Estrazione forense da iPhone danneggiati
In un iPhone danneggiato è lo stato dell’hardware originale a decidere se un’estrazione forense diventa possibile. I dati sono cifrati e la chiave esiste solo nell’interazione dei componenti originali.
Revisione tecnica a cura di Jan Petermann, Fondatore e amministratore delegato di smartmodPubblicato il
Perché stato dell’hardware e accesso ai dati sono legati
Gli iPhone cifrano tutti i dati dell’utente. Le chiavi sono gestite dalla Secure Enclave, un’area di sicurezza isolata all’interno del processore principale. Il materiale crittografico sottostante non lascia quest’area ed è legato proprio a questo processore.
Per la forense ne consegue: i dati tornano leggibili solo attraverso il sistema originale funzionante. Un iPhone che non si avvia più o non comunica è quindi innanzitutto un problema hardware – non un problema del sistema di estrazione.
Danni tipici
Liquidi e corrosione
Cortocircuiti e corrosione progressiva, spesso sotto le schermature e nella zona dei connettori.
Danni meccanici
In molti modelli recenti la scheda logica è realizzata su due livelli. Cadute o piegamenti possono interrompere il collegamento tra i livelli senza che dall’esterno si veda molto.
Incendio e calore
Componenti e saldature danneggiati; decisivo è lo stato del processore e della memoria flash.
Guasti all’alimentazione
Cortocircuiti sulle linee di alimentazione o componenti di power management difettosi – il dispositivo non si avvia.
Interfacce difettose
Porta Lightning o USB-C o relativi componenti di interfaccia: il dispositivo in certe condizioni funziona, ma non viene riconosciuto dal sistema di estrazione.
Perché sostituire la scheda logica non risolve la questione dei dati
Se la scheda logica danneggiata viene sostituita con una scheda di ricambio funzionante, un iPhone si riavvia sì – ma con un processore estraneo, una Secure Enclave estranea e una memoria estranea. Questo dispositivo non ha più nulla a che fare con i dati originali.
Per un’estrazione forense la sostituzione della scheda è quindi priva di valore. Decisivo è che i componenti originali rilevanti per i dati e per la crittografia vengano preservati.
Preservazione dei componenti originali rilevanti
Rilevanti per i dati sono soprattutto il processore principale con la Secure Enclave e la memoria flash. Questi componenti devono essere preservati e fatti funzionare nel loro insieme originale.
Se la scheda originale non è più recuperabile, nei casi gravi questi componenti – a seconda del modello insieme ad altre parti accoppiate al sistema – possono essere trasferiti su una scheda portante integra dello stesso modello. Ciò richiede un’elevata precisione nel BGA rework e non è possibile in ogni caso.
Ricostruzione a livello Board-Level
La ricostruzione Board-Level parte dalla scheda originale: diagnosi al microscopio, misurazione delle tensioni di alimentazione, localizzazione dei cortocircuiti, riparazione delle piste interrotte e sostituzione dei componenti difettosi non rilevanti per i dati. L’obiettivo non è un dispositivo adatto all’uso quotidiano, ma uno stato in cui l’iPhone torni ad avviarsi e a comunicare.
Ripristino dell’alimentazione e della comunicazione dati
Alimentazione
Il dispositivo deve essere alimentato in modo stabile e completare interamente la procedura di avvio.
Comunicazione dati
Il collegamento tramite Lightning o USB-C deve funzionare affinché il sistema di estrazione riconosca il dispositivo.
Stabilità
Il dispositivo deve funzionare in modo affidabile per tutta la durata dell’estrazione – con grandi volumi di dati, in certe condizioni per ore.
Altre funzioni
Se oltre a ciò serva ad esempio un display funzionante dipende dal metodo di estrazione previsto.
Consegna al workflow di estrazione forense
Dopo la ricostruzione il dispositivo viene avviato al workflow di estrazione – nel laboratorio del committente con i suoi sistemi oppure, previo accordo, nel laboratorio che ha eseguito la ricostruzione. Gli interventi hardware eseguiti vengono documentati caso per caso e consegnati insieme al dispositivo.
Limiti relativi a codice di blocco e crittografia
Una ricostruzione riuscita non significa automaticamente accesso ai dati. Se il codice di blocco è noto, il dispositivo decifra da sé i propri dati dopo l’avvio. Senza un codice di blocco noto, l’accesso può comunque essere possibile a seconda di modello, versione di iOS, stato del dispositivo e procedure forensi disponibili; se ciò valga per un determinato dispositivo si può stabilire solo dopo un esame.
Nessun tentativo di inserimento alla cieca
Valutazione tecnica preliminare
Per una prima valutazione bastano poche informazioni: modello, tipo di danno, stato attuale – reazione all’alimentazione, display, riconoscimento da parte di un computer o di un sistema di estrazione –, interventi già effettuati e, se disponibili, foto del dispositivo o della scheda aperta.
Fino alla valutazione
Risposte in breve.
Un iPhone con la scheda logica rotta può ancora essere sottoposto a estrazione forense?
In certe condizioni sì. Decisivo è se processore e memoria flash sono integri. Se lo sono, i collegamenti interrotti si possono in parte riparare a livello Board-Level, oppure i componenti originali vengono trasferiti su una scheda portante integra dello stesso modello. Un’indicazione affidabile è possibile solo dopo una diagnosi.
Perché non serve riparare un iPhone danneggiato con una nuova scheda logica?
Perché i dati sono legati al processore e alla Secure Enclave della scheda originale. Un iPhone con una nuova scheda logica si avvia sì, ma non ha accesso ai dati originali.
Sullo stesso tema.
Forensic Device Recovery
Ricostruzione Board-Level di dispositivi mobili danneggiati per l’estrazione forense.
Scopri di piùChip-off nella forense degli smartphone
Perché dissaldare la memoria raramente aiuta con i dispositivi cifrati.
Scopri di piùEstrazione forense da uno smartphone danneggiato
Tipi di danno, procedure e che cosa serve al laboratorio per una valutazione.
Scopri di piùVerifichiamo se il dispositivo è ricostruibile.
Per una prima valutazione tecnica bastano poche indicazioni sul dispositivo e sul tipo di danno.
Wasserweg 8–10 · 60594 Frankfurt am Main