《iOS取证实战：调查、分析与移动安全》一3.9　参考文献

前 言 本书适用于对iPhone和其他iOS设备感兴趣的读者,尤其适合那些对设备中能恢复的存储数据类型感兴趣的读者阅读.移动取证的需求随着智能手机的发布在惊人地增长.随着手机的应用不再局限于通话功能,使得通过手机进行的交流互动逐渐被数据化了.当用户用iOS设备发送短信.查收个人或工作邮件.上网.管理财务,甚至照相和摄影时,他们并没有意识到,这些数据正在被存储到他们的设备上.当删除一条信息时,他们会认为这些数据永远消失了.但事实上并非如此,本书不仅解释为什么这些被删除的数据能够恢复,还向取证审查者

1.3 取证审查方法 与任何取证研究一样,这里提供几种方法用于信息获取和分析.无论用任何方式进行信息获取都不能修改源信息,这是信息获取的关键,也可以说是最重要的一点.如果在一些实时系统或移动设备上获取信息时无法避免要修改源信息,那么分析者必须说明修改的细节以及必须作此修改的原因.移动领域取证与传统的计算机取证不一样,传统的计算机取证,你可以拆下硬盘,连上数据恢复工具write blocker,然后映像数据,最后就可以对这些数据进行分析了.而在移动领域就没有这么简单了,由NAND的特性和主存储器结

3.4 数据存储方式 iPhone上的数据以很多方式进行存储.下面的小节涵盖了每一个数据存储的形式以供审查者了解潜在的证据如何定位或恢复. 内部存储: SQLite 数据库文件: 属性列表: 网络: 其他. 3.4.1 内部存储 大多数的码分多址(CDMA)设备都有SD卡插槽,但是iPhone不一样,它没有任何形式的外部存储器(除了SIM卡之外).iPhone中所有的数据都存储在内部NAND闪存中.本章后面的3.7.3节中提到的slice 2(或者称为rdisk0s2)存储了这些用户数据文件,设

3.5 存储器类型 iPhone设备有两种主要的存储器类型,易失性存储器(RAM)和非易失性存储器(NAND闪存).这两种存储器各自提供了对设备数据的不同处理方法. 3.5.1 RAM RAM用于系统加载.执行,以及处理操作系统.应用程序和数据的关键部分,它的数据在重启后不保存.类似于传统计算机,RAM可包含应用程序处理数据的重要信息.例如: 密码 加密密钥 用户名 应用程序数据 系统进程和服务数据在审查调查中,获取设备RAM中存储的数据的能力是非常重要的.然而,更重要的一点是,我们必须在设备关

2.5 与iTunes的交互 用户可通过iTunes提供的各种功能来管理iPhone设备上的文件.应用程序.软件版本等.下面将讨论iTunes的主要特性. 2.5.1 设备同步 当iPhone连接到iTunes后,用户可启动iTunes软件与设备进行同步.根据用户的设置,这个过程将存储在iTunes上的所有应用程序.音乐.视频和图片等加载到设备上.在同步过程中,iTunes上的数据是优先的,设备上任何与iTunes不同的数据都会被删除.用户可以设置iTunes在每次设备连接时自动同步,或者设置必

2.6 小结 为了能对iPhone进行取证检查,了解设备上的各个选项是非常必要的.本章涵盖了各种iOS设备和它们的一些通用特性.在进行取证分析之前,大量和安全相关的功能都需要加以考虑.如果设备支持数据保护并设置了密码,部分或所有数据可能会被加密.本章还详细讨论了iPhone和iTunes的交互.iTunes软件在决定iPhone加载数据上扮演了重要的角色.此外,在设备同步时,也能获得设备的备份,这就给审查者提供了另外一种获得数据的方法.除此之外,通过iTunes还能进行固件升级.降级和还原.上述

3.3 数据存储位置 iPhone拥有标准的文件目录结构,在其中存储着各种文件(参考附件C,展示了从iPhone中恢复的文件夹和文件的全列表).iPhone硬件没有外置存储插槽,因此它所有的数据都存储在设备内部(与之对应的是,其他设备拥有外置SD卡或仿真SD卡设备).为了显示iPhone的目录层级,我们使用第5章中提及的技术,通过Wi-Fi远程接入一个已越狱的iPhone.在一台Macintosh电脑上通过SSH连接到iPhone,以查看其文件系统进行研究分析.登录设备后可以通过"1s"

第2章 设备特性和功能 2.1 介绍 了解设备的内部工作机制对移动设备取证审查来说是很重要的.因为各种Apple设备都能存储个人隐私数据.而且最重要的是,每个型号都有独特的特性,在研究设备数据之前先了解这些特性是很必要的.在iPhone的研究中,关注可运行iOS系统的设备,及其设置和选项是一个关键课题.iPhone或iPad上设置的参数可影响到数据提取的方式.我们不但要了解物理设备,还要了解iTunes在iPhone调查中扮演的重要的角色.本章内容涵盖了iOS设备的功能,以及这些设备如何通过与i

2.2 Apple设备概述 虽然本书主要关注iPhone和与之结合的取证技术,但需要注意,大多数取证方法也是能够被应用到其他Apple设备上的.基于此原因,以下部分会对一些比较常见的iOS设备做简要概述. 2010年4月,Apple发布了它的平板电脑版本iPad,以提供音频和视频功能为主,最初发布的iPad运行的iOS版本是3.2.2.2010年11月,发布了操作系统的4.2.1版本.类似于iPhone,iPad也提供触摸屏功能以及许多相同的应用.iPad上的应用程序可通过同样的方式从iTune

3.7 文件系统 iPhone以及其他Apple设备(包括Mac计算机)使用的文件系统是HFS Plus.最初,它们使用的文件系统都是HFS,后期才使用的HFS Plus.HFS Plus增加了很多增强功能,包括提高磁盘空间使用效率,使用国际化.友好的文件名,未来支持具名分支,以及可引导操作系统(除了Mac OS).表3-3中提供了相关信息,呈现了最初的HFS文件系统和HFS Plus的不同之处(Apple Developer, 2004). HFS Plus包含分配单元,称为"分配块"