Elcomsoft iOS Forensic Toolkit

Forensischer Zugang zu iPhone-, iPad-, und iPod-Geräten mit Apple iOS-Betriebssystem

Führen Sie eine komplette forensische Erfassung der Nutzerdaten von iPhone-, iPad- und iPod-Geräten durch. Elcomsoft iOS Forensic Toolkit erlaubt, ein Image vom Dateisystem des Geräts zu erstellen, um geheime Daten zu extrahieren (Codesperren, Passwörter und Codeschlüssel) und über Lockdown-Datensätze auf gesperrte Geräte zugreifen.

Die folgenden Extraktionsmethoden werden unterstützt:

• Erweiterte logische Erfassung (Sicherung, Mediendateien, Absturzprotokolle, freigegebene Dateien) (alle Geräte, alle Versionen von iOS)
• Direkte agentenbasierte Extraktion (alle 64-Bit-Geräte, ausgewählte iOS-Versionen)
• Forensisch fundierte Bootloader-basierte checkm8-Extraktion (ausgewählte Geräte)
• Jailbreak-basierte Extraktion (alle Geräte und Versionen von iOS mit öffentlichen Jailbreaks)
• Entsperren des Passcodes und echte physische Erfassung (ausgewählte 32-Bit-Geräte)

Siehe Kompatible Geräte und Plattformen für weitere Einzelheiten.

Vollständige Dateisystem-Extraktion und Entschlüsselung des Schlüsselbunds

Für eine begrenzte Anzahl von iOS-Geräten ist eine jailbreakfreie Extraktionsmethode verfügbar, die auf dem direkten Zugriff auf das Dateisystem basiert. Mithilfe eines eigens entwickelten Extraktionswerkzeugs installiert diese Erfassungsmethode einen Extraktionsagenten auf dem Gerät, das erfasst wird. Der Agent kommuniziert mit dem Computer des Experten und bietet eine robuste Leistung und eine extrem hohe Extraktionsgeschwindigkeit von über 2.5 GB Daten pro Minute.

Besser noch: Die agentenbasierte Extraktion ist absolut sicher, da sie weder die Systempartition verändert noch das Dateisystem erneut bereitstellt, während das automatische Hashing der extrahierten Informationen im laufenden Betrieb durchgeführt wird. Die agentenbasierte Extraktion nimmt keine Änderungen an den Benutzerdaten vor und bietet eine forensisch fundierte Extraktion.

Sowohl das Dateisystem-Image als auch alle Schlüsselbunddatensätze werden extrahiert und entschlüsselt. Die neue agentenbasierte Extraktionsmethode liefert eine solide Leistung und führt zu einer forensisch einwandfreien Extraktion. Der Agent kann nach Abschluss der Extraktion mit einem einzigen Befehl vom Gerät entfernt werden.

Man kann entweder das gesamte Dateisystem extrahieren oder das Express-Extrahieren verwenden und nur die Dateien der Benutzerpartition abrufen. Das Express-Extrahieren von Daten trägt dazu bei, Zeit und Speicherplatz zu sparen, indem nur der Inhalt der Datenpartition abgerufen wird, während die Systempartition übergangen wird.

Die Methode der partiellen Dateisystem-Extraktion ist für die neuesten Generationen von Apple-Geräten (bis einschließlich der iPhone 14-Reihe) verfügbar, auf denen iOS-Versionen bis einschließlich iOS 16.1.2 ausgeführt werden. Die neue Extraktionsmethode extrahiert Daten aus App-Sandboxen von Drittanbietern sowie Mediendateien und einige Systemdatenbanken.

Die Agenten-basierte Methode erfordert ein Apple-Konto, das im Apple Developer-Programm registriert ist. Die macOS-Version hebt diese Einschränkung vollständig auf und erlaubt übliche IDs von Apple zum Laden der Extraktions-Binärdatei zu verwenden.

