iPhone-forensik: backup, iCloud og udtræk

En iPhone er bygget til at beskytte sin ejers data mod alle andre, og det gælder også en forensisk undersøgelse. Dataene er krypteret med nøgler, der er bundet til enhedens hardware og til ejerens kode, og telefonen afgør selv, hvad der må læses, afhængigt af om den har været låst op siden seneste genstart. Det betyder, at en undersøgelse af en iPhone altid begynder med spørgsmålet om adgang: Hvem kender koden, hvem har givet samtykke, og hvilken lovlig vej findes der til data?

Her på sitet beskrives kun de lovlige veje: ejerens kode og samtykke, en krypteret backup, som ejeren selv har lavet eller udleverer, iCloud-data hentet med ejerens medvirken og firmaets egne MDM-data. Der gives ingen vejledning i at komme uden om låseskærm eller kryptering.

Det særlige ved iPhone

Udtrækket bestemmer, hvad der findes. En logisk eller backup-baseret sikring giver en anden datamængde end et fuldt filsystemudtræk. Forskellen afgør, om fx systemdatabaser, slettede rækker og visse appdata kommer med.
Krypteret backup rummer mere. En iOS-backup med adgangskode indeholder data som gemte adgangsoplysninger og sundhedsdata, som en ukrypteret backup udelader. Det er derfor ofte den foretrukne form.
Data ligger flere steder. Beskeder, billeder og noter kan ligge på telefonen, i iCloud og på en Mac med samme Apple-id. En beskeds fravær ét sted siger ikke, at den aldrig har eksisteret.
Hashværdier kan ikke gentages. En telefon i drift ændrer sig hele tiden, så et nyt udtræk giver ikke samme hash. Integriteten dokumenteres i stedet på udtræksfilerne.

Kilder og hvad de viser

Udtrækstyper · Hvad den kan vise: Forskellen på logisk, filsystem og fysisk udtræk · Læs mere: Udtræk fra mobiltelefoner
iOS-backup og Manifest.db · Hvad den kan vise: Hvad en backup rummer, krypteret og ukrypteret · Læs mere: iOS-backup
sms.db · Hvad den kan vise: SMS og iMessage med status og tidspunkter · Læs mere: sms.db og iMessage
ChatStorage.sqlite · Hvad den kan vise: WhatsApp-beskeder og hvad en chateksport mangler · Læs mere: WhatsApp teknisk
Biome, skærmtid og placering · Hvad den kan vise: Appbrug, skærmaktivitet og positioner over tid · Læs mere: iPhone-artefakter
Photos.sqlite · Hvad den kan vise: Optagelse, import, redigering og sletning af billeder · Læs mere: Billeder på iPhone
SQLite WAL og frie sider · Hvad den kan vise: Rester af slettede beskeder og poster · Læs mere: SQLite i forensic
Signal og Telegram · Hvad den kan vise: Lokale data og forsvindende beskeder · Læs mere: Signal og Telegram teknisk
Placeringsdata · Hvad den kan vise: Præcision og fejlkilder i positioner · Læs mere: Lokationsdata på telefonen
MDM · Hvad den kan vise: Firmaets egne data om enheden · Læs mere: MDM og Intune som datakilde

Typiske fejlkilder

Skærmbilleder i stedet for udtræk. Et skærmbillede af en samtale dokumenterer ikke afsender, tidspunkt eller om beskeden er redigeret. Se Falske chatbilleder.
Telefonen nulstilles eller opdateres. Ved nulstilling er de lokale data i praksis væk, og en opdatering kan ændre, hvad der kan udtrækkes. Se Den nulstillede firmatelefon.
Placeringer læses som præcise. En position fra Wi-Fi eller mobilnet kan have en usikkerhed på hundreder af meter. Usikkerheden skal med i konklusionen.
For meget data. I en ansættelsessag rummer telefonen private oplysninger, som ikke vedkommer sagen. Udtrækket bør afgrænses; se Firmatelefonen i en ansættelsessag.
Operatørens data forveksles med telefonens. Opkaldsdata hos teleoperatøren er en anden kilde med andre regler; se Telefonen eller teleoperatøren.

Hvor man starter

Lad telefonen være tændt, lad være med at taste koder forkert, og lad være med at nulstille den. Notér, hvem der har haft den, og om den er låst op. Tjekliste: tekniske trin ved sikring af en mobiltelefon beskriver de første skridt i rækkefølge.

Afklar derefter, hvilken adgang der lovligt findes: kode og samtykke, en eksisterende backup eller firmaets MDM. Læs Udtræk fra mobiltelefoner for at vælge udtrækstype og iOS-backup, hvis backuppen er vejen frem. Handler sagen om beskeder, er Slettede beskeder på telefonen det realistiske udgangspunkt for, hvad der kan findes. Android behandles på Android-forensik.

Når det skal være en opgave

Mobilforensik i civile sager Udtræk, analyse og grænser for telefoner.

