Tag: الأدلة الجنائية الرقمية

يتيح الاستخراج منخفض المستوى الوصول إلى جميع البيانات المخزنة في جهاز iOS. في السابق، كان التحميل الجانبي لعامل الاستخراج لتصوير نظام الملفات وفك تشفير سلسلة المفاتيح يتطلب تسجيل معرف Apple الخاص بالشخص في برنامج مطور Apple المدفوع إذا كان الشخص يستخدم جهاز كمبيوتر يعمل بنظام Windows أو Linux. يمكن لمستخدمي Mac الاستفادة من معرف Apple العادي وغير المطور. اليوم، نقدم هذه الميزة إلى إصدارات Windows وLinux من iOS Forensic Toolkit .

في حين أن هناك عدة طرق مختلفة لتحقيق نفس الهدف بشكل أساسي، فإن الأجهزة الحديثة (بدءًا بتلك القائمة على الشريحة الموجودة في iPhone Xr/Xs) تتطلب استخدام تطبيق خاص يسمى عامل الاستخراج. على الجهاز، يحاول وكيل الاستخراج الحصول على المستوى المطلوب من الامتيازات من خلال استخدام سلسلة من عمليات الاستغلال، وهو مطلب مطلق للوصول إلى جذر نظام الملفات.

يسمح الاستخراج منخفض المستوى المعتمد على الوكيل بالتقاط الصورة الكاملة لنظام ملفات الجهاز ونسخة مشفرة من سلسلة المفاتيح. لإجراء الاستخراج على مستوى منخفض، يجب تثبيت عامل الاستخراج على الجهاز. يتم تنفيذ التثبيت عبر التحميل الجانبي، وهي طريقة لتثبيت التطبيقات على جهاز iOS أو iPadOS مباشرة، وتجاوز متجر التطبيقات الرسمي. يتضمن التحميل الجانبي توقيع التطبيق والتحقق من توقيعه الرقمي مع Apple، والذي يتطلب بدوره استخدام معرف Apple. والنتيجة الأخرى هي الحاجة إلى السماح للجهاز بالاتصال بخادم Apple للتحقق من صحة الشهادة، مما يشكل خطرًا أمنيًا يمكن تخفيفه باستخدام جدار حماية قائم على البرامج أو الأجهزة .

تتوفر مجموعة أدوات الطب الشرعي لنظام التشغيل iOS لأجهزة الكمبيوتر التي تعمل بنظام التشغيل macOS، وWindows، وLinux. في الإصدارات السابقة، دعمنا التحميل الجانبي في جميع الإصدارات الثلاثة، ومع ذلك كان إصدار Mac هو الإصدار الوحيد الذي يمكن استخدامه لتثبيت عامل الاستخراج باستخدام معرف Apple عادي غير مطور. لم يكن أمام مستخدمي إصدارات Linux وWindows أي خيار سوى تسجيل معرف Apple الخاص بهم في برنامج المطورين المدفوع من Apple، الأمر الذي يتطلب استثمارًا إضافيًا. توفر حسابات المطورين المسجلة حديثًا فوائد ملموسة قليلة أو معدومة عبر معرف Apple المجاني وغير المطور بخلاف القدرة على تحميل التطبيقات من أنظمة التشغيل الأخرى.

يضع iOS Forensic Toolkit 8.60 حدًا لهذا التناقض، مما يتيح تمامًا استخدام معرفات Apple ID العادية والمجانية لغرض التحميل الجانبي وتوقيع وكيل الاستخراج منخفض المستوى. تعمل هذه الميزة الجديدة على سد الفجوة بين إصداري Linux وMac، مع تقريب إصدار Window خطوة واحدة من إصدار Mac.

الاختلافات بين الطبعات

لا يوجد سوى عدد قليل جدًا من الاختلافات الوظيفية بين إصدارات Mac وWindows وLinux. تعد إصدارات Mac وLinux حاليًا على قدم المساواة من حيث الميزات، في حين أن إصدار Windows يوفر نفس الوظيفة في الاكتساب المنطقي عالي المستوى والاستخراجات المنخفضة المستوى المستندة إلى الوكيل. لا يزال إصدار Windows يفتقر إلى دعم عمليات الاستخراج على مستوى أداة تحميل التشغيل المتوفرة لأجهزة Apple استنادًا إلى الشرائح الأقدم، ولكن هذا هو القيد الوظيفي الوحيد المتبقي.

