Extraction forensique sur des iPhone endommagés
Sur un iPhone endommagé, l’état du matériel d’origine détermine si une extraction forensique devient possible. Les données sont chiffrées, et la clé n’existe que dans l’interaction des composants d’origine.
Vérifié sur le plan technique par Jan Petermann, Fondateur et gérant de smartmodPublié le
Pourquoi l’état du matériel et l’accès aux données sont liés
Les iPhone chiffrent l’intégralité des données utilisateur. Les clés sont gérées par la Secure Enclave, une zone de sécurité isolée au sein du processeur principal. Le matériel cryptographique sous-jacent ne quitte pas cette zone et est lié à ce processeur précis.
Pour la forensique, il en découle : les données ne redeviennent lisibles que par l’intermédiaire du système d’origine en état de fonctionnement. Un iPhone qui ne démarre plus ou ne communique pas relève donc d’abord d’un problème matériel – et non d’un problème du système d’extraction.
Dommages typiques
Liquide et corrosion
Courts-circuits et corrosion évolutive, souvent sous les blindages et au niveau des connecteurs.
Dommages mécaniques
Sur de nombreux modèles récents, la carte logique est constituée de deux couches superposées. Une chute ou une torsion peut interrompre la liaison entre les niveaux sans que grand-chose soit visible de l’extérieur.
Incendie et chaleur
Composants et soudures endommagés ; l’état du processeur et de la mémoire flash est déterminant.
Défauts de l’alimentation électrique
Courts-circuits sur les lignes d’alimentation ou composants de gestion de l’alimentation défectueux – l’appareil ne démarre pas.
Interfaces défectueuses
Port Lightning ou USB-C ou composants d’interface associés : l’appareil fonctionne le cas échéant, mais n’est pas reconnu par le système d’extraction.
Pourquoi un échange de carte logique ne résout pas la question des données
Si la carte logique endommagée est remplacée par une carte de rechange fonctionnelle, un iPhone redémarre certes – mais avec un processeur étranger, une Secure Enclave étrangère et une mémoire étrangère. Cet appareil n’a plus rien à voir avec les données d’origine.
Pour une extraction forensique, un échange de carte est donc sans valeur. L’essentiel est que les composants d’origine pertinents pour les données et la cryptographie soient conservés.
Conservation des composants d’origine pertinents
Sont pertinents pour les données avant tout le processeur principal avec la Secure Enclave et la mémoire flash. Ces composants doivent être conservés et fonctionner dans leur ensemble d’origine.
Si la carte d’origine ne peut plus être sauvée, ces composants peuvent, dans les cas graves – selon le modèle avec d’autres éléments couplés au système –, être transférés sur une carte support intacte du même modèle. Cela exige une grande précision en BGA rework et n’est pas possible dans tous les cas.
Reconstruction au niveau Board-Level
La reconstruction Board-Level part de la carte d’origine : diagnostic au microscope, mesure des tensions d’alimentation, localisation des courts-circuits, réparation des pistes interrompues et remplacement des composants défectueux non pertinents pour les données. L’objectif n’est pas un appareil utilisable au quotidien, mais un état dans lequel l’iPhone redémarre et communique à nouveau.
Rétablissement de l’alimentation et de la communication de données
Alimentation électrique
L’appareil doit être alimenté de façon stable et accomplir intégralement la séquence de démarrage.
Communication de données
La connexion via Lightning ou USB-C doit fonctionner pour que le système d’extraction reconnaisse l’appareil.
Stabilité
L’appareil doit fonctionner de manière fiable pendant toute la durée de l’extraction – avec de gros volumes de données, le cas échéant pendant des heures.
Autres fonctions
La nécessité, au-delà, d’un écran fonctionnel par exemple dépend de la méthode d’extraction prévue.
Transmission au workflow d’extraction forensique
Après la reconstruction, l’appareil est transmis au workflow d’extraction – dans le laboratoire du donneur d’ordre avec ses propres systèmes ou, après accord, dans le laboratoire ayant effectué la reconstruction. Les interventions matérielles réalisées sont documentées pour chaque cas et remises avec l’appareil.
Limites liées au code de verrouillage et au chiffrement
Une reconstruction réussie ne signifie pas automatiquement un accès aux données. Si le code de verrouillage est connu, l’appareil déchiffre lui-même ses données après le démarrage. Sans code de verrouillage connu, un accès peut néanmoins être possible selon le modèle, la version d’iOS, l’état de l’appareil et les procédés forensiques disponibles ; savoir si c’est le cas pour un appareil donné ne peut être déterminé qu’après examen.
Aucune tentative de saisie au hasard
Première évaluation technique
Pour une première évaluation, quelques informations suffisent : modèle, type de dommage, état actuel – réaction à l’alimentation, écran, reconnaissance par un ordinateur ou un système d’extraction –, mesures déjà prises et, si disponibles, photos de l’appareil ou de la carte ouverte.
Jusqu’à l’évaluation
Réponses en bref.
Un iPhone dont la carte logique est cassée peut-il encore faire l’objet d’une extraction forensique ?
Le cas échéant, oui. L’essentiel est de savoir si le processeur et la mémoire flash sont intacts. S’ils le sont, les liaisons interrompues peuvent parfois être réparées au niveau Board-Level, ou les composants d’origine sont transférés sur une carte support intacte du même modèle. Une affirmation fiable n’est possible qu’après un diagnostic.
Pourquoi ne sert-il à rien de réparer un iPhone endommagé avec une nouvelle carte logique ?
Parce que les données sont liées au processeur et à la Secure Enclave de la carte d’origine. Un iPhone doté d’une nouvelle carte logique démarre certes, mais n’a pas accès aux données d’origine.
Dans le même esprit.
Forensic Device Recovery
Reconstruction Board-Level d’appareils mobiles endommagés en vue de l’extraction forensique.
En savoir plusLe chip-off en forensique des smartphones
Pourquoi dessouder la mémoire aide rarement sur des appareils chiffrés.
En savoir plusExtraction forensique d’un smartphone endommagé
Types de dommages, procédés et ce dont le laboratoire a besoin pour une évaluation.
En savoir plusNous examinons si l’appareil peut être reconstruit.
Pour une première évaluation technique, quelques indications sur l’appareil et le type de dommage suffisent.
Wasserweg 8–10 · 60594 Frankfurt am Main