Jailbreak-basierte Extraktion

Zusätzlich zur Agenten-basierten Extraktion unterstützt das iOS Forensic Toolkit die Extraktion aller Geräte mit Jailbreak, für die ein Jailbreak verfügbar ist. Die vollständige Dateisystemextraktion und Schlüsselbundentschlüsselung sind für Geräte mit Jailbreak verfügbar. Alle öffentlichen Jailbreaks werden unterstützt.

Forensisch fundierte Extraktion mit Bootloader-Exploit

Zur Sicherung digitaler Beweismittel wird die Unveränderbarkeit der Daten ab dem ersten Zeitpunkt der Datenerhebung ermöglicht, um sicherzustellen, dass während der Ermittlungen erhobene digitale Beweismittel durch ein sozusagen Nicht-Antasten gerichtlich zulässig bleiben. Die neue, Bootloader-basierte Extraktionsmethode liefert wiederholbare Ergebnisse über Extraktionssitzungen hinweg. Wenn iOS Forensic Toolkit auf einem unterstützten Gerät verwendet wird, stimmt die Prüfsumme des ersten extrahierten Images mit den Prüfsummen nachfolgender Extraktionen überein, vorausgesetzt, das Gerät wurde nie neu gestartet und wurde zwischen den Extraktionen im ausgeschalteten Zustand gespeichert.

Die neue Extraktions-Methode ist die bisher sauberste. Unsere Implementierung des Bootloader-basierten Exploits ist von Grund auf gebaut, das heißt, dass wir dies basierend auf unserer hauseigenen technischen Forschung umgesetzt haben und es nicht auf Jailbreak basiert, wie es generell bisher gemacht wird. Alle Arbeiten werden vollständig im RAM ausgeführt, und das auf dem Gerät installierte Betriebssystem bleibt bleibt nicht gestartet während des Extraktion-Prozesses. Unser einzigartiges direktes Extraktionsverfahren bietet folgende Vorteile:

• Wiederholbare Ergebnisse. Prüfsummen nachfolgender Extraktionen stimmen mit der ersten überein, wenn das Gerät ausgeschaltet bleibt und iOS zwischen den Sitzungen nie startet.
• Unterstützt iPhone 5s, 6/6s/Plus, SE (Original), iPhone 7/8/Plus, iPhone X.
• Unterstützt insgesamt eine Vielzahl von Apple-Modellen, darunter 25 iPhones, 40 iPads, 3 iPods, 4 Apple TV 4 und 4K, 4 Apple Watch-Modelle
• Breite iOS-Kompatibilität. iOS 4 bis iOS 16 werden unterstützt, mit eingeschränkter Unterstützung für alle iOS 16 auf A11-Geräten.
• Unveränderte System- und Datenpartitionen.
• Null-Änderungsrichtlinie: 100% des Patches erfolgt im RAM.
• Der Installationsprozess ist vollständig geführt und im Vergleich zum Jailbreaking wesentlich zuverlässiger.
• Gesperrte Geräte werden im BFU-Modus unterstützt, während der USB-eingeschränkte Modus vollständig umgangen werden kann.

Hinweise: Extraktionen auf Bootloader-Ebene sind ausschließlich in der Mac-Edition verfügbar und erfordern einen macOS-Computer.

