Hasarlı iPhone’larda adli veri çıkarımı
Hasarlı bir iPhone’da adli bir veri çıkarımının mümkün olup olmayacağını orijinal donanımın durumu belirler. Veriler şifrelidir ve anahtar yalnızca orijinal bileşenlerin birlikte çalışmasıyla var olur.
Teknik açıdan inceleyen Jan Petermann, smartmod kurucusu ve genel müdürüYayın tarihi
Donanım durumu ile veri erişimi neden bağlantılıdır
iPhone’lar tüm kullanıcı verilerini şifreler. Anahtarlar, ana işlemci içindeki yalıtılmış bir güvenlik alanı olan Secure Enclave tarafından yönetilir. Temel anahtar materyali bu alandan çıkmaz ve tam olarak bu işlemciye bağlıdır.
Adli bilişim açısından bunun sonucu şudur: Veriler yalnızca çalışan orijinal sistem üzerinden yeniden okunabilir hale gelir. Artık açılmayan ya da iletişim kurmayan bir iPhone bu nedenle öncelikle bir donanım sorunudur – çıkarım sisteminin sorunu değil.
Tipik hasarlar
Sıvı ve korozyon
Kısa devreler ve ilerleyen korozyon; sıklıkla koruma plakalarının altında ve konnektörlerin bulunduğu bölgede.
Mekanik hasarlar
Birçok yeni modelde logic board iki katmanlı olarak yapılandırılmıştır. Düşme ya da bükülme, dışarıdan pek bir şey görünmeden katmanlar arasındaki bağlantıyı kesebilir.
Yangın ve ısı
Hasarlı bileşenler ve lehim bağlantıları; belirleyici olan işlemcinin ve flash belleğin durumudur.
Güç beslemesinde arızalar
Besleme hatlarında kısa devreler ya da arızalı güç yönetimi bileşenleri – cihaz açılmaz.
Arızalı arabirimler
Lightning ya da USB-C bağlantı noktası veya ilgili arabirim bileşenleri: Cihaz koşullara göre çalışır, ancak çıkarım sistemi tarafından tanınmaz.
Logic board değişimi neden veri sorununu çözmez
Hasarlı logic board çalışan bir yedek kartla değiştirilirse bir iPhone yeniden açılır – ama yabancı bir işlemci, yabancı bir Secure Enclave ve yabancı bir bellekle. Bu cihazın orijinal verilerle artık hiçbir ilgisi yoktur.
Adli bir veri çıkarımı için kart değişimi bu nedenle değersizdir. Belirleyici olan, veri ve kriptografi açısından önemli orijinal bileşenlerin korunmasıdır.
İlgili orijinal bileşenlerin korunması
Veri açısından önemli olan başta Secure Enclave’li ana işlemci ve flash bellektir. Bu bileşenler korunmalı ve orijinal bütünlükleri içinde çalıştırılmalıdır.
Orijinal kart artık kurtarılamıyorsa, ağır durumlarda bu bileşenler – modele göre sisteme bağlı başka parçalarla birlikte – aynı modelin sağlam bir taşıyıcı kartına aktarılabilir. Bu, BGA rework’te yüksek hassasiyet gerektirir ve her durumda mümkün değildir.
Board-Level rekonstrüksiyon
Board-Level rekonstrüksiyon orijinal kart üzerinde başlar: mikroskop altında teşhis, besleme gerilimlerinin ölçülmesi, kısa devrelerin yerinin tespiti, kopmuş iletken yolların onarımı ve veri açısından önemli olmayan arızalı parçaların değiştirilmesi. Amaç günlük kullanıma uygun bir cihaz değil, iPhone’un yeniden açıldığı ve iletişim kurduğu bir durumdur.
Güç ve veri iletişiminin yeniden sağlanması
Güç beslemesi
Cihaz kararlı biçimde beslenmeli ve açılış sürecini eksiksiz tamamlamalıdır.
Veri iletişimi
Çıkarım sisteminin cihazı tanıyabilmesi için Lightning ya da USB-C üzerinden bağlantı çalışmalıdır.
Kararlılık
Cihaz çıkarım süresince güvenilir biçimde çalışmalıdır – büyük veri miktarlarında koşullara göre saatlerce.
Diğer işlevler
Bunun ötesinde örneğin çalışan bir ekranın gerekip gerekmediği, öngörülen çıkarım yöntemine bağlıdır.
Adli çıkarım iş akışına teslim
Rekonstrüksiyondan sonra cihaz çıkarım iş akışına aktarılır – iş verenin laboratuvarında onun sistemleriyle ya da, mutabakata göre, rekonstrüksiyonu yapan laboratuvarda. Yapılan donanım müdahaleleri vakaya özgü olarak belgelenir ve cihazla birlikte teslim edilir.
Kilit kodu ve şifrelemedeki sınırlar
Başarılı bir rekonstrüksiyon otomatik olarak verilere erişim anlamına gelmez. Kilit kodu biliniyorsa cihaz açıldıktan sonra verilerinin şifresini kendisi çözer. Kilit kodu bilinmiyorsa erişim; modele, iOS sürümüne, cihazın durumuna ve mevcut adli yöntemlere bağlı olarak yine de mümkün olabilir; bunun belirli bir cihaz için geçerli olup olmadığı ancak inceleme sonrasında belirlenebilir.
Tahmine dayalı giriş denemesi yok
Teknik ön değerlendirme
İlk değerlendirme için birkaç bilgi yeterlidir: model, hasar tablosu, mevcut durum – akıma tepki, ekran, bilgisayar ya da çıkarım sistemi tarafından tanınma –, şimdiye kadar alınan önlemler ve varsa cihazın ya da açılmış kartın fotoğrafları.
Değerlendirmeye kadar
Kısaca yanıtlandı.
Logic board’u kırık bir iPhone hâlâ adli olarak okunabilir mi?
Koşullara göre evet. Belirleyici olan, işlemcinin ve flash belleğin hasarsız olup olmadığıdır. Sağlamlarsa kopmuş bağlantılar Board-Level’da kısmen onarılabilir ya da orijinal bileşenler aynı modelin sağlam bir taşıyıcı kartına aktarılır. Güvenilir bir değerlendirme ancak bir teşhisten sonra mümkündür.
Hasarlı bir iPhone’u yeni bir logic board ile onarmak neden işe yaramaz?
Çünkü veriler orijinal kartın işlemcisine ve Secure Enclave’ine bağlıdır. Yeni logic board’lu bir iPhone açılır, ancak orijinal verilere erişimi yoktur.
Buna uyanlar.
Forensic Device Recovery
Adli veri çıkarımı için hasarlı mobil cihazların Board-Level rekonstrüksiyonu.
Daha fazla bilgiAkıllı telefon adli bilişiminde chip-off
Şifreli cihazlarda belleği sökmenin neden nadiren işe yaradığı.
Daha fazla bilgiHasarlı akıllı telefonu adli olarak okumak
Hasar tabloları, yöntemler ve laboratuvarın bir değerlendirme için neye ihtiyaç duyduğu.
Daha fazla bilgiCihazın rekonstrüksiyonunun mümkün olup olmadığını inceliyoruz.
İlk teknik değerlendirme için cihaz ve hasar tablosu hakkında birkaç bilgi yeterlidir.
Wasserweg 8–10 · 60594 Frankfurt am Main