iPhone 3G(S) Forensics

Ja, er lebt noch, er lebt noch. 🙂 Ich melde mich nach kurzer Schreibpause mit einem Hinweis für alle diejenigen zurück, die sich mit der forensischen Datensicherung von iPhones der neueren Bauerart 3G und 3GS beschäftigen müssen. Jonathan Zdziarski demonstriert in einem mitgeschnittenen Webcast iPhone Live Recovery über die USB Schnittstelle. Der Trick ist eigentlich recht simpel: Der iPhone Recovery Agent entschlüsselt die Daten vor der Übertragung auf den Rechner und nimmt man dann iTunes 8.1.1 anstelle von 8.2 hat man vollen Zugriff auf das Gerät. Weitere Probleme beim iPhone OS 3.0 sind der Cache, der von den Tastatureingaben erstellt wird (aka Keylogger) und die Screnshots, die erstellt werden, wenn der „Home“-Button gedrückt wird.

Da das Remote-Wiping nicht ganz vollständig arbeitet, kann man trotzdem auf Daten zugreifen.  Das System einfach in den Recovery-Mode versetzen und eine neue Firmware aufspielen. Das Dateisystem wird dann zwar zerstört, aber alles was bis dahin noch da ist, lässt sich recovern. Will man das Gerät partout nicht remote wipen lassen, kann man es in den Flugmodus versetzen 😉

Hier ist noch ein älteres Recording aus dem dem Jahre 2008, welches sich mit älteren Versionen des iPhone beschäftigt.  iPhone Forensics Demonstration, 2008 . Damals ging es sowohl um die Umgehung des Passcodes als auch um die Wiederherstellung von vermeintlich gelöschten Datenspuren.

Eine Zusammenfassung diverser forensischer Methoden für iPhones findet sich hier.