Как получить доступ к файловой системе iphone

Обновлено: 02.07.2024

По состоянию на июль прошлого года Apple продала более 800 миллионов устройств, работающих под управлением iOS. Более половины из них — различные модели iPhone. При таком количестве устройств в обращении совершенно не удивительно, что они часто становятся объектами компьютерно-технической экспертизы (forensics). На рынке представлены различные решения для автоматизации подобных экспертиз, но ценник на них зачастую делает их недоступными. Поэтому сегодня мы поговорим о том, как можно провести такую экспертизу с минимальными затратами или, проще говоря, используя бесплатные и/или open source инструменты.

Немного теории

Пасскод. Он защищает устройство от неавторизованного доступа (в том числе и от экспертизы) и криптографически защищает часть данных. Это значит, что даже если пасскод как-то обойти, то некоторые файлы и записи Keychain будут недоступны, потому что устройство не сможет получить соответствующие ключи шифрования, не зная пасскод.
Связка ключей (Keychain). Это централизованное хранилище паролей, токенов, ключей шифрования и прочих секретов, в котором Apple рекомендует разработчикам приложений держать ценные данные. Физически представляет собой SQLite3-базу, записи в которой зашифрованы и доступ к которой осуществляется опосредованно, через запросы к сервису `securityd`.
Шифрование файлов. В отличие от систем полнодискового шифрования (full disk encryption, FDE), iOS шифрует каждый файл отдельным ключом (чем-то это напоминает EFS в Windows). Часть файлов защищена ключом, производным от уникального ключа устройства, и может быть расшифрована без знания пасскода, часть защищена таким образом, что расшифровать их без знания пасскода невозможно.

Извлечение данных

«Физическое извлечение» позволяет получить побитовый образ диска, все ключи шифрования устройства и, в большинстве случаев, также позволяет перебирать пасскод (если он установлен). Для физического извлечения в общем случае требуется выполнение кода на устройстве в контексте пользователя с полными правами (root) и вне песочницы (sandbox). Этот метод был популярен несколько лет назад, так как уязвимость в загрузчиках старых устройств (таких как iPhone 4 или первые iPad’ы) позволяла выполнять на устройстве произвольный код. На более новых устройствах физическое извлечение возможно (да и то с оговорками) только при наличии jailbreak, поэтому сегодня мы его рассматривать не будем.
«Логическое извлечение» использует для получения данных интерфейсы и сервисы, которые уже есть на устройстве и которые используются программами вроде iTunes или Xcode. Классическим примером здесь служит создание резервной копии iTunes: для ее создания не нужно устанавливать на устройство никаких дополнительных программ, и при этом она содержит большое количество ценной информации об устройстве (включая список контактов и вызовов, историю переписки, историю местоположений, фото/видео). Но одним только бэкапом дело не ограничивается — на iOS-устройствах присутствуют и другие службы, позволяющие получить доступ к данным.
Извлечение из iCloud позволяет загрузить резервную копию устройства из облака. Для этого необходимо знать аутентификационные данные настроенного на устройстве Apple ID: Apple ID и пароль либо аутентификационный токен. Резервная копия в iCloud также содержит массу ценной информации.

Спаривание

Когда речь заходит о «логическом» извлечении, то одно из ключевых понятий — это спаривание (pairing) устройства и хоста. В большинстве случаев устройство будет отвечать на запросы только того хоста, с которым оно было спарено ранее (таких хостов может быть больше одного). Запись спаривания (pairing record) состоит из двух частей — одна хранится на устройстве и одна на хосте — и создается при первом подключении устройства к новому хосту. Для создания такой записи необходимо, чтобы устройство было разблокировано (то есть для спаривания в общем случае необходимо ввести пасскод) и чтобы пользователь подтвердил создание записи спаривания на устройстве (начиная с iOS 7; в более ранних версиях запись создавалась автоматически).

Запись спаривания содержит ключи шифрования для всего контента, хранящегося на устройстве, и, следовательно, может быть использована для подключения к устройству и его разблокировки. Другими словами, с точки зрения доступа к зашифрованным данным запись спаривания эквивалентна знанию пасскода: наличие любого из этих двух факторов позволяет разблокировать устройство и получить доступ ко всем данным (в криптографическом смысле).

