter tages i betragtning, når en specifik overførsel undersøges.

Kan forbindelser til andre Apple-enheder undersøges?

En iPhone kan forbindes til adskillige enheder og tjenester i Apples økosystem.

Dette omfatter for eksempel Macs, iPads, Apple Watches eller andre enheder, der tilhører den samme konto.

Visse konto-, synkroniserings- eller forbindelsesoplysninger kan være relevante for en undersøgelse.

Hvilken rolle spiller Apple ID'et eller Apple-kontoen?

Apple-kontoen forbinder adskillige tjenester og enheder.

Derfor kan det i visse situationer være vigtigt at skelne mellem data, der stammer lokalt på iPhone, og oplysninger, der blev synkroniseret via en konto.

En diagnose på en smartphone betyder ikke automatisk, at den blev genereret udelukkende på den enhed.

Kan appinstallationer spores?

Afhængigt af datasættet kan oplysninger om aktuelt eller tidligere installerede apps være tilgængelige.

Disse kan stamme fra app-mapper, systemdatabaser eller andre iOS-artefakter.

Om en tidligere fjernet app kan registreres pålideligt, afhænger af den specifikke enhed og eventuelle resterende spor.

Kan man bestemme brugstider for apps?

Under visse omstændigheder kan system- og app-artefakter give spor om brugsmønstre eller aktivitetsperioder.

En komplet historik over al appbrug, minut for minut, er dog ikke tilgængelig for alle enheder og alle iOS-versioner.

Derfor bør erklæringen altid være baseret på de faktisk tilgængelige tekniske data.

Kan downloads spores?

Downloads kan efterlade spor i browserdata, filmapps, appdata eller andre artefakter.

Om en bestemt download kan verificeres teknisk, afhænger af applikationen, lagringsplaceringen og de resterende data.

Kan filer inspiceres i appen Filer?

Appen Filer kan kombinere lokale og cloudbaserede lagringsplaceringer.

Derfor er det vigtigt at skelne mellem, om en fil faktisk blev gemt lokalt eller blot blev gjort tilgængelig via en cloudtjeneste, når den findes.

Metadata og tilhørende synkroniseringsoplysninger kan være relevante for fortolkningen.

Kan Wi-Fi-forbindelserne på en iPhone undersøges?

Afhængigt af datasættet kan kendte WLAN-netværk og andre netværksparametre være til stede.

Et gemt netværk beviser dog ikke automatisk, at iPhonen var forbundet der på et bestemt tidspunkt.

Yderligere artefakter er nødvendige for en tidsmæssig klassificering.

Kan Bluetooth-forbindelser spores?

Ja, visse oplysninger om parrede enheder kan være tilgængelige.

Dette kan for eksempel være relevant for køretøjer, hovedtelefoner eller wearables.

Også her skal der skelnes mellem en kendt kobling og en forbindelse, der faktisk er blevet bevist på et bestemt tidspunkt.

Kan en iPhone scannes for spyware?

Ja. En retsmedicinsk undersøgelse kan lede efter tekniske tegn på mulig kompromittering.

Dette kan omfatte usædvanlige apps, konfigurationer, systemartefakter, netværksspor eller andre indikatorer.

Usædvanlig batteridræning eller en varm enhed alene er dog ikke et pålideligt tegn på spyware.

Er det muligt, at en iPhone er blevet hacket, selvom der ikke findes noget?

Ja, teoretisk set.

Et negativt fund betyder i første omgang, at der ikke blev fundet tilsvarende brugbar evidens i den undersøgte database.

Det beviser ikke nødvendigvis, at der ikke har fundet et angreb sted på et tidligere tidspunkt.

Resultaternes betydning afhænger af omfanget og kvaliteten af ​​de tilgængelige data.

Hvordan undersøges en potentiel iPhone-kompromittering?

En undersøgelse bør ikke kun se på individuelle apps.

