Forensische extractie bij beschadigde iPhones
Bij een beschadigde iPhone bepaalt de toestand van de originele hardware of een forensische extractie überhaupt mogelijk wordt. De gegevens zijn versleuteld, en de sleutel bestaat alleen in het samenspel van de originele componenten.
Inhoudelijk gecontroleerd door Jan Petermann, Oprichter & directeur smartmodGepubliceerd op
Waarom hardwaretoestand en gegevenstoegang samenhangen
iPhones versleutelen alle gebruikersgegevens. De sleutels worden beheerd door de Secure Enclave, een afgeschermd beveiligingsgebied in de hoofdprocessor. Het onderliggende sleutelmateriaal verlaat dit gebied niet en is gebonden aan precies deze processor.
Voor forensisch onderzoek volgt daaruit: de gegevens worden alleen via het werkende originele systeem weer leesbaar. Een iPhone die niet meer opstart of niet communiceert, is daarom in eerste instantie een hardwareprobleem – geen probleem van het extractiesysteem.
Typische schade
Vloeistof en corrosie
Kortsluitingen en voortschrijdende corrosie, vaak onder afschermplaatjes en in de buurt van de connectoren.
Mechanische schade
Bij veel nieuwere modellen is het logicboard uit twee lagen opgebouwd. Vallen of verbuigen kan de verbinding tussen de lagen onderbreken zonder dat er van buitenaf veel te zien is.
Brand en hitte
Beschadigde onderdelen en soldeerverbindingen; doorslaggevend is de toestand van processor en flashgeheugen.
Fouten in de stroomvoorziening
Kortsluitingen op voedingslijnen of defecte powermanagementcomponenten – het toestel start niet op.
Defecte interfaces
Lightning- of USB-C-aansluiting of bijbehorende interfacecomponenten: het toestel draait onder omstandigheden, maar wordt door het extractiesysteem niet herkend.
Waarom een logicboardwissel het gegevensprobleem niet oplost
Wordt het beschadigde logicboard vervangen door een werkend vervangend board, dan start er weliswaar weer een iPhone op – maar met een vreemde processor, een vreemde Secure Enclave en vreemd geheugen. Met de oorspronkelijke gegevens heeft dit toestel niets meer te maken.
Voor een forensische extractie is een boardwissel daarom waardeloos. Doorslaggevend is dat de oorspronkelijke componenten die relevant zijn voor gegevens en cryptografie behouden blijven.
Behoud van de relevante originele componenten
Relevant voor de gegevens zijn vooral de hoofdprocessor met Secure Enclave en het flashgeheugen. Deze componenten moeten behouden blijven en in hun oorspronkelijke samenstelling worden gebruikt.
Is het originele board niet meer te redden, dan kunnen deze componenten in ernstige gevallen – afhankelijk van het model samen met andere aan het systeem gekoppelde onderdelen – worden overgezet op een intact dragerboard van hetzelfde model. Dat vereist grote precisie bij BGA rework en is niet in alle gevallen mogelijk.
Board-level-reconstructie
De board-level-reconstructie begint bij het originele board: diagnose onder de microscoop, meting van de voedingsspanningen, lokalisering van kortsluitingen, reparatie van onderbroken sporen en vervanging van defecte onderdelen die niet relevant zijn voor de gegevens. Het doel is geen toestel voor dagelijks gebruik, maar een toestand waarin de iPhone weer opstart en communiceert.
Herstel van stroomvoorziening en datacommunicatie
Stroomvoorziening
Het toestel moet stabiel worden gevoed en het opstartproces volledig doorlopen.
Datacommunicatie
De verbinding via Lightning of USB-C moet werken, zodat het extractiesysteem het toestel herkent.
Stabiliteit
Het toestel moet gedurende de extractie betrouwbaar draaien – bij grote hoeveelheden gegevens onder omstandigheden urenlang.
Overige functies
Of daarnaast bijvoorbeeld een werkend display nodig is, hangt af van de beoogde extractiemethode.
Overdracht aan de forensische extractieworkflow
Na de reconstructie wordt het toestel aan de extractieworkflow overgedragen – in het laboratorium van de opdrachtgever met diens systemen of, in overleg, in het reconstruerende laboratorium. De uitgevoerde hardware-ingrepen worden per zaak gedocumenteerd en mee overgedragen.
Grenzen bij toegangscode en versleuteling
Een geslaagde reconstructie betekent niet automatisch toegang tot de gegevens. Is de toegangscode bekend, dan ontsleutelt het toestel na het opstarten zelf zijn gegevens. Zonder bekende toegangscode kan toegang afhankelijk van model, iOS-versie, toestand van het toestel en de beschikbare forensische methoden toch mogelijk zijn; of dat voor een concreet toestel geldt, is pas na onderzoek vast te stellen.
Geen invoerpogingen op goed geluk
Technische eerste inschatting
Voor een eerste inschatting volstaan enkele gegevens: model, schadebeeld, huidige toestand – reactie op stroom, display, herkenning door een computer of extractiesysteem –, eerdere maatregelen en, voor zover beschikbaar, foto’s van het toestel of van het geopende board.
Tot de inschatting
Kort beantwoord.
Kan een iPhone met een gebroken logicboard nog forensisch worden uitgelezen?
Onder omstandigheden wel. Doorslaggevend is of processor en flashgeheugen onbeschadigd zijn. Zijn ze intact, dan zijn onderbroken verbindingen op board-level deels te repareren, of worden de originele componenten overgezet op een intact dragerboard van hetzelfde model. Een betrouwbare uitspraak is pas na een diagnose mogelijk.
Waarom helpt het niet om een beschadigde iPhone met een nieuw logicboard te repareren?
Omdat de gegevens gebonden zijn aan processor en Secure Enclave van het originele board. Een iPhone met een nieuw logicboard start weliswaar op, maar heeft geen toegang tot de oorspronkelijke gegevens.
Sluit hierop aan.
Forensic Device Recovery
Board-level-reconstructie van beschadigde mobiele apparaten voor forensische extractie.
Meer wetenChip-off in smartphoneforensisch onderzoek
Waarom het uitsolderen van het geheugen bij versleutelde toestellen zelden helpt.
Meer wetenBeschadigde smartphone forensisch uitlezen
Schadebeelden, methoden en wat het laboratorium nodig heeft voor een inschatting.
Meer wetenWij beoordelen of het apparaat te reconstrueren is.
Voor een eerste technische inschatting volstaan enkele gegevens over het apparaat en het schadebeeld.
Wasserweg 8–10 · 60594 Frankfurt am Main