С практической точки зрения вышесказанное значит, что для логического извлечения в общем случае необходима существующая запись спаривания с одного из доверенных компьютеров или пасскод (чтобы эту запись создать). Без этого большая часть сервисов iOS откажется работать и возвращать данные.

Практика

Для наших экспериментов понадобится виртуальная или физическая машина под управлением Linux. Linux, в принципе, может быть любым, важно чтобы под ним нормально собирались и работали `libusb` и `libimobiledevice`. Я буду использовать Santoku Linux — дистрибутив, созданный в том числе и для проведения исследования устройств под управлением Android и iOS. К сожалению, Santoku Linux содержит не все необходимое, поэтому кое-что «допиливать» все же придется.

Логическое извлечение

Для логического извлечения данных из устройства нам потребуется libimobiledevice — кросс-платформенная библиотека для общения с различными службами iOS. К сожалению, Santoku Linux 0.5 поставляется с устаревшей версией `libimobiledevice` (1.1.5), которая не полностью поддерживает iOS 8, поэтому первым делом установим самую свежую версию (1.1.7) и все ее зависимости (скачиваем архивы по указанным ссылкам, распаковываем, переходим в полученную папку и выполняем `./autogen.sh && make && sudo make install`):

; ; — здесь обрати внимание на ключ `--enable-dev-tools`, он включает сборку дополнительных утилит, которые мы в дальнейшем будем использовать для общения с некоторыми сервисами iOS: `./autogen.sh --enable-dev-tools`; — похоже, ключ `--without-systemd` необходим на Santoku 0.5, так как без него usbmuxd не стартует: `./autogen.sh --without-systemd`; ; .

Если все прошло удачно, то теперь самое время подключить какое-нибудь iOS-устройство к компьютеру (или к виртуальной машине) и проверить, что хост его видит:

Эта команда должна вывести идентификаторы (UUID) подключенных устройств.

Информация об устройстве

Следующий этап — получение более подробной информации об устройстве. Для этого служит утилита `ideviceinfo`. Она может использоваться в двух вариантах:

`ideviceinfo –s` выводит общедоступную информацию об устройстве без попытки создать новое или использовать существующее спаривание между хостом и устройством;
`ideviceinfo [-q <домен>] [-x]` выводит существенно более подробную информацию, но требует наличия спаривания между устройством и хостом. Утилита запрашивает информацию у сервиса `lockdownd`, выполняющегося на устройстве. Информация представляет собой пары ключ — значение и ключи сгруппированы в домены. С помощью параметра `-q` можно задать конкретный домен, из которого требуется получить данные.

Приложения

В рамках логического извлечения можно получить доступ к данным приложений. Для этого сначала необходимо получить список установленных приложений при помощи утилиты `ideviceinstaller`:

В результате для каждого приложения получаем его идентификатор (так называемый bundle ID), название и версию. Зная идентификатор приложения, мы можем получить доступ к его данным. Для этого задействуются два сервиса iOS — `house_arrest` и `afc`. AFC (Apple File Conduit) — это служба доступа к файлам; с ее помощью, в частности, iTunes осуществляет доступ к музыке и прочим медиафайлам на устройстве. `house_arrest` — это менее известный сервис, который позволяет запускать сервер AFC в песочнице конкретного приложения; он, в частности, используется для реализации функции File Sharing в iTunes.

Но это все теория. На практике для получения доступа к файлам приложения достаточно воспользоваться утилитой `ifuse`:

В результате выполнения этой команды директория с данными приложения будет смонтирована в директории

Отмонтировать данные приложения можно командой `fusermount –u

Резервная копия iTunes

Бэкап устройства традиционно служит одним из популярных векторов извлечения данных, что неудивительно, учитывая, что бэкап по определению должен содержать массу ценной информации об устройстве и его владельце. Для создания бэкапа можно воспользоваться утилитой `idevicebackup2`:

В зависимости от количества контента на устройстве создание резервной копии может занять длительное время (до получаса).