Afhængigt af spørgsmålet kan systemartefakter, konfigurationer, installerede profiler, netværksoplysninger, appdata og andre tekniske spor være relevante.

Resultaterne skal derefter vurderes i kontekst.

Hvilken rolle spiller konfigurationsprofiler?

iOS understøtter konfigurationsprofiler og administrationsmekanismer, der f.eks. kan bruges i virksomheder eller skoler.

En eksisterende profil er ikke automatisk mistænkelig.

Under en sikkerhedsundersøgelse kan det dog være relevant, hvilke profiler der er installeret, hvilke indstillinger de angiver, og hvilken kilde de stammer fra.

Hvad er MDM?

Mobile Device Management muliggør centraliseret administration af mobile enheder.

Dette giver f.eks. virksomhedens iPhones mulighed for at modtage politikker, apps eller sikkerhedsindstillinger.

MDM er grundlæggende en legitim administrationsteknologi og bør ikke sidestilles med spyware.

En retsmedicinsk undersøgelse bør ikke desto mindre undersøge, hvilken administration der rent faktisk er på plads.

Er det muligt at afgøre, om data er blevet eksporteret fra en iPhone?

Det afhænger af den anvendte transmissionsmetode.

Mulige dataoverførselsmetoder omfatter AirDrop, cloudtjenester, e-mail, messengers, lokale computerforbindelser eller andre apps.

Ikke alle overførsler efterlader en komplet og permanent tilgængelig historik.

En pålidelig vurdering kræver derfor en kombination af flere datakilder.

Hvilken rolle spiller en tilsluttet Mac eller PC?

En iPhone kan have været tilsluttet computere og sikkerhedskopieret eller synkroniseret der.

Sådanne systemer kan indeholde yderligere relevante oplysninger, såsom lokale sikkerhedskopier eller andre spor af tidligere forbindelser.

I komplekse tilfælde kan det derfor være nødvendigt ikke at betragte smartphonen isoleret.

Er det muligt at finde ud af, hvornår en iPhone blev låst op?

Afhængigt af iOS-versionen og tilgængelige data kan systemartefakter give spor om bestemte enhedsaktiviteter.

En komplet historik over alle oplåsningsprocesser er dog ikke automatisk tilgængelig.

Den specifikke udtalelse skal laves på baggrund af de artefakter, der faktisk eksisterer.

Er det muligt at finde ud af, hvem der har brugt en iPhone?

En teknisk undersøgelse kan give adskillige spor om den typiske bruger af en enhed.

Det er dog ikke automatisk muligt entydigt at tilskrive en enkelt handling til en specifik fysisk person.

Selv en personlig iPhone kunne teoretisk set have været brugt af en anden person, hvis vedkommende havde adgang.

Hvor vigtige er tidsstempler?

Tidsstempler er blandt de vigtigste informationskilder i en iPhone-undersøgelse.

Du kan angive, hvornår beskeder blev gemt, filer blev ændret, billeder blev taget, eller andre hændelser blev logget.

De skal dog fortolkes korrekt fra et teknisk synspunkt. Tidszoner, synkronisering og forskellige tidsformater kan ellers føre til fejlfortolkninger.

Hvorfor er et enkelt tidsstempel sjældent tilstrækkeligt?

En enkelt tidsværdi kan have forskellige betydninger.

En pålidelig rekonstruktion bliver stærkere, når flere uafhængige datakilder understøtter den samme tidsmæssige sammenhæng.

Derfor korreleres forskellige artefakter med hinanden i sofistikerede undersøgelser.

Hvilken rolle spiller ekstraktionens integritet?

Det genererede datasæt skal tydeligt tildeles den iPhone, der undersøges, og den anvendte udtrækningsmetode.

Hashværdier eller værktøjsspecifikke verifikationsmekanismer kan derefter hjælpe med at kontrollere den fortsatte integritet af dette datasæt.

