ios Auslesen Auslesen von Information aus den neuesten Generationen von iphone, ipad und ipod Touch: Herausforderungen, Vorgehensweisen und Tools

Transkript

1 ios-auslesemethoden im Vergleich: Physischer logischer und Over-the- Air-Zugriff auf Apple-Smartphones und Tablets ios Auslesen Auslesen von Information aus den neuesten Generationen von iphone, ipad und ipod Touch: Herausforderungen, Vorgehensweisen und Tools ElcomSoft Ltd.

2 Warum brauchen wir ios Bedarf für ios Forensics Forensics? 15,2% deutscher Marktanteil 20,3 % EU5 Marktanteil 20,3% Marktanteil in den EU5 (Deutschland, Frankreich, Italien, Spanien, Großbritannien) 30,1% Marktanteil in den USA Mehr als 8 Jahre auf dem Markt 12 iphones, 7 ipads, 4 ipads mini gegenüber mehr als einhundert tausend verschiedenen Android- Geräten Mehr als eine Milliarde weltweit verkaufte ios-geräte "Smarte" Geräte tragen eine Menge sensibler Daten in sich Steigernder betrieblicher Einsatz Seite 2

3 Was ist drin? Alles! Anruflisten und Textmitteilungen s und Chats Benutzerkonto-Passwörter Internet- und Anwendungspasswörter Wi-Fi - Passwörter Dokumente, Einstellungen und Datenbanken Internetbrowserverlauf Bilder und Videos Verlauf der Geoortung, Routen und Orte Seite 3

4 ios-datenschutz: Wir müssen uns damit befassen Geräte-Passwort schützt gegen unbefugten Zugriff Umgehung ist zwecklos (verwendet in der Verschlüsselung) Verschlüsselung des gesamten Laufwerks Inhalt sicher verschlüsselt Kein JTAG und kein Chip-off Schlüsselbund (Keychain) Systemweite Speicherung für sensible Daten (Schlüssel, Passwörter etc.) Apple verneint ausdrücklich regierungseigge InformaGonsanfragen für Geräte mit ios 8 und 9, technische Beschränkungen anführend Die Übergabe des Gerätes an Apple wird nicht mehr zu einem Erhalt seines kompleqen Speicherabbilds führen. hqps:// government- informagon- requests/ Seite 4

5 Verfügbare Auslesemethoden PHYSISCH LOGISCH (über itunes- Backups) Over- the- Air (icloud/drive) Seite 5

6 ios-auslesemethoden im Vergleich: Was wir heute machen können : Ungefährer Zeitrahmen Keychain Recovery Zugriff auf gelöschte einzelne Dateien Zugriff auf gelöschte SQLite- Daten Physikalisches Auslesen Logisches Auslesen Cloud- Forensik Minuten Sofort (ungeschützte Backups) 0-4 Stunden(abhängig von der (abhängig vom Gerätemodell) Unbekannt (Passwort- geschützt) Verbindungsgeschwindigkeit und dem Datenvolumen) Ja Ja (ungeschützte Backups), Sicherheitsschlüssel wird benö1gt Ja (Passwort- geschützt) Ja, Sicherheitsschlüssel wird benö1gt Nein Nein Nein Ja Ja Ja Mögliche Probleme Beschränkte Unterstützung für Geräte der neuesten GeneraDon Lange, komplizierte Passwörter können die Recovery verhindern Zwei- Faktor- AuthenDfizierung E- Mail - BenachrichDgung Seite 6

7 Physisches Auslesen Wir unterstützen: Ältere Hardware (bis iphone 4, ipad 1, ipod Touch 1-4) oder- Jailbroken, 32-bit.Gerät (iphone 4S/5/5C, ipad 2-4, ipad Mini 1) Jede ios-version für die ein Jailbreak verfügbar ist Auslesephasen: Geräte an den PC anschließen Elcomsoft ios Forensic Toolkit starten Ein 4-stelliges Passwort in Minuten erlangen Ein komplettes entschlüsseltes Speicherabbild des Gerätes in Minuten erstellen Vorteile: Cached (heruntergeladene) Mail Geoortungsdaten Systemprotokolle, Crash-Protokolle Schlüsselbund (inkl. erweitertem Schlüsselbundauslesen) Seite 7