يرجى ملاحظة أننا نوفر أيضًا إصدار Live Linux، الذي يتم تشغيله من جهاز تخزين خارجي مثل محرك أقراص محمول أو SSD خارجي. يحتوي إصدار Live Linux على آلية التحميل الجانبي المحدثة المدمجة بالفعل. لذلك، إذا لم يكن لديك جهاز كمبيوتر يعمل بنظام التشغيل macOS في متناول اليد، فيمكنك ببساطة تنزيل الصورة القابلة للتمهيد وتحديثها، وتمهيد جهاز الكمبيوتر الخاص بك من محرك أقراص خارجي، ثم إجراء الاستخراج على مستوى منخفض دون أي قيود وظيفية.

توثيق ذو عاملين

في الماضي، كان يمكن للمرء تلقي رموز المصادقة الثنائية التي يتم تسليمها إلى بطاقة SIM موثوقة عبر رسالة نصية (ستحتاج إلى تمرير المصادقة الثنائية لتحميل وكيل الاستخراج باستخدام معرف Apple الخاص بك). حاليًا، لا يُنصح باستخدام هذا النوع من المصادقة الثنائية. نوصي بشدة باستخدام معرف Apple الذي يحتوي على جهاز واحد موثوق به على الأقل متصل. بهذه الطريقة ستتمكن من استخدام رمز المصادقة الثنائية الذي تم دفعه إلى الجهاز الموثوق به.

خاتمة

يُحقق الإصدار الأخير تقدمًا كبيرًا في عمليات استخراج الطب الشرعي ذات المستوى المنخفض عبر أنظمة التشغيل المختلفة. من خلال توفير القدرة على استخدام معرفات Apple العادية وغير المطورة لتحميل وكيل الاستخراج على أنظمة Windows وLinux، تجعل مجموعة الأدوات التسجيل في برنامج مطور Apple أمرًا اختياريًا. لا يؤدي هذا التغيير إلى إلغاء التكاليف الإضافية فحسب، بل يعمل أيضًا على تبسيط العملية للعديد من المستخدمين.

توفر مجموعة الأدوات الآن تجربة أكثر توحيدًا عبر أنظمة التشغيل macOS وWindows وLinux، حيث تكون إصدارات Mac وLinux مكافئة للميزات ويقترب إصدار Windows من إمكانيات متطابقة تقريبًا. يتمثل الاختلاف الأساسي المتبقي في عدم وجود دعم الاستخراج على مستوى أداة تحميل التشغيل في إصدار Windows للأجهزة ذات الشرائح الأقدم، ولكن جميع الوظائف الرئيسية الأخرى، بما في ذلك الاكتساب المنطقي عالي المستوى والاستخراج منخفض المستوى المستند إلى الوكيل، مدعومة بالكامل.

يقدم الإصدار التجريبي التاسع من iOS Forensic Toolkit 8.0 لنظام التشغيل Mac استخراجًا سليمًا يعتمد على checkm8 لستة عشر طرازًا من أجهزة iPad وiPod Touch وApple TV. يتوفر الآن حل الاستخراج منخفض المستوى لجميع أجهزة iPad وجميع موديلات iPod Touch المعرضة لاستغلال checkm8.

ينطبق checkm8 على جميع الأجهزة التي بها ثغرة أمنية في أداة تحميل التشغيل، ومع ذلك توجد اختلافات فنية عندما يتعلق الأمر بتنفيذ الاستغلال على الأجهزة المختلفة. في هذا التحديث، نستهدف أجهزة غير iPhone، ونبذل الجهود لدعم العديد من أجهزة iPad المجهزة بشرائح SoC المقابلة. بينما كان البائعون الآخرون يقدمون تطبيقاتهم الخاصة لاستخراج checkm8 لفترة طويلة، وجدنا أن حلولهم تفتقر إلى تغطية إصدار الجهاز/iOS وتفتقد علامة “الطب الشرعي السليم”.

عادةً ما تكون مدة خدمة جهاز iPad أطول بعدة مرات من عمر جهاز iPhone من نفس الجيل. وينعكس هذا في عدد دورات شحن البطارية المدعومة. بينما تدعي شركة Apple أن بطارية iPhone النموذجية مصممة للاحتفاظ بما يصل إلى 80% من سعتها الأصلية عند 500 دورة شحن كاملة، فإن بطارية iPad مصممة للاحتفاظ بسعة مماثلة عند 1000 دورة شحن كاملة. وبعبارة أخرى، على الرغم من عمرها، فإن العديد من هذه الأقراص لا تزال تستخدم بنشاط – ويمكن الآن استخراجها.

بالإضافة إلى عمر الخدمة الطويل، تعد أجهزة iPad بمثابة قوة عمل حقيقية مقارنة بجهاز iPhone. يتم استخدامها بنشاط في الشركات وكما BYOD. على عكس أجهزة iPhone، التي تم تصنيفها كأجهزة لاستهلاك الوسائط، فإن أجهزة iPad (خاصة مجموعة Pro) مصممة للمهام الإبداعية، مما يؤدي إلى الكثير من الأدلة المحتملة ذات القيمة العالية.

التوافق

تشتمل طرز iPad المضافة حديثًا على iPad بالحجم الكامل 5 و6 و7، وiPad Mini 2 و3 و4، وiPad Air 1 و2، وiPad Pro 1 و2 (طرازات 9.7 بوصة و12.9 بوصة على التوالي). ). بالإضافة إلى ذلك، يتم دعم أجهزة iPod Touch 6 و7 أيضًا. هذا بالإضافة إلى موديلات iPad و iPod Touch المدعومة مسبقًا. حاليًا، يدعم حل استخراج checkm8 الخاص بنا جميع موديلات iPad وجميع موديلات iPod Touch التي تحتوي على ثغرة أمنية في أداة تحميل التشغيل دون أي استثناءات.

يتم دعم جميع إصدارات iOS حتى iOS 15.5. فيما يلي القائمة الكاملة لطرز iPad المدعومة:

الملاحظات الفنية

بالنسبة لمعظم الأجهزة، يمكن تطبيق الاستغلال مباشرة. ومع ذلك، هناك العديد من المتطلبات عندما يتعلق الأمر ببعض الأجهزة الأخرى.

لم يعد جهاز Apple TV 4K يحتوي على منفذ USB بعد الآن. يتطلب توصيله بالكمبيوتر أجهزة إضافية وبعض مهارات اللحام.

بالنسبة لأجهزة iPad 6/7 وiPad Pro 2 التي تعمل بنظام iOS 14 أو 15، يجب إزالة رمز المرور قبل الاستخراج. اتبع هذا الدليل لتعطيل رمز المرور: كيفية إزالة رمز مرور iPhone الذي لا يمكنك إزالته

هل سأحتاج إلى لوحة بيكو؟

في الإصدار التجريبي السابع، قدمنا ​​حلاً للأجهزة/البرمجيات للمساعدة في وضع iPhone 4s في PwnedDFU. يتطلب الحل لوحة Raspberry Pi Pico مع برامج ثابتة مخصصة . لن تحتاج إلى لوحة Pico للعمل مع معظم موديلات iPad وiPod Touch باستثناء تلك التي تعتمد على نفس وحدة تحكم USB مثل iPhone 4s.

يرجى الرجوع إلى الجدول التالي للأجهزة التي تتطلب لوحة Raspberry Pi Pico لاستخدام حل استخراج checkm8 الخاص بنا:

خاتمة

من الصعب التقليل من أهمية checkm8 لمتخصصي الطب الشرعي المتنقل. الحل الذي نقدمه هو الحل الوحيد في السوق الذي يدعم استخراج checkm8 بشكل سليم لجميع أجهزة Apple التي بها ثغرة أداة تحميل التشغيل، بما في ذلك جميع موديلات iPhone وiPad وiPod Touch المتوافقة، بالإضافة إلى أجهزة Apple TV وApple Watch.