Dette betyder dog ikke, at udtrækningen automatisk er fuldført. Integritet og fuldstændighed er forskellige egenskaber.

Hvilken rolle spiller forældremyndigheden?

I bevisrelevante undersøgelser skal det kunne spores, hvilken iPhone der blev stjålet, hvilken stand den var i, hvilken udtrækning der blev udført, og hvordan de indhentede data blev viderebehandlet.

Denne organisatoriske beviskæde supplerer den tekniske integritetskontrol.

I komplekse juridiske eller ekspertsager er sådan dokumentation en del af en forståelig arbejdsmetode, som beskrevet i ekspertkontoret for IT- og mobilforensik .

Hvordan fungerer en retsmedicinsk undersøgelse af en iPhone?

Processen starter med et spørgsmål. Derefter kontrolleres model, iOS-version, enhedens tilstand og tilgængelige adgangsmetoder.

Ud fra dette træffes der en beslutning om, hvilken sikkerhedsmetode der er teknisk egnet og tilgængelig.

Efter udtrækning analyseres relevante datakilder. De fundne artefakter betragtes ikke isoleret, men korreleres med yderligere information, hvor det er muligt.

I sidste ende bør der være en klar adskillelse mellem tekniske fund og professionel fortolkning.

Hvorfor skulle undersøgelsen ikke begynde med en fuldtekstsøgning?

En fuldtekstsøgning kan være nyttig, men den erstatter ikke struktureret analyse.

Relevant information kan findes i databaser, metadata, systemartefakter eller binære strukturer og kan muligvis ikke findes som simpel tekst.

Omvendt kan et søgeresultat uden kontekst være misvisende.

Hvad kan iPhone-forensik ikke gøre?

iPhone-forensik kan ikke rekonstruere data, der teknisk set ikke længere er tilgængelige eller tilgængelige.

Den kan heller ikke automatisk udlede en specifik person eller intention fra ethvert digitalt artefakt.

Et billede på en enhed beviser ikke automatisk, hvem der tog det. Et gemt Wi-Fi-netværk beviser ikke nødvendigvis en persons placering. En besked på en enhed beviser ikke nødvendigvis, hvem der rent faktisk skrev den.

Grænserne for et fund er derfor lige så vigtige som selve fundet.

Praktisk eksempel: Slettet iMessage-historik

En specifik beskedhistorik er ikke længere synlig på en iPhone.

Først kontrollerer systemet, hvilken model og iOS-version der er til stede, og hvilken udtrækningsmetode der er tilgængelig.

Efterfølgende kan beskeddatabaser, vedhæftede filer og andre relaterede artefakter undersøges.

Resultatet kan være en komplet rekonstruktion, individuelle tilbageværende artefakter eller endda konstateringen af, at der ikke er nogen brugbare data tilbage.

Praktisk eksempel: Mistanke om uautoriseret adgang

En bruger har mistanke om, at en anden person havde adgang til hans iPhone eller hans Apple-konto.

En undersøgelse kan kontrollere enheden for relevante system- og app-artefakter. Afhængigt af det specifikke spørgsmål kan yderligere konto- eller cloud-data være påkrævet.

En enkelt usædvanlig aktivitet er dog ikke bevis på uautoriseret adgang.

Kun et par tilsvarende tekniske detaljer kan begrunde vurderingen.

Praktisk eksempel: Placeringsproblem

Målet er at verificere, om en iPhone blev brugt på et bestemt tidspunkt i et bestemt miljø.

En seriøs undersøgelse ville ikke udelukkende se på en enkelt GPS-værdi.

Afhængigt af de tilgængelige data kan fotos, netværksdata, app-artefakter eller andre placeringsoplysninger sammenlignes.

Resultatet skal derefter formuleres i henhold til kildernes faktiske nøjagtighed.

Praktisk eksempel: Mistanke om databrud

Der vil blive udført en kontrol på en iPhone, der bruges til arbejdsformål, for at se, om fortrolige dokumenter kan være blevet videregivet.