Entsperren und Imaging der älteren Geräte: iPhone 4, 4s, 5 und 5c

Mit dem Toolkit können verschlüsselte iPhone 4-, 4s- (1), 5- und 5c-Geräte entsperrt werden, die mit einem unbekannten Bildschirm-Passwort geschützt sind. EIFT stellt die ursprüngliche 4-stellige oder 6-stellige PIN wieder her. Der DFU-Angriff arbeitet mit einer Geschwindigkeit von 13,6 Passcodes pro Sekunde. Das Entsperren eines mit 4-stelligen PINs geschützten iPhone 5 oder 5c dauert weniger als 12 Minuten. Das Wiederherstellen von 6-stelligen PINs dauert bis zu 21 Stunden. Aus diesem Grund haben wir einen intelligenten Angriff auf 6-stellige Passwörter entwickelt, bei dem zuerst die Liste der am häufigsten verwendeten Passwörter ausprobiert wird. Diese Liste enthält nur 2910 Einträge, und es dauert nur etwa 4 Minuten, um sie alle zu testen. Beispiele auf dieser Liste umfassen die weltweit beliebte Kombination 123456, wiederholte Ziffern, sowie die digitalen Passwörter, die bestimmte Kombinationen darstellen (z. B. 131313 oder 287287). Nach dieser Liste folgen die 6-stelligen PINs, die auf dem Geburtsdatum des Benutzers basieren. Nachdem das Programm all diese Kombinationen ausprobiert hat, was ungefähr 1,5 Stunden dauert, startet das Tool den vollständigen Brute-Force-Angriff. (Hinweis: Die Wiederherstellung von Passcodes wird auf dem iPhone 4 mit einer Geschwindigkeit von 6,6 Passcodes pro Sekunde ausgeführt.)

Für ältere iOS-Geräte, einschließlich iPhone 4, 4s (1), 5 und 5c, ist eine vollständige physische Erfassung verfügbar. Für alle unterstützten Modelle kann das Toolkit das bitgenaue Image der Benutzerpartition extrahieren und den Schlüsselbund entschlüsseln. Wenn auf dem Gerät iOS 4 bis 7 ausgeführt wird, kann das Imaging auch ohne Wiederherstellung des Passcodes durchgeführt werden, während bei Geräten mit iOS 8 bis 10 zuerst der Passcode wiederhergestellt werden muss. Für alle unterstützten Modelle kann das Toolkit die Benutzerpartition und den Schlüsselbund extrahieren und entschlüsseln.

(1) Die Entsperrung des Passcodes und die forensisch fundierte, checkm8-basierte Extraktion sind für iPhone 4s, iPod Touch 5, iPad 2 und 3 Geräten verfügbar. Die Low-Level-Extraktionslösung verwendet ein Raspberry Pi Pico Board, um das Exploit anzuwenden. Das Firmware-Image wird mit dem iOS Forensic Toolkit bereitgestellt; das Pico-Board wird nicht mitgeliefert.

Hinweise: Nur Mac Edition; die Unterstützung für iPhone 4S erfordert ein Raspberry Pi Pico-Board (nicht im Lieferumfang enthalten) mit benutzerdefinierter Firmware (im Lieferumfang enthalten). Für iOS 4 bis 7 ist für die Geräte-Imaging keine Passcode-Wiederherstellung erforderlich. Für iOS 8 und 9 muss der Passcode vor dem Imaging wiederhergestellt werden (andernfalls ist eine begrenzte BFU-Erfassung verfügbar).

Erweiterter logischer Zugriff

iOS Forensic Toolkit unterstützt den logischen Zugriff, der eine einfache und sichere Zugriffsmethode darstellt. Die logische Erfassung erstellt eine standardmäßige iTunes-ähnliche Sicherung der auf dem Gerät gespeicherten Informationen, ruft Medien und freigegebene Dateien ab und extrahiert System-Crash-Logs Während durch die logische Methode weniger Informationen als durch die Low-Level-Extraktion gewonnen werden, wird Experten empfohlen, ein logisches Backup des Geräts zu erstellen, bevor sie weitere invasive Erfassungstechniken anwenden.

Wir empfehlen immer, die logische Erfassung in Kombination mit Low-Level-Extraktion zu verwenden, um alle möglichen Arten von Beweisen sicher zu erhalten.