Другая потенциальная проблема, связанная с бэкапами, заключается в том, что они могут быть зашифрованы. Шифрование бэкапов в iOS осуществляется на стороне устройства, поэтому если пользователь защитил бэкап паролем, то все данные, отдаваемые устройством в процессе бэкапа, будут зашифрованы. Пароль можно попытаться подобрать — для этого существуют как коммерческие, так и бесплатные инструменты. Без пароля доступ к содержимому файлов бэкапа невозможен.

По умолчанию `idevicebackup2` сохраняет резервную копию во внутреннем формате iOS, который не вполне подходит для ручного исследования, поскольку, например, вместо имени файла в нем используется значение хеш-функции SHA-1 от пути файла. Преимущество этого внутреннего формата iOS в том, что многие программы знают, как с ним работать, так что для анализа содержимого бэкапа достаточно открыть его в одной из таких программ (например, iOS Backup Analyzer, iBackupBot, или iExplorer).

Если же по каким-то причинам требуется получить бэкап в более «читаемом» формате, то можно воспользоваться командой `unback`:

Эта команда создаст на рабочем столе директорию `_unback_`, в которой будет сохранена резервная копия устройства в виде традиционного дерева файлов, а не в виде списка файлов с псевдослучайными именами, как ранее.

Файловая система

Утилита `ifuse` может быть использована и для доступа к файловой системе iOS-устройства. Сразу замечу, что стандартная служба AFC позволяет получить доступ только к содержимому директории `/var/mobile/Media`, в которой хранятся фото- и видеофайлы, фильмы, музыка и прочий медиаконтент. Эта директория может быть смонтирована при помощи команды `ifuse

Если устройству был сделан jailbreak и установлена служба AFC2, то возможности доступа к файловой системе существенно расширяются. AFC2 — это тот же AFC, только имеющий доступ ко всей файловой системе, а не только к директории `/var/mobile/Media`. Корневая файловая система устройства может быть смонтирована следующим образом: `ifuse --root

/Desktop/Media/`. Отмонтирование устройства осуществляется, как и в случае с доступом к данным приложений, командой `fusermount –u

FILE_RELAY

File_relay — один из менее известных сервисов iOS, позволяющий в некоторых случаях получать данные, недоступные через другие интерфейсы. Сервис присутствует во всех версиях iOS, начиная с 2.0 (тогда ОС еще называлась iPhone OS), но список доступных данных меняется от версии к версии.

Для извлечения данных через службу file_relay можно воспользоваться утилитой `filerelaytest` (она будет скомпилирована, только если указать параметр `--enable-dev-tools` при конфигурации `libimobiledevice`):

Источники `file_relay` в iOS 8

AppleTV Baseband Bluetooth Caches CoreLocation CrashReporter CLTM demod Keyboard Lockdown MobileBackup MobileInstallation MobileMusicPlayer Network Photos SafeHarbor SystemConfiguration Ubiquity UserDatabases AppSuppor t Voicemail VPN WiFi WirelessAutomation MapsLogs NANDDebugInfo IORegUSBDevice VARFS HFSMeta tmp MobileAsset GameKitLogs Device-O-Matic MobileDelete itunesstored Accounts AddressBook FindMyiPhone DataAccess DataMigrator EmbeddedSocial MobileCal MobileNotes

Эта команда выполнит подключение к службе `file_relay` и запросит фиксированный набор «источников» (sources): AppleSupport, Network, VPN, WiFi, UserDatabases, CrashReporter, tmp, SystemConfiguration. Каждый такой источник — это один файл или более с устройства. Полный список источников для iOS 8 приведен во врезке. Для запроса определенного источника достаточно использовать его имя в качестве параметра для `filerelaytest`:

Результат (то есть извлеченные данные) будет записан в файл dump.cpio.gz в текущей директории. Его можно распаковать с помощью стандартных утилит `gunzip` и `cpio`:

До iOS 8 этот сервис был исключительно полезным и позволял получить данные, недоступные через другие интерфейсы (например, если бэкап зашифрован). Но, начиная с iOS 8, Apple ввела дополнительную проверку: для того чтобы служба `file_relay` работала, на устройстве должен быть установлен специальный конфигурационный профиль, подписанный Apple.