Potentielle relevante datakilder omfatter filer, messengers, e-mail, cloud-tjenester eller overførselsfunktioner.

Det er dog ikke bevis for en overførsel, at et dokument er fundet.

For en pålidelig rekonstruktion skal yderligere tekniske spor af transmissionsvejen være tilgængelige, hvis det er muligt.

Ofte stillede spørgsmål om iPhone-efterforskning

Hvad er iPhone-forensik forklaret enkelt?

iPhone-forensik er den metodiske sikring og analyse af digitale spor på Apple iPhones. Afhængigt af enheden kan dette omfatte beskeder, fotos, apps, browserdata, placeringsartefakter og systemoplysninger.

Er iPhone-forensik det samme som smartphone-forensik?

iPhone-forensics er et specialiseret underfelt inden for smartphone-forensics og fokuserer på Apple-hardware, iOS og Apples økosystem.

Hvilke data kan læses fra en iPhone?

Den potentielle mængde data, der udtrækkes, afhænger af model, iOS-version, sikkerhedsstatus og udtrækningsmetoden. Dette kan omfatte beskeder, kontakter, opkaldsdata, medier, browserdata og app-artefakter.

Kan alle iPhones aflæses fuldt ud?

Nej. En generel garanti for fuldstændighed ville ikke være teknisk forsvarlig. Mulighederne varierer afhængigt af hardware, iOS-version og enhedens tilstand.

Kan en låst iPhone undersøges?

Dette afhænger af den specifikke model, den installerede iOS-version, sikkerhedsstatus og de tilgængelige tekniske procedurer.

Hjælper enhedskoden i en retsmedicinsk undersøgelse?

Ja. Den korrekte enhedsadgangskode kan have en betydelig indflydelse på adgangen til beskyttede data på moderne iPhones.

Hvad betyder BFU?

BFU står for Before First Unlock og beskriver tilstanden efter en genstart, før enheden er blevet låst op for første gang.

Hvad betyder AFU?

AFU står for After First Unlock og beskriver tilstanden efter den første vellykkede oplåsning siden en genstart.

Hvorfor skal en iPhone ikke genstartes unødvendigt?

En genstart kan ændre den kryptografiske sikkerhedstilstand og dermed påvirke mulige udtrækningsmetoder eller den tilgængelige datamængde.

Kan slettede iMessages gendannes?

Under visse omstændigheder kan data eller artefakter stadig være til stede. Gendannelse kan dog ikke garanteres.

Kan slettede WhatsApp-beskeder gendannes på en iPhone?

Dette afhænger af datamængden, appversionen, eksisterende sikkerhedskopier og den tilgængelige udtrækningsmetode. En generel garanti er ikke mulig.

Kan slettede billeder gendannes?

Under visse omstændigheder kan der stadig findes billeder i sikkerhedskopier, cloud-data eller andre artefakter. Traditionel gendannelse af rådata er stærkt begrænset på moderne iPhones.

Kan man hente lokationsdata fra en iPhone?

Afhængigt af datasættet kan forskellige lokationsrelaterede artefakter være til stede. Dette resulterer dog ikke automatisk i en komplet bevægelsesprofil.

Kan safarihistorier analyseres?

Ja. Afhængigt af udtrækningen kan historik, downloads, cookies og andre browseroplysninger være til stede.

Kan slettede browserdata gendannes?

Nogle artefakter kan stadig være til stede. En fuldstændig genopretning er dog ikke garanteret.

Kan installerede apps detekteres?

Ja. Afhængigt af de tilgængelige data kan nuværende og sommetider tidligere appinstallationer undersøges ved hjælp af forskellige systemartefakter.

Kan slettede apps spores?

Under visse betingelser kan rester eller historiske systemoplysninger bevares. Dette er dog ikke garanteret for alle enheder.

