本文由小茆同学编译，由陈裕铭、Roe校对，转载请注明。

传统获取方法

对于iOS设备，低级提取是一种有效的方法，可返回完整的文件系统镜像，并解密包含密码和加密密钥等重要数据的钥匙串。低级提取仍然是访问安全即时聊天工具（如Signal）中加密对话的唯一方法。然而，低级提取的可用性仅限于较旧的设备或iOS版本，无法及时支持较新版本。这种频繁的更新和补丁使得数据提取成为取证专家面临持续的挑战。

如果遇到不支持的iOS版本，高级逻辑提取就成了唯一可行的选择。虽然它可以提取设备备份、一些系统日志、媒体文件和元数据，但可能无法从流行的即时通讯应用中检索电子邮件消息或对话历史等关键数据。

没有设备就没有数据？

在某些情况下，直接从设备访问数据可能是不可行的，或者即使设备已解锁，也可能无法返回所有所需的信息，这在处理已删除数据时尤为重要。当设备恢复出厂设置，或从设备中删除后，数据可能无法恢复。现代iOS所使用的特定数据加密类型会使删除的文件完全无法访问，即使允许对设备存储进行低级访问也是如此。

 某些情况下设备无法提取数据，例如设备的物理损坏（水渍或硬件故障）会带来重大挑战。此外，设备经过恢复出厂设置或被彻底擦除的情况也会阻碍数据检索工作。

 在这种情况下，云提取提供了一个可行的解决方案。

iCloud在数据采集中的作用

Apple iCloud是苹果设备的集中式云存储和同步系统，拥有大量信息，包括备份、同步数据和大量受端到端加密保护的敏感信息。

 iCloud备份于2011年推出，存储系统和应用程序数据，与无密码本地备份类似。但是，同步数据（如 iCloud Photos中的照片）可能不在这些备份中；这些数据和许多其他类型的数据可通过访问同步数据从iCloud中检索。

 访问iCloud备份通常需要还原到物理的苹果设备上，这是苹果公司官方支持的唯一方式。除此之外，没有备份管理工具，也没有从苹果服务器下载iCloud备份的官方方法。访问同步数据要容易一些，因为可以通过在Mac上设置iCloud或使用Windows版iCloud访问某些类别的数据。但目前仍无法使用苹果官方软件下载iCloud备份。

获取iCloud数据的合法途径

为了合法获取iCloud数据，取证专家可以直接向苹果公司申请数据。这一过程涉及特定的步骤和文件，具体取决于当地司法管辖区和法律要求。此外，根据具体情况，他们可能还需要获得许可等。

向苹果公司申请信息必须遵循特定的途径。对于美国执法部门，苹果公司为美国和非美国执法人员发布了一系列指南。虽然法律途径可以确保数据是在获得适当授权的情况下获取的，从而加强证据在法律诉讼中的可信度，但这一过程可能会很漫长，而且非常复杂。

端到端加密数据

端到端加密是一种额外的保护层，用于保护一些最敏感的信息免受未经授权的访问，即使入侵者知道用户云账户的登录名和密码。从技术上讲，端到端加密记录属于同步数据。使用端到端加密技术保护的数据需要一个额外的密钥来解锁加密密钥。该密钥可以通过其中一台受信任设备的屏幕锁密码（iOS）或macOS账户密码解锁。端到端加密数据包括iCloud钥匙串（身份验证数据和密码）、健康数据、Safari浏览历史记录、iMessages 和其他几类数据。

下载端到端加密数据需要具备以下所有条件：

· 用户的Apple ID和密码

· 双因子验证的一次性代码（必须有，端到端加密不适用于没有双因子验证的账户）

· 屏幕锁定密码或具有相同Apple ID 的可信苹果设备的系统密码

iCloud高级数据保护

法律考虑因素

当涉及到法律诉讼的取证调查时，会出现复杂的情况。虽然正在进行的调查有更明确的指导原则，而在法庭上出示证据则需要一丝不苟地遵守法律标准，并可能受到对方的质疑。因此，取证专家必须接受法律程序和实践方面的训练，以确保调查结果的完整性。

结论

对于面临从锁定、损坏、丢失或擦除的设备中获取数据挑战的取证专家来说，iCloud获取是一种宝贵的资源。传统的获取方法可以访问某些数据，但是iCloud提取则为检索关键信息提供了新的可能性，甚至包括端到端加密数据。取证专家必须意识到法律的复杂性，并始终确保遵守法律，以维护调查的完整性和合法性。

参考链接：

https://blog.elcomsoft.com/2023/07/apple-icloud-acquisition-a-lifeline-for-forensic-experts/