Akuisisi dan Analisis iOS

Forensik iOS dibentuk oleh model keamanan perangkat keras yang terintegrasi erat.

• Enklave Aman (SEP) — koprosesor terisolasi yang menyimpan material kunci; percobaan kode sandi dibatasi kecepatannya oleh perangkat keras.
• Perlindungan Data — kunci enkripsi per berkas yang terikat pada kode sandi dan UID perangkat.
• Pengisolasian — setiap aplikasi dibatasi pada kontainernya sendiri.

Artinya, upaya menebak kode sandi secara paksa diperlambat oleh SEP, dan dump flash mentah berupa teks tersandi. Akses yang sah biasanya bergantung pada perangkat yang dibuka kuncinya secara kooperatif atau berada dalam keadaan AFU.

Setiap berkas diberi kelas perlindungan yang mengatur kapan kuncinya tersedia.

• Lengkap — kunci dihapus tak lama setelah perangkat dikunci (paling terlindungi).
• Lengkap Hingga Autentikasi Pengguna Pertama — kunci tersedia setelah pembukaan kunci pertama (bawaan AFU yang umum).
• Tanpa Perlindungan — kunci selalu tersedia (jarang).

Inilah alasan AFU penting di iOS: berkas dalam kelas hingga autentikasi pertama menjadi dapat dibaca, sehingga sebagian besar data pengguna dapat diakses.

Metode logis yang paling mudah diakses adalah akuisisi cadangan melalui hubungan pemasangan dengan komputer (mekanisme yang sama seperti iTunes/Finder).

• Memerlukan rekaman pemasangan (sertifikat penguncian) yang valid dan perangkat yang telah dibuka kuncinya untuk membuatnya.
• Cadangan terenkripsi (kata sandi cadangan ditetapkan) sebenarnya mencakup lebih banyak data: rantai kunci, data kesehatan, dan kata sandi tersimpan.

Buat cadangan menggunakan libimobiledevice dengan otorisasi yang sesuai:

Cadangan iOS tidak menyimpan berkas berdasarkan nama. Cadangan menghasilkan hash untuk jalur dan menyimpannya dalam satu tingkat, yang diindeks oleh basis data SQLite Manifest.db.

• Manifest.db memetakan domain + jalur relatif ke nama berkas hasil hash di disk.
• Info.plist / Status.plist menyimpan metadata perangkat dan cadangan.
• Cadangan terenkripsi juga memerlukan pembukaan kunci rantai kunci menggunakan kata sandi cadangan.

Temukan artefak yang dikenal melalui manifes:

Ekstraksi sistem berkas lengkap (FFS) melampaui data yang diizinkan cadangan hingga seluruh partisi pengguna, termasuk cache aplikasi, artefak pengetahuan, dan basis data sistem.

• Memerlukan agen atau eksploitasi (misalnya berbasis checkm8 pada cip lama yang rentan) dan perangkat dalam keadaan AFU.
• Mengambil artefak yang tidak disertakan cadangan: knowledgeC.db, interactionC.db, cache lokasi.

FFS adalah tolok ukur terbaik untuk analisis iOS modern bila dapat diperoleh secara sah, karena menampilkan basis data perilaku sistem yang tidak terlihat dalam cadangan standar.

iOS menyimpan aktivitas pengguna dalam basis data SQLite yang sudah dikenal luas di dalam domain aplikasi.

• sms.db — iMessage dan SMS (tabel: message, handle).
• CallHistory.storedata — log panggilan.
• AddressBook.sqlitedb — kontak.
• Photos.sqlite — metadata media dan tautan aset.

Lakukan kueri terhadap konten iMessage (hanya-baca) dari ekstraksi:

iOS sering menggunakan waktu epoch Apple/Cocoa: detik sejak 2001-01-01 UTC, bukan 1970. Beberapa basis data menyimpannya sebagai nanodetik.

• Selisih terhadap epoch Unix adalah 978307200 detik.
• date iMessage adalah nanodetik sejak 2001; bagi dengan 1e9 lalu tambahkan selisih tersebut.

Salah membaca epoch menghasilkan tanggal yang meleset 31 tahun. Pola konversinya:

iOS menyimpan telemetri perilaku yang kaya untuk fitur sistem, yang sangat berguna untuk menyusun linimasa.

• knowledgeC.db — penggunaan aplikasi, fokus, penguncian/pembukaan kunci perangkat, peristiwa Siri.
• interactionC.db — komunikasi dengan kontak di berbagai aplikasi.
• routined / cache_encryptedB.db — lokasi penting.

Data ini hanya ada dalam ekstraksi FFS (bukan cadangan standar) dan dapat menetapkan apa yang sedang dilakukan pengguna pada saat yang tepat — tetapi tafsirkan dengan hati-hati, karena beberapa peristiwa dihasilkan sistem, bukan dipicu pengguna.

Rantai kunci menyimpan kata sandi Wi-Fi, token, kredensial aplikasi, dan sertifikat. Rantai kunci dienkripsi dengan kunci kelas yang diturunkan dari kode sandi.

• Dapat dipulihkan dari cadangan iTunes terenkripsi (dengan kata sandi cadangan) atau ekstraksi FFS.
• Setiap butir memiliki kelas perlindungannya sendiri; beberapa hanya tersedia dalam keadaan AFU.

Isi rantai kunci dapat mengungkap akses akun dan konteks terkait lainnya — tangani dengan kehati-hatian hukum yang sama seperti material kredensial lainnya.

iLEAPP mengurai cadangan iOS dan ekstraksi FFS menjadi laporan terstruktur yang mencakup ratusan jenis artefak.

• Mendekode knowledgeC, sms, riwayat Safari, keadaan aplikasi, dan lainnya.
• Gunakan untuk triase; verifikasi temuan penting terhadap basis data SQLite mentah.

Jalankan iLEAPP pada cadangan atau ekstraksi:

Data yang dihapus dari perangkat mungkin tetap ada di iCloud (cadangan, Foto, Pesan di iCloud, dan data aplikasi).

• Akses iCloud memerlukan kewenangan hukum terpisah serta kredensial atau token yang sesuai.
• Validasikan silang temuan pada perangkat dengan salinan awan dan alat kedua.

Seperti biasa, pastikan hash ekstraksi sebelum dan sesudah analisis, serta dokumentasikan versi alat dan perintah agar pemeriksa lain dapat mereproduksi hasil Anda.

Anda kini dapat menelusuri tumpukan forensik iOS.

• Enklave Aman + kelas Perlindungan Data menjadikan keadaan AFU sangat penting.
• Cadangan terenkripsi mencakup rantai kunci/data kesehatan; ekstraksi FFS menambahkan basis data perilaku.
• Cadangan diindeks oleh Manifest.db dengan nama berkas yang telah di-hash.
• Bukti inti: sms.db, CallHistory, AddressBook, knowledgeC.db.
• Dekode stempel waktu Apple/Cocoa (epoch 2001, +978307200).
• Lakukan triase dengan iLEAPP, validasikan secara manual, dan pertimbangkan iCloud dengan kewenangan yang sesuai.

Selanjutnya: mengurai artefak aplikasi dan membuat laporan.