Er det muligt at fastslå, hvornår en app blev brugt?

System- og app-artefakter kan nogle gange give spor om brugsperioder. En komplet historik, minut for minut, er dog generelt ikke tilgængelig.

Kan AirDrop bevises?

Visse overførsler kan efterlade spor. En komplet, permanent AirDrop-historik er dog ikke automatisk tilgængelig.

Er det muligt at finde ud af, hvilke Wi-Fi-netværk en iPhone var forbundet til?

Afhængigt af datasættet kan kendte netværk og andre Wi-Fi-oplysninger være til stede. En præcis tidsmæssig korrelation kræver yderligere artefakter.

Kan en iPhone scannes for spyware?

Ja. En retsmedicinsk undersøgelse kan lede efter tekniske beviser for kompromittering, mistænkelige konfigurationer eller usædvanlige systemartefakter.

Betyder et negativt spywaretestresultat, at iPhone aldrig har været kompromitteret?

Nej. Det betyder blot, at der ikke blev fundet tilsvarende pålidelige beviser i den tilgængelige og undersøgte database.

Kan en iPhone-backup tjene som bevis?

En sikkerhedskopi kan være en værdifuld kilde til retsmedicinske data. Dens informative værdi afhænger dog af, hvornår og hvordan den blev oprettet, og hvilke data den indeholder.

Kan iCloud også undersøges?

Under passende tekniske og juridiske forhold kan cloud-data være en yderligere datakilde. Det skal dog skelnes fra lokal iPhone-dataudtrækning.

Kan en iPhone undersøges fuldstændig uændret?

Med en moderne smartphone kan det ikke garanteres, at der ikke sker ændringer i tilstanden under en optagelse. Målet er at minimere ændringer og at dokumentere eventuelle nødvendige indgreb på en sporbar måde.

Fuldføres en iPhone-udpakning automatisk?

Nej. Integritet og fuldstændighed er forskellige egenskaber. En teknisk korrekt udtrækning kan kun indeholde de data, der var tilgængelige via den anvendte metode.

Hvor lang tid tager en retsmedicinsk undersøgelse af en iPhone?

Dette afhænger af modellen, iOS-versionen, udtrækningsmetoden, datamængden og forskningsspørgsmålet. Den tekniske udtrækning og emneanalysen er adskilte trin.

Kan iPhone-forensik bruges i retten?

Retsmedicinsk sikrede iPhone-data kan være relevante i retssager. Dens specifikke antagelighed og bevisværdi skal dog vurderes fra sag til sag.

Hvorfor iPhone-forensik er mere end blot dataeksport

Teknisk set er det kun det første skridt i en retsmedicinsk undersøgelse at sikre en iPhone.

Den reelle værdi af indsigterne kommer fra den korrekte klassificering af de udtrukne data. Dette kræver, at man overvejer oprindelsen, tidsstemplerne, appstrukturerne, synkroniseringsmekanismerne og mulige alternative forklaringer.

Et enkelt fund bør ikke tillægges mere vægt end dets tekniske grundlag tillader. En fil beviser ikke automatisk dens oprindelse. En lokaliseringsartefakt er ikke nødvendigvis et præcist bevis for opholdssted. En eksisterende besked identificerer ikke automatisk den person, der har indtastet den.

Professionel iPhone-forensik kombinerer derfor teknisk indsamling, integritetstjek og ekspertfortolkning. Den identificerer ikke kun, hvad der er blevet fundet, men også grænserne for, hvad der rent faktisk kan konkluderes ud fra disse data.

Denne metodologiske adskillelse er afgørende netop på grund af den komplekse sikkerhedsarkitektur i moderne iPhones. Det er ikke den størst mulige mængde data, men snarere den sporbare forbindelse mellem datakilde, backupmetode, tekniske fund og ekspertvurdering, der gør en iPhone-undersøgelse pålidelig.

Tilbage til vidensoversigten