Elcomsoft Phone Breaker
Извлечение данных из облака iCloud
Облачные сервисы - ценный, часто - основной источник информации во время расследования. При отсутствии, повреждении или блокировке физического устройства доступ в облако нередко является единственным способом получить данные. Учётная запись Apple выступает в роли агрегатора; в облако попадают данные со всех устройств пользователя, включая iPhone, iPad и Mac.
Elcomsoft Phone Breaker – универсальный инструмент для извлечения данных из резервных копий и облачного хранилища iCloud. Инструмент позволяет специалистам получить доступ к резервным копиям и скачивать различные типы данных.
Работа с локальными резервными копиями
В зашифрованных резервных копиях доступно больше ценных данных по сравнению с незашифрованными, что делает их ценным объектом исследования. Elcomsoft Phone Breaker поможет расшифровать защищённые паролем резервные копии, а если пароль неизвестен - восстановить его атакой на GPU. Исходный двоичный формат резервной копии можно сконвертировать в удобную структуру с сохранением оригинальных путей к файлам для исследования вручную. Встроенный инструмент Keychain Explorer представляет быстрый и удобный способ просмотра паролей, извлечённых из связки ключей локальной резервной копии.
Извлечение синхронизированных данных
Устройства Apple постоянно синхронизируют данные через iCloud. Этот процесс происходит в реальном времени, что повышает ценность таких данных для расследования. В число таких данных входят контакты, календари, заметки, фотографии и видеоролики и многое другое. При помощи нашего инструмента часто можно восстанавливать записи, которые пользователь считает удалёнными, такие как заметки и медиафайлы (фото и видео) после очистки папки "недавно удалённых" файлов.
Облачные данные можно извлечь даже если самого устройства на руках нет. Для доступа к данным из облака нужны лишь логин и пароль пользователя, а также второй фактор аутентификации.
В настоящее время поддерживаются следующие типы данных:
| Тип данных | Описание |
|---|---|
| Account Info | Токены восстановления FileVault (для расшифровки дисков Mac) и полный список всех подключённых устройств. |
| Apple Maps | Сохранённые избранные места (Примечание: остальные данные карт в настоящее время недоступны из-за сквозного шифрования). |
| Calendars | Встречи и запланированные мероприятия пользователя. |
| Contacts | Адресная книга. |
| iBooks | Сохранённые книги и документы, включая PDF. |
| Notes | Папки и вложения, включая элементы, удалённые вручную или очищенные автоматически по истечении 30-дневного срока «Недавно удалённых». |
| Photos | Облачные фото- и видеоальбомы с EXIF-метаданными (местоположение, время), часто включая недавно или окончательно удалённые файлы. |
| Screen Time | Списки установленных приложений по устройствам, ограничения использования приложений и сведения об участниках семейного доступа (имена и адреса электронной почты). |
| Voice Memos | Сохранённые аудиозаписи. |
| Wallet | Посадочные талоны, программы лояльности и скидочные карты. |
| Web Data | Закладки, список чтения и открытые в данный момент вкладки на всех устройствах (Примечание: история браузера недоступна из-за сквозного шифрования). |
Облачные резервные копии
Облачные резервные копии содержат ценные данные, не попадающие в другие источники. Резервные копии создаются в iCloud ежедневно, когда пользователи заряжают свои устройства при подключении к сети Wi-Fi. Apple не предоставляет официального механизма загрузки облачных резервных копий; единственный штатный способ получить данные из облака - настроить новое устройство Apple. Данные из облачных резервных копий можно скачать из учётной записи Apple только с помощью сторонних инструментов, таких как Elcomsoft Phone Breaker.
Загрузка крупной резервной копии может занять несколько часов. Последующие обновления загружаются инкрементально и выполняются значительно быстрее. В Elcomsoft Phone Breaker есть режим быстрого скачивания избранных данных, пропустив самые "тяжёлые"данные (например, музыку и видео). Многие типы данных можно выбрать из списка и скачать за несколько минут, обеспечив быстрый доступ к ключевой информации.
Текущее ограничение: Загрузка облачных резервных копий в настоящее время работает нестабильно. Apple регулярно меняет проприетарные протоколы, что временно нарушает работу EPB. Мы в курсе ситуации и работаем над ней.
Файлы iCloud Drive
Файлы из iCloud Drive могут представлять значительную ценность в расследовании. Сюда входят как скачанные, так и созданные пользователем документы, таблицы и файлы, синхронизированные из папок Рабочего стола, Загрузок, Корзины и Документов с компьютеров Mac. Также извлекаются некоторые данные сторонних приложений, например зашифрованные резервные копии WhatsApp.
Данные со сквозным шифрованием
Ряд чувствительных данных защищается при помощи сквозного шифрования. К таким данным относятся облачная связка ключей, данные приложения "Здоровье", коды доступа "Экранного времени", данные "Карт" и сообщения в iCloud.
Текущее ограничение: Извлечение категорий данных со сквозным шифрованием временно недоступно в связи с недавними изменениями в инфраструктуре Apple. Мы в курсе проблемы и работаем над решением.
Таблица совместимости
| Pro (Win/Mac) |
Forensic (Win/Mac) |
|
|---|---|---|
| Apple iCloud | ||
| Поддержка учётных записей с 2FA | ✓ | ✓ |
| Загрузка резервных копий iCloud[^backup] | - | ✓ |
| Загрузка обычных (незашифрованных) синхронизированных данных | ✓ | ✓ |
| Загрузка e2e-зашифрованных синхронизированных данных (Messages, Health и др.) | - | временно недоступно |
| Загрузка iCloud Photos | ✓ | ✓ |
| Загрузка и просмотр iCloud Keychain | - | временно недоступно |
| Загрузка дополнительных данных из iCloud Drive | - | ✓ |
| Ключи восстановления FileVault2 | - | ✓ |
| Пароли Screen Time, настройки и список приложений | - | ✓ |
| Количество поддерживаемых учётных записей iCloud | 30 | 300 |
| Количество учётных записей iCloud в день | 5 | 5 |
| Прочие функции | ||
| Восстановление пароля к резервной копии iTunes | ✓/- | ✓/- |
| Расшифровка резервных копий iOS с известным паролем | ✓ | ✓ |
| Просмотр данных keychain iOS | ✓ | ✓ |
Примечание: функции восстановления паролей доступны только в версии для Windows.
Загрузка данных со сквозным шифрованием, таких как iCloud Keychain, Health, Messages и др., в настоящее время недоступна в связи с недавними изменениями безопасности iCloud от Apple; также имеются проблемы с отдельными резервными копиями iCloud. Если процесс прерывается, рекомендуем временно включить функции частичного скачивания и реконструкции путей к файлам. Мы работаем над решением.