Extracción forense en iPhone dañados
En un iPhone dañado, el estado del hardware original decide si una extracción forense llega a ser posible. Los datos están cifrados, y la clave solo existe en la interacción de los componentes originales.
Revisado técnicamente por Jan Petermann, Fundador y director general de smartmodPublicado el
Por qué el estado del hardware y el acceso a los datos están ligados
Los iPhone cifran todos los datos de usuario. Las claves las gestiona la Secure Enclave, un área de seguridad aislada dentro del procesador principal. El material criptográfico subyacente no sale de esta área y está ligado precisamente a este procesador.
Para la informática forense esto significa: los datos solo vuelven a ser legibles a través del sistema original en funcionamiento. Un iPhone que ya no arranca o no se comunica es, por tanto, en primer lugar un problema de hardware – no un problema del sistema de extracción.
Daños típicos
Líquido y corrosión
Cortocircuitos y corrosión progresiva, a menudo bajo las chapas de blindaje y en la zona de los conectores.
Daños mecánicos
En muchos modelos recientes, la placa lógica tiene una estructura de dos capas. Las caídas o las torsiones pueden interrumpir la conexión entre los niveles sin que desde fuera se aprecie gran cosa.
Incendio y calor
Componentes y soldaduras dañados; lo decisivo es el estado del procesador y de la memoria flash.
Fallos en la alimentación eléctrica
Cortocircuitos en las líneas de alimentación o componentes de gestión de energía defectuosos – el aparato no arranca.
Interfaces defectuosas
Conector Lightning o USB-C o los componentes de interfaz correspondientes: el aparato funciona en determinadas circunstancias, pero el sistema de extracción no lo reconoce.
Por qué cambiar la placa lógica no resuelve la cuestión de los datos
Si la placa lógica dañada se sustituye por una placa de repuesto funcional, un iPhone vuelve a arrancar – pero con un procesador ajeno, una Secure Enclave ajena y una memoria ajena. Este aparato ya no tiene nada que ver con los datos originales.
Para una extracción forense, cambiar la placa carece por tanto de valor. Lo decisivo es que se conserven los componentes originales relevantes para los datos y para la criptografía.
Conservación de los componentes originales relevantes
Relevantes para los datos son ante todo el procesador principal con la Secure Enclave y la memoria flash. Estos componentes deben conservarse y funcionar en su conjunto original.
Si la placa original ya no se puede salvar, en casos graves estos componentes – según el modelo junto con otras piezas acopladas al sistema – pueden trasladarse a una placa portadora intacta del mismo modelo. Esto exige una gran precisión en el BGA rework y no es posible en todos los casos.
Reconstrucción a nivel Board-Level
La reconstrucción Board-Level parte de la placa original: diagnóstico al microscopio, medición de las tensiones de alimentación, localización de cortocircuitos, reparación de pistas interrumpidas y sustitución de componentes defectuosos no relevantes para los datos. El objetivo no es un aparato apto para el uso diario, sino un estado en el que el iPhone vuelva a arrancar y a comunicarse.
Restablecimiento de la alimentación y de la comunicación de datos
Alimentación eléctrica
El aparato debe recibir una alimentación estable y completar por entero el proceso de arranque.
Comunicación de datos
La conexión a través de Lightning o USB-C debe funcionar para que el sistema de extracción reconozca el aparato.
Estabilidad
El aparato debe funcionar de forma fiable durante toda la extracción – con grandes volúmenes de datos, en determinadas circunstancias durante horas.
Otras funciones
Si además se necesita, por ejemplo, una pantalla operativa depende del procedimiento de extracción previsto.
Entrega al flujo de trabajo de extracción forense
Tras la reconstrucción, el aparato se incorpora al flujo de trabajo de extracción – en el laboratorio del cliente con sus propios sistemas o, previo acuerdo, en el laboratorio que ha realizado la reconstrucción. Las intervenciones de hardware realizadas se documentan caso por caso y se entregan junto con el aparato.
Límites en cuanto al código de acceso y al cifrado
Una reconstrucción satisfactoria no significa automáticamente acceso a los datos. Si se conoce el código de acceso, el aparato descifra sus datos por sí mismo tras el arranque. Sin un código de acceso conocido, el acceso puede no obstante ser posible en función del modelo, la versión de iOS, el estado del aparato y los procedimientos forenses disponibles; si esto es aplicable a un aparato concreto solo puede determinarse tras un examen.
Ningún intento de introducción a ciegas
Evaluación técnica inicial
Para una primera evaluación bastan unos pocos datos: modelo, tipo de daño, estado actual – reacción a la corriente, pantalla, reconocimiento por un ordenador o sistema de extracción –, medidas tomadas hasta ahora y, si se dispone de ellas, fotos del aparato o de la placa abierta.
Hasta la evaluación
Respondido en breve.
¿Se puede extraer todavía de forma forense un iPhone con la placa lógica rota?
En determinadas circunstancias, sí. Lo decisivo es si el procesador y la memoria flash están intactos. Si lo están, las conexiones interrumpidas pueden repararse en parte a nivel Board-Level, o bien los componentes originales se trasladan a una placa portadora intacta del mismo modelo. Una afirmación fiable solo es posible tras un diagnóstico.
¿Por qué no sirve reparar un iPhone dañado con una placa lógica nueva?
Porque los datos están ligados al procesador y a la Secure Enclave de la placa original. Un iPhone con una placa lógica nueva arranca, pero no tiene acceso a los datos originales.
En la misma línea.
Forensic Device Recovery
Reconstrucción Board-Level de dispositivos móviles dañados para la extracción forense.
Saber másChip-off en la informática forense de smartphones
Por qué desoldar la memoria rara vez ayuda en dispositivos cifrados.
Saber másExtracción forense de un smartphone dañado
Tipos de daño, procedimientos y qué necesita el laboratorio para una evaluación.
Saber másComprobamos si el dispositivo se puede reconstruir.
Para una primera evaluación técnica bastan unos pocos datos sobre el dispositivo y el tipo de daño.
Wasserweg 8–10 · 60594 Frankfurt am Main