Как расшифровать iphone резервную копию

Программно-техническая экспертиза бэкапа iPhone(часть 2)

Цель программно-технической экспертизы бэкапа iPhone – это получение данных и артефактов из бэкапов iTunes без модифицирования какой-либо информации.

На Mac OS X скачайте и установите необходимые модули Питона (pycrypto, M2crypto, construct и progressbar).

Загрузите и установите Mercurial (http://mercurial.selenic.com/) для загрузки исходного кода iphone-dataprotection из репозитория Google.

Расшифровка обычных бэкапов:

В обычных бэкапах ключи классов защиты хранятся в Резервной сумке с ключами и шифруются на ключе 0x835. Для того чтобы получить ключи классов защиты из Резервной сумки с ключами, нужно знать ключ 0x835. Проблема заключается в том, что ключ 0x835 вычисляется только на самом устройстве. Следовательно, расшифровка защищенных файлов из обычного бэкапа невозможна без получения доступа к устройству. Поэтому, если физического доступа к устройству не будет, то при программно-технической экспертизе бэкапа мы получим меньше информации по сравнению с тем, если бы таким доступом мы обладали.

Ниже по шагам описано, как расшифровать файлы из обычного бэкапа, если мы получим физический доступ к устройству. При загрузке iOS служба ядра IOAESAccelerator вычисляет ключ 0x835, шифруя фиксированное число 01010101010101010101010101010101 на ключе UID. UID – это уникальный для каждого устройства аппаратный ключ шифрования, зашитый в чип AES. iOS не может напрямую прочитать аппаратный ключ (UID), но может использовать UID для вычисления ключа 0x835 в режиме ядра. UID также недоступен для пользовательских приложений и библиотек. Ограничение на доступ к UID можно обойти, пропатчив службу ядра IOAESAccelerator.

Шаги извлечения ключа 0x835 из iPhone

1. Сделайте jailbreak вашего iPhone

*Если вы не хотите делать jailbreak вашего телефона, то для получения ключей шифрования следуйте шагам, описанным в статье “Программно-техническая экспертиза iPhone”.

2. На iPhone установите OpenSSH из Cydia. OpenSSH позволяет подключиться к устройству по SSH.

3. На рабочей станции Mac OS X скачайте утилиты device_infos, kernel_patcher и Cyberduck.

4. Подсоедините iPhone и рабочую станцию к одной Wi-Fi сети.

5. На OS X запустите Cyberduck и подсоединитесь к iPhone, набрав его IP адрес и используя root в качестве логина, а alpine в качестве пароля.

6. Скопируйте исполняемые файлы device_infos и kernel_patcher в корневую папку iPhone.

7. Запустите терминал на MAC и подсоединитесь к iPhone по SSH, набрав его IP адрес и используя root в качестве логина, а alpine в качестве пароля.

8. Чтобы изменить права для device_infos и kernel_patcher, выполните на SSH терминале следующие команды

9. Пропатчте службу ядра IOAESAccelerator, чтобы появилась возможность использовать аппаратный ключ шифрования (UID) из пользовательских процессов. Скрипт kernel_patcher модифицирует ядро и применяет необходимые патчи к службе IOAESAccelerator.

*Если ядро уже пропатчено, то скрипт выдаст сообщение kernel patching failed.

*Скрипт kernel_patcher работает только на устройствах с iOS 5.

10. Запустите скрипт device_infos с параметром key835. Скрипт вычисляет ключ 0x835 и показывает его на мониторе. Если запустить device_infos без параметра, то скрипт вычислит все ключи шифрования и сохранит их в plist-файле (Рисунок 9).

Как только ключ 0x835 получен, можно расшифровать Резервную сумку с ключами и достать ключи классов защиты данных. Позже с помощью ключей классов защиты данных мы расшифруем защищенные файлы в бэкапе.

11. На терминале с Mac OS X перейдите в папку iphone-dataprotection. Запустите скрипт backup_tool.py, передав ему в качестве параметра путь к папке с бэкапом iTunes.

*Если параметр output_path не указан, то скрипт создаст папку [iPhone UDID]_extract в папке с бэкапом и извлечет файлы во вновь созданную папку.

В бэкапе база данных связки ключей sqlite хранится в виде plist-файла (Keychain-backup.plist). Содержимое plist-файла зашифровано на ключах классов защиты элементов связки ключей. Поэтому элементы связки ключей можно прочитать только после их расшифровки.

Запустите скрипт keychain_tool.py и введите значение ключа 0x835. Скрипт расшифрует Резервную сумку с ключами, достанет ключи классов защиты с идентификаторами от 6 до 11 (перечислены в Таблице 6) и расшифрует элементы связки ключей.

Скрипт делает дамп всех паролей, сертификатов и закрытых ключей из файла бэкапа связки ключей.

Расшифровка зашифрованных бэкапов:

В зашифрованных бэкапах ключи классов защиты перемещаемых данных (идентификаторы с 6 по 8 в Таблице 6) хранятся в Резервной сумке с ключами и защищены паролем iTunes; ключи классов защиты ThisDeviceOnly (идентификаторы с 9 по 11 в Таблице 6) также хранятся в Резервной сумке с ключами, но помимо пароля iTunes защищены еще и ключом 0x835. В большинстве случаев данные из зашифрованного бэкапа перемещаемы, так как они защищены только паролем iTunes и не привязаны к конкретному устройству. Каждый файл в бэкапе шифруется алгоритмом AES 256 в режиме CBC на уникальном ключе. Ключи шифрования файлов хранятся в Резервной сумке с ключами и защищаются паролем iTunes. Для того чтобы, расшифровать Резервную сумку с ключами, забрать ключи классов защиты и расшифровать файлы бэкапа необходимо знать пароль iTunes. Если же узнать пароль iTunes не представляется возможным, то и информации при проведении программно-технической экспертизы мы получим гораздо меньше. iTunes не накладывает каких-либо ограничений на сложность пароля, и поэтому можно попробовать провести атаку перебором и угадать пароль. Зашифрованные бэкапы привносят дополнительные сложности в процесс извлечения данных, а при достаточно сложном пароле процедура расшифровки бэкапа может вообще оказаться невозможной.

iTunes сохраняет зашифрованный пароль от бэкапа в связке ключей iPhone. Если пароль от бэкапа неизвестен, но физический доступ к устройству у нас есть, мы сможем узнать пароль от бэкапа, прочитав элементы связки ключей. На iPhone с jailbreak’ом все элементы связки ключей можно получить с помощью утилиты keychain_dumper. Использование утилиты описано в посте keychain-dumper-usage.

Утилиты наподобие iPhone Backup Extractor и iPhone Backup Browser с зашифрованными бэкапами лучше не использовать, так как такие утилиты только читают и парсят Manifest.mbdb файл и составляют файловую структуру. Но сами файлы открыть не получится, так как их содержимое зашифровано.

Ниже по шагам расписана процедура расшифровки файлов из зашифрованного бэкапа при условии, что пароль iTunes нам известен.

Запустите утилиту backup_tool.py и введите пароль iTunes. Если пароль неизвестен, то модифицируйте скрипт и добавьте к нему скрипт подбора пароля перебором. В качестве входного параметра скрипт Backup_tool.py получает введенный пользователем пароль. Скрипт затем расшифровывает Резервную сