В обновлении Elcomsoft iOS Forensic Toolkit добавлена возможность физического анализа моделей iPhone и iPad, работающих под управлением iOS 12.2 и 12.4 (требуется джейлбрейк). Поддерживается как извлечение образа файловой системы, так и расшифровка связки ключей keychain.
Elcomsoft iOS Forensic Toolkit 5.10 получил обновление, добавляющее возможность физического извлечения данных из устройств iPhone и iPad, работающих под управлением iOS 12.2 и 12.4. Поддерживаются все совместимые устройства, включая последнее поколение A12 и A12X. В новой версии EIFT доступно извлечение полного образа файловой системы устройств. Прямой доступ к файловой системе позволяет извлекать информацию из защищённых областей данных приложений, системные журналы и журнал истории местоположения пользователя.
Расшифровка связки ключей keychain, в которой содержатся сохранённые пользователем пароли от учётных записей и маркеры аутентификации, доступна для всех устройств под управлением iOS 12.2 и 12.4 за исключением тех, которые оснащены процессорами поколения A12 и A12X.
Для физического анализа приложению требуется установка джейлбрейка. Для iOS 12.2 и 12.4 доступно две утилиты джейлбрейк: unc0ver и Chimera. Мы рекомендуем использовать утилиту Chimera для всех устройств, кроме поколения A12 и A12X. Для устройств поколений A12(x) рекомендуем использовать unc0ver версии 3.5.5: именно в этой версии джейлбрейка не происходит перемонтирования файловой системы, а значит – и модификации системного раздела. Более новые версии unc0ver перемонтируют файловую систему.
Если исследуемое устройство работает под управлением одной из версий iOS 12.3, 12.3.1 или 12.3.2, устройство необходимо обновить до iOS 12.4. На сегодняшний день Apple продолжает подписывать iOS 12.4; тем не менее, мы ожидаем закрытия подписи этой версии системы в ближайшее время.
Дополнительная информация и ссылки на утилиты джейлбрейк – в нашем блоге: Why iOS 12.4 Jailbreak Is a Big Deal for the Law Enforcement