При установке такого профиля в директории `/Library/Managed Preferences/mobile/` будет создан файл `com.apple.mobile_file_relay.plist` со следующим содержанием:

`file_relay` во время выполнения проверяет наличие этого файла и значение ключа `Enabled` в нем и возвращает данные, только если оно установлено в `true`.

Автоматизация

Один из замечательных аспектов `libimobiledevice` состоит в том, что эта библиотека, помимо готовых утилит для общения с устройством, предоставляет и API для создания своих инструментов. Она содержит, например, привязки для Python, предоставляющие такой же уровень доступа к различным сервисам устройства. Используя этот API, ты можешь достаточно быстро создать именно тот инструментарий, который тебе необходим.

iCloud

Начиная с iOS 5, устройства могут создавать собственную резервную копию в облаке iCloud, а также восстанавливаться из такой копии при первоначальной настройке. Для доступа к данным необходимо знание Apple ID и пароля. Одно из решений с открытым кодом для этого — iLoot. Утилита достаточно проста в использовании, поэтому давать какие-либо пояснения излишне: на вход подается Apple ID и пароль, на выходе — резервные копии, загруженные из iCloud’а. На момент написания статьи iLoot не работает с учетными записями, для которых включена двухэтапная аутентификация.

Заключение

В статье я постарался рассказать о доступных способах извлечения данных из iOS-устройств — способах, не требующих финансовых затрат. За кадром остался такой важный аспект исследования, как анализ извлеченных данных, — эта тема гораздо более обширна и существенно зависит от версии iOS и установленных программ, поэтому раскрыть тему анализа «в общем» представляется труднодостижимым. Тем не менее я надеюсь, что представленный материал оказался интересен и ты узнал из него что-то новое. Happy hacking!

Впервые опубликовано в журнале «Хакер» от 02/2015.
Автор: Андрей Беленко (@abelenko)

В закладки

Разобрался с «Файлами». Сначала кажется, что стандартный файловый менеджер Apple отличается крайней убогостью, но это не так. На самом деле, у него масса полезных возможностей для полноценной работы с документами любых типов, облачными сервисами и не только. Просто многие из них скрыты.

У Apple есть правило: компания делает софт, который должен одинаково хорошо подходить и для новичков, и для опытных пользователей. Поэтому прячет дополнительные возможности в различных меню и разделах, про которые знают не все. В этой статье раскрою некоторые из самых полезных.

1. Быстрый возврат к любому необходимому каталогу

Как этим пользоваться: зажмите кнопку возврата к предыдущему каталогу в верхней части интерфейса слева, а потом переместите палец на необходимый, не отрывая его.

Эта фишка касается не только приложения «Файлы», но и любых других программ для iPhone и iPad, которые используют стандартный API интерфейса iOS 14 и iPadOS 14. Она дает возможность быстро перейти к необходимому каталогу без дополнительных манипуляций.

2. Встроенный сканер для любых бумажных документов

Как этим пользоваться: нажмите на кнопку с изображением «…» в верхней части экрана справа, а потом выберите вариант «Отсканировать документы» и сделайте снимок.

Да, лично мне кажется, что для подобных манипуляций лучше воспользоваться специализированными решениями, но нетребовательные пользователи могут обойтись и встроенными возможностями системы. Любопытно, что далеко не все знают, что указанный сканер есть не только в «Заметках».

3. Проверка доступа приложений к файлам и папкам

Как этим пользоваться: нужно перейти в меню «Настройки» > «Конфиденциальность» > «Файлы и папки» — здесь можно отключить приложения от файловой системы и произвести обратное действие.

Сторонние приложения могут получать доступ к данным из «Файлов». Этот процесс получится контролировать с помощью отдельного меню в глубине «Настроек» операционной систем.

Интересно: отдельного раздела для приложения «Файлы» вообще нет в «Настройках», поэтому управлять параметрами приложения приходится из разных меню. Это странно.

4. Стандартный архиватор для любых своих документов

Как этим пользоваться: зажмите любой документ или папку и выберите вариант «Сжать», чтобы создать архив, или нажмите на архив, чтобы тут же извлечь его.

Указанным выше образом можно как создавать архивы, чтобы быстро передавать их через электронную почту или мессенджеры, так и извлекать любые необходимые данные без вспомогательного софта. Да, сторонний для этого вообще не понадобится.