8 ios Auslesen Logisches Auslesen Wir haben: ein entsperrtes Gerät oder bekanntes Passwort oder einen itunes-synchronisierten PC mit Offline-Backup Auslesephasen: Bringen Sie das Gerät dazu, einen Backup zu machen oder greifen sie auf die in einem bestehenden Backup gespeicherte Information zu Beschränkungen: Das Gerät muss entsperrt sein (mit Passwort oder via itunes) Kann ein verschlüsseltes Backup erzeugen - Passwort muss geknackt werden (kein garantierter Zeitrahmen, keine Erfolgsgarantie) Begrenzte Informationsmenge (aber immer noch ~99%) Seite 8

9 Was ist in einem itunes-backup? Was ist NICHT drin? Kontakte und bevorzugte Kontakte Mitteilungen (inkl. imessages) Anrufverlauf Anwendungsdaten Gerärteeinstellungen Fotoalbum (Fotos und Videos) Einkäufe (Musik, Filme, TV, Apps, Bücher) -Konten Netzwerkeinstellugnen (gespeicherte Wi-Fi - Hotspots, VPN- Einstellungen etc.) Verbundene Bluetooth-Geräte Offline-Webanwendungs-Cache/Datenbank Safari Bookmarks, Cookies, Verlauf, Offline-Daten Verlauf der Geoortung und Orte... und vieles mehr KEINE heruntergeladene Mail KEIN Anwendungscache BESCHRÄNKTE Anwendungsdaten BESCHRÄNKTE Menge an Geoortungsdaten Schlüsselbund: Passwort-geschützte Backups: Schlüsselbundverfügbar Backups ohne Passwort: Schlüsselbundverfügbar wenn securityd -Schlüssel ausgelesen ist Seite 9

10 Was ist in einem icloud-backup? Kontakte und bevorzugte Kontakte Mitteilungen (inkl. imessages) Anrufverlauf Anwendungsdaten Gerärteeinstellungen Fotoalbum (Fotos und Videos) Einkäufe (Musik, Filme, TV, Apps, Bücher) -Konten Netzwerkeinstellugnen (gespeicherte Wi-Fi - Hotspots, VPN- Einstellungen etc.) Verbundene Bluetooth-Geräte Offline-Webanwendungs-Cache/Datenbank Safari Bookmarks, Cookies, Verlauf, Offline-Daten Verlauf der Geoortung und Orte... und vieles mehr Aber, keine IMEI > 50% können bei Gebrauch des icloud Control Panel nicht heruntergeladen werden Elcomso, Phone Breaker Forensic edi1on kann das! Seite 10

11 icloud Drive: was ist anders? icloud Drive kann beliebige Dateien enthalten, die durch Apps oder den User hochgeladen wurden Clients verfügbar für Mac, PC, und ios icloud Drive wird von vielen Apps genutzt: 1Password (Passwort-Verwalter) Seiten, Nummern, Keynote EnPass, anderen Password-Managern Pixelmator, Printer Pro, TextEdit WhatsApp, andere Instant Messager und viele andere > 50% können bei Gebrauch des icloud Control Panel nicht heruntergeladen werden Elcomso, Phone Breaker Forensic edi1on kann das! Seite 11

12 Zwei-Stufen Authentifizierung Schützt den Zugriff auf Backup-Daten, Schlüsselbund Bestätigungscode wird an ein vertrauenswürdiges Gerät gesendet Alternativen: Passwort + Sicherheitscode Passwort + Wiederherstellungsschlüssel Authentifizierungstoken ein binärer Token, der auf dem Anwender-PC gespeichert ist Seite 12

13 Ansehen mit Elcomsoft Phone Viewer: Mitteilungen und Daten Seite 13

14 Ansehen mit Elcomsoft Phone Viewer: Anrufe und Kalender Seite 14

15 Ansehen mit Elcomsoft Phone Viewer: Bilder und Videos Seite 15

16 In dieser Präsentation erwähnte Tools Elcomsoft ios Forensic Toolkit physischer Zugriff auf 32-bit ios- Hardware Elcomsoft Phone Breaker Auslesen über Offline- und Cloud- Backups; brechen von Backup- Passwörtern Elcomsoft Phone Viewer ansehen von ausgelesenen Speicherabbildern, heruntergeladenen oder entschlüsselten Backups Elcomsoft Mobile Forensic Bundle enthält alle der obengenannten Tools in PC- und Mac-Version mit einem Nachlass von 30% Besuchen Sie uns am Stand 523! Und erhalten Sie ihren persönlichen Rabatt auf das neue Paket :) Seite 16