Artikler

Udtræk fra mobiltelefoner: logisk, filsystem og fysisk Logisk, fuldt filsystem eller fysisk udtræk giver vidt forskellige data. Sådan virker typerne på moderne iPhone og Android, og hvad det betyder for sagen.
iOS-backup: krypteret, ukrypteret og hvad den indeholder En iPhone-backup er det mest udbredte logiske udtræk. Forskellen på krypteret og ukrypteret backup, Manifest.db, iCloud-backup og korrekt dokumentation.
Slettede beskeder på telefonen: hvad kan realistisk gendannes? Kan slettede sms’er og chatbeskeder gendannes? Teknisk realisme om SQLite, kryptering og cloudkopier, og hvor beskederne ofte findes et andet sted.
WhatsApp teknisk: lokal database, backup og hvad en chat-eksport mangler WhatsApps lokale database rummer langt mere end en chat-eksport: id’er, status, redigeringer og grupper. Sådan er data bygget op, og sådan sikres de.
sms.db og iMessage: struktur og fortolkning iPhonens sms.db rummer sms, iMessage og RCS. Tabellerne, tidsstemplerne, leveret- og læst-status, redigerede og tilbagekaldte beskeder og fejlkilderne.
Signal og Telegram teknisk: lokale data og forsvindende beskeder Signal gemmer beskeder krypteret lokalt, Telegram mest i skyen. Hvad der kan sikres lovligt, og hvordan forsvindende beskeder og desktopklienter virker.
iPhone-artefakter: Biome, skærmtid og placeringsdata Biome, KnowledgeC, skærmtid, PowerLog og placeringsdata kan vise, hvornår en iPhone var i brug og hvor. Sådan læses de, og her er fejlkilderne.
Billeder på iPhone: Photos.sqlite, metadata og redigeringer Photos.sqlite fortæller, om et billede er taget med kameraet, importeret eller gemt fra en app, og om det er redigeret. Sådan læses databasen korrekt.
MDM og Intune som datakilde: inventar, compliance og fjernsletning Intune og andre MDM-systemer gemmer enhedsinventar, compliance og en auditlog over fjernhandlinger. Sådan sikres og læses dataene forensisk korrekt.
Firmatelefonen i en ansættelsessag: afgrænset og selektivt udtræk En firmatelefon rummer både arbejde og privatliv. Sådan afgrænses udtræk og analyse med filtre på periode, apps og kontakter, og sådan testes filtrene.
Lokationsdata på telefonen: præcision og fejlkilder GPS, Wi-Fi og mobilmaster giver vidt forskellig præcision. Sådan læses nøjagtighedsradius, kilder og tidsstempler i telefonens lokationsdata korrekt.
Beskedapps i ansættelsessager: hvad der kan sikres lovligt Beskeder i en ansættelsessag kan sikres fra firmaenheden, med samtykke eller fra modtagerens kopi. Hvad hver kilde indeholder, og hvordan den dokumenteres.
Den nulstillede firmatelefon: hvad kan findes i backup og cloud En nulstillet telefon er tom, men data og spor findes i backup, cloud, MDM og serverlogs. Sådan kortlægges kilderne, og sådan dateres nulstillingen.
Telefonen eller teleoperatøren: hvilke data findes hvor Opkaldslisten på telefonen og operatørens specifikation viser ikke det samme. Hvad hver kilde indeholder, hvorfor de afviger, og hvordan de sammenholdes.
iCloud teknisk: datakategorier og lovlig eksport Hvilke data der ligger i iCloud, hvad Avanceret databeskyttelse ændrer, og hvilke lovlige veje der findes til en dokumenteret eksport i en civil sag.
Synkronisering mellem Apple-enheder: når sporet stammer fra en anden enhed Beskeder, faner, udklip og fotos synkroniseres mellem iPhone, iPad og Mac. Sådan skelnes spor skabt på enheden fra spor, der kom fra en anden enhed.
Messenger og Instagram teknisk: hvad der kan sikres Krypterede chats har flyttet Messenger-beviset fra Metas servere til enhederne. Hvor beskederne ligger, hvad Metas udtræk mangler, og hvordan de sikres.
Sådan læses en mobiludtræksrapport En mobiludtræksrapport er et værktøjs fortolkning. Hvad felterne kildefil, slettet, tidsstempel og kontaktnavn betyder, og hvor de oftest fejltolkes.
Wi-Fi- og Bluetooth-spor på enheden: netværksprofiler og parrede enheder Kendte Wi-Fi-netværk og parrede Bluetooth-enheder på computer og telefon kan underbygge, hvor og med hvad en enhed var forbundet. Kilder og fejlkilder.
Leveret og læst: hvor status gemmes i WhatsApp, iMessage og Teams Blå flueben og Læst-markeringer ligger som felter og kvitteringer i appens database. Hvor de gemmes, hvad de betyder, og hvor fortolkningen typisk fejler.
“Slettet for alle” i WhatsApp og Messenger: hvad kan ses bagefter? Slet for alle fjerner teksten, men markeringen, tidspunktet og rester i database, medier og backup kan bestå. Sådan sikres og vurderes sporene bagefter.
Droner: flylogs, medier og app-data Hvor en drone gemmer flylogs, positioner og medier, hvordan data sikres lovligt fra drone, fjernbetjening og app, og hvilke fejlkilder der påvirker tolkningen.
Smartwatches og fitnessdata: hvor data ligger, og hvad tidsstemplerne betyder Hvor data fra smartwatches og fitnessure ligger, hvordan de udtrækkes lovligt, og hvad tidsstempler, kildefelter og synkronisering betyder for tolkningen.
Bilens infotainment og app-data Data fra bilens infotainment, CarPlay, Android Auto og producentens app: hvor sporene ligger, hvordan de sikres med ejerens samtykke, og hvad de kan vise.
Snapchat og TikTok: lokale data og dataudtrækket Hvad der kan sikres lovligt fra egen Snapchat- og TikTok-konto: lokale data på telefonen, platformenes dataudtræk, formater, huller og typiske fejlkilder.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.