Единственное, важно иметь ввиду, что стандартными средствами получится работать лишь с архивами в формате ZIP. Для остальных все же придется прошерстить App Store.

5. Расширенная поддержка внешних накопителей APFS

Как этим пользоваться: подключите подходящий внешний накопитель APFS к iPhone или iPad напрямую или с помощью переходника, а потом введите пароль шифрования.

Да, главным нововведением «Файлов» в iOS 14 (оно единственное указано на официальном сайте Apple) является расширенная поддержка внешних накопителей. В обновление операционной системы добавили возможность работы с флешками и другими гаджетами с файловой системой APFS и включенным шифрованием. Может быть полезно.

6. Использование общего доступа к файлам с Mac

Как этим пользоваться: сначала откройте доступ к файлам Mac через «Системные настройки» > «Общий доступ», а потом запустите их на iPhone или iPad через пункт «Подключиться к серверу» из меню «…».

Да, с помощью «Файлов» можно получить доступ к расшаренным файлам на Mac. Это удобно, если вы активно используете мобильные устройства Apple в профессиональной деятельности.

7. Виджет показывает недавнее не только из «Файлов»

Как этим пользоваться: добавьте новый виджет приложения на один из рабочих столов мобильного устройства и убедитесь в этом сами.

На виджет также попадают файлы из iCloud Drive, которые сохранены в папках установленных приложений. Они открываются не в «Файлах», а в конкретных программах, которые предназначены для этого. Удобно.

8. Выбор локаций для поиска своих папок и файлов

Как этим пользоваться: выберите необходимую локацию снизу от поисковой строки — здесь будет несколько вариантов, если вы находитесь внутри структуры каталогов.

Если вы находитесь в дебрях структуры папок приложения «Файлы», сможете выбрать одну их них для поиска под соответствующей полоской.

9. Перетаскивание файлов и папок через drag-and-drop

Как этим пользоваться: зажмите файл или папку одним пальцем, переместитесь в необходимый каталог с помощью другого, перетащите данные в желаемое место.

Некоторые считают, что использовать drag-and-drop в приложении «Файлы» можно только на iPad, но на iPhone также есть часть подобных возможностей для управления приложением.

10. Можно быстро скачать любое число документов

Как этим пользоваться: используя предыдущий способ, для этого достаточно перетащить целую папку с данными в каталог iPhone или iPad.

Ловите лайфхак, как быстро поставить на загрузку любое число документов, расположенных в одной папке. В противном случае их придется «тыкать» по одному. Протестировал его за границей в роуминге, скачивая все необходимое через Wi-Fi.

11. В «Файлах» можно искать через стандартный «Поиск»

Как этим пользоваться: активируйте Spotlight свайпом сверху вниз по домашнему экрану мобильного устройства, введите название необходимого файла — чтобы это сработало, перейдите в меню «Настройки» > «Siri и Поиск» > «Файлы» и переведите в активное положение переключатель «Контент при поиске».

Да, есть вероятность, что Spotlight — самый удобный инструмент для работы с данными, которые вообще есть на гаджетах Apple.

12. Файловый менеджер работает с пометками в документах

Как этим пользоваться: откройте файл подходящего формата (например, PDF или изображение), нажмите на кнопку с изображением карандаша и сделайте необходимые пометки.

Иногда использую данный инструмент, если готовлюсь к лекциям, которые периодически веду. Просто выделяю ключевые моменты в файлах PDF, чтобы не делать отдельный список.

13. Документы в «Файлах» можно открыть на общий доступ

Учтите, что эту возможность можно использовать только вместе с владельцами гаджетов Apple. С остальными придется взять на вооружение другие инструменты.

14. Можно изменить стандартную папку для загрузок

Как этим пользоваться: откройте меню «Настройки» > Safari > «Загрузки», а потом выберите каталог, в который необходимо сохранять загрузки из Safari.

Да, данный пункт связан с «Файлами» лишь косвенно. Тем не менее, важно понимать, что это вообще возможно.

15. Через «Файлы» можно прочитать мета-данные снимка

Отличный лайфхак, который можно использовать, если не хочется устанавливать сторонний софт. Натолкнулся на эту фишку, когда готовил эту статью. Раньше даже сам не обращал на это внимания.