Extrahieren Sie schnell Mediendateien wie Camera Roll, Bücher, Sprachaufnahmen und iTunes-Mediathek. Im Gegensatz zum Erstellen einer lokalen Sicherung, bei der es sich möglicherweise um eine langwierige Angelegenheit handeln kann, funktioniert die Medienextraktion auf allen unterstützten Geräten zügig. Das Auslesen von Daten aus gesperrten Geräten ist durch die Anwendung der Lockdown-Datei möglich.

iOS Forensic Toolkit bietet auch die Möglichkeit, auf Absturz- / Diagnoseprotokolle und gespeicherte Dateien vieler Apps zuzugreifen und kritische Daten auch ohne Jailbreak zu extrahieren. Extrahieren Sie Dokumente von Adobe Reader und Microsoft Office, der MiniKeePass-Passwortdatenbank und vielem mehr. Die Extraktion erfordert ein nicht gesperrtes Gerät oder einen nicht abgelaufenen Sperrdatensatz.

Der logische Zugriff ist für alle Geräte verfügbar, unabhängig davon, ob es sich um eine Hardware- oder Jailbreak-Version handelt. Allerdings muss das Gerät mindestens einmal nach dem Kaltstart entriegelt werden, andernfalls kann der Backup-Dienst nicht gestartet werden.

Experten müssen das Gerät mit Codesperre oder Touch ID entsperren oder eine nicht abgelaufene Lockdown-Datei vom Computer des Benutzers benutzen.

Wenn das Gerät konfiguriert ist, um passwortgeschützte Backups zu erzeugen, müssen Experten Elcomsoft Phone Breaker benutzen, um das Kennwort zu ermitteln und die Verschlüsselung zu entfernen. Elcomsoft Phone Breaker ist auch erforderlich, um Keychain-Daten zu lesen. Wenn kein Backup-Passwort gesetzt wurde, wird das Tool das System automatisch mit einem temporären Passwort ausstatten ("123"), um Elemente aus dem Schlüsselbund entschlüsseln zu können (das Passwort wird nach dem Zugriff zurückgesetzt).

Mit einem Datensatz zum Sperren (Pairing-Datensatz) können Informationen auch nach dem Ausschalten oder Neustart von gesperrten iOS-Geräten extrahiert werden. Die folgende Übersicht gilt für Geräte mit iOS 8 und neuer:

Unterstützte Geräte und Erfassungsmethoden

iOS Forensic Toolkit unterstützt die Low-Level-Extraktion auf Jailbroken-Geräte vom iPhone 5s über iPhone 14, 14 Pro und iPhone 14 Pro Max.

Es gelten folgende Kompatibilitätsmuster:

• Passcode entsperren: Stellt 4-stellige und 6-stellige Bildschirm-Passcodes über DFU-Exploit wieder her. Alle iOS-Versionen, iPhone 4, 4s, 5 und 5c-Geräte. ^[1][2]
• ältere Geräte: Bitgenaue Imaging und Entschlüsselung von iPhone 4, 4s, 5 und 5c-Geräten. Nur in der Mac Edition verfügbar.^[1][2]
• Agent: Vollständige Dateisystem-Extraktion und Schlüsselbund-Entschlüsselung für Geräte, auf denen eine beliebige Version von iOS 9 bis 15.7.2 ausgeführt wird, partielle Dateisystem-Extraktion bis einschließlich iOS 16.1.2. Die entsprechenden iPad-Modelle werden ebenfalls unterstützt. Eine Apple Developer-Registrierung ist erforderlich (Windows) / optional (macOS).
• Über Bootrom-Exploit (checkm8): Forensisch fundierte Dateisystem- und Schlüsselbund-Erfassung für 76 Apple-Geräte ^[1].
• Kein Jailbreak verfügbar: Logische Erfassung, gemeinsame Dateien und Medienextraktion für Geräte, auf denen iOS-Versionen ohne Jailbreak ausgeführt werden. Das Gerät muss mit einem Passcode, einer Touch-ID oder einem Sperrdatensatz entsperrt werden

Führen Sie eine physische und logische Erfassung von iPhone-, iPad- und iPod Touch-Geräten durch. Das Image Device File System, extrahiert Geräte-Inhalte (Passwörter, Schlüssel und geschützte Daten) und entschlüsselt das Dateisystem-Image.