[发明专利]未持有iOS设备情况下的离线取证方法

摘要

本发明的目的在于提供一种未持有iOS设备情况下的离线取证的方法。当取证人员需要对某一iOS设备进行取证而又未获取该iOS设备，取证人员可以转而查找曾经与该iOS设备通过iTunes同步软件连接过的PC或Mac，取证人员即可对该PC或Mac上iTunes的文件夹的内容进行解析，从而获取有关该iOS设备的相关数据。通过该方法可以给取证人员提供一种新的针对iOS设备的取证方法，克服了传统移动设备取证必须持有该移动设备的局限，实现对该iOS设备的模糊取证。

主权项

一种未持有iOS设备情况下的离线取证的方法，其特征在于：包括：取证人员在未持有iOS设备的情况下，转而去寻求曾经与该iOS设备连接过的PC或Mac端的iTunes备份文件夹，在获取对该PC或Mac的控制后，实施针对iTunes备份文件的取证，所述的针对备份的iTunes备份文件夹进行解析取证操作；首先对备份进行完整性校验，与原始备份数据的MD5或SHA值进行比较，在确定一致的情况下，开始解析备份数据并记录取证实施过程，包括：1)取证人员在确定某一iOS设备连接过的PC或Mac端后，采取现场证据保护措施，并记录现场，并且检测该PC或Mac是否已经安装iTunes；2)根据不同的操作系统确定相应的iTunes备份文件夹的位置，并检测该备份文件夹内是否包含备份数据，若包含备份数据，则确定对该备份文件夹进行后续的取证工作，将PC或Mac端的存储部件作为原始数据源隔离保护，将涉案PC或Mac作为原始数据源隔离封存，并进行MD5或SHA完整性校验，并制作多份备份以供取证人员分析；3)任何分析或提取工作都只能在原始数据源的备份上进行取证操作；在开始取证操作之前，首先要对备份进行完整性校验，与原始数据的MD5或SHA值进行比较，在确定一致的情况下，开始解析备份数据；同时对实施取证人员做好信息记录，并录入取证方案及步骤，生成取证过程报告；4)通过解析备份文件夹中的Info.plist文件，获取该备份的iOS设备的信息，所述设备的信息包括设备名称、系统版本、手机号码、GUID和IMEI，并将解析出的数据记录并生成iOS设备信息报告；5)通过解析备份文件夹中的Status.plist文件，获取有关该备份的信息，所述备份的信息包括备份的时间、是否完全备份和UUID，并将数据记录生成备份信息报告；6)通过解析备份文件夹中的Manifest.plist文件，获取所有已安装的App信息，将其中，即时通讯类App、地图/位置类App、搜索/查询类App版本和路径信息记录，由于该类App包含大量用户数据信息，取证人员需要记录并解析其数据库文件；7)通过解析Manifest.mbdb和Domains.plist，将备份文件的文件名与原iOS系统中的文件全路径进行匹配，将备份的文件简单分类：基本信息、多媒体信息、App信息和位置信息，并根据数据载体的类型利用SQLite Expert和Plist Editor软件进行解析查阅，并将内容生成相应的分类报告，所述的基本信息包括短信、联系人和通话记录，所述的多媒体信息包括图片、音频和视频；8)将步骤7生成的报告汇总，经过整理，排除冗余数据，生成总结性取证报告，并将上述取证调查过程的记录报告汇总，并进行复核工作，检查每个取证实施环节是否存在漏洞及有无违反法律法规，针对某一可疑的取证结论及取证流程，参考该取证过程的记录报告，在数据源的冗余备份上复现记录的取证过程或重新实施新的取证方案；复核工作结束后，将报告存档，最后进行证据提交司法机关。