16. Кстати, здесь же можно хранить тайные фотографии

Как этим пользоваться: переместите снимок в необходимый каталог в «Файлах» указанным в предыдущем пункте способе.

Случайный «зритель» не додумается искать тайные фотографии в приложении, которое для этого не особенно предназначено.

17. «Файлы» дают возможность хранить любые данные

Как этим пользоваться: сохраняйте в «Файлы» документы любого типа, скачанные через Safari и принятые средствами AirDrop.

Да, кстати, с появлением «Файлов» в данном приложении можно хранить абсолютно любые данные. Тут найдется место даже для тех, для открытия которых не подходит ни одна из установленных программ. Удивительно, что про это многие просто не знают.

18. «Файлы» можно частично отключить от сотовых данных

Как этим пользоваться: перейдите в меню «Настройки» > «Сотовые данные» и переведите в неактивное положение переключатели конкретных облачных сервисов, которые используются в «Файлах».

Да, мелким шрифтом выше по тексту уже указывал, что отдельного меню для «Файлов» в «Настройках» попросту нет. Они разбросаны по всему приложению. Это, в том числе, касается использования мобильного интернета.

В соответствующем разделе нельзя отключить весь менеджер целиком, но можно заглушить конкретные сервисы, через которые идет связь с интернетом. Это, опять же, полезно, если трафик ограничен — к примеру, в роуминге.

19. На iPad структуру папок можно смотреть колонками

Как этим пользоваться: выберите вариант «Стопками» с помощью соответствующей кнопки в верхнем правом углу экрана.

На iPhone подобного варианта просмотра файловой системы нет даже в альбомной ориентации приложения.

20. Только на iPad есть быстрые действия для документов

Как этим пользоваться: выберите необходимое быстрое действие при просмотре информации о документе — к примеру, изображение таким образом можно превратить в PDF.

Кстати, многие считают, что в просмотре изображений их поворот есть только на iPad. Тем не менее, их можно использовать и на iPhone: для этого нужно просто зажать картинку в «Файлах» и выбрать соответствующую возможность.

? Держите крутые рюкзаки, в которых можно носить iPad, Apple Pencil и всё остальное:

(34 голосов, общий рейтинг: 4.79 из 5)

В закладки

Настроив iCloud Drive, Вы можете использовать приложение «Файлы» , чтобы предоставлять друзьям и коллегам доступ к папкам и отдельным файлам. Если Вы вносите изменения в файл или папку, к которым предоставлен общий доступ, другие пользователи видят эти изменения. Если пользователям разрешено вносить изменения, то эти изменения будут синхронизироваться автоматически.

Файлы и папки, к которым открыт общий доступ в iCloud Drive, обладают рядом важных особенностей.

Если поделиться папкой, все объекты, которые будут добавлены Вами или другими пользователями в эту папку, станут доступны всем, у кого есть доступ к папке.

Ссылка на файл, к которому предоставлен общий доступ, содержит имя файла. Если имя или содержимое файла являются конфиденциальными, не забудьте попросить пользователей не пересылать ссылку другим людям.

Если Вы переместили файл, к которому предоставлен общий доступ, в другую папку или место, ссылка больше не будет работать, и другие пользователи не смогут получить доступ к файлу.

В зависимости от приложения пользователям может потребоваться повторно открыть файл или коснуться исходной ссылки для просмотра новейших изменений.

Общий доступ к файлу или папке

Если Вы являетесь владельцем папки или файла в iCloud Drive, Вы можете пригласить других пользователей просматривать файл или папку или изменять их содержимое.

Папкой или файлом можно поделиться, либо предоставив доступ только определенным людям, либо открыв доступ всем, у кого есть ссылка.

Вы можете разрешить изменять содержимое файла или папки или разрешить только просмотр.

Если открыть общий доступ к папке, по умолчанию доступ к файлам в этой папке смогут получить только приглашенные участники. Чтобы предоставить доступ к файлам другим пользователям, измените настройки общей папки и добавьте новых участников. Нельзя выбрать только один файл и предоставить доступ только к нему из всей общей папки, даже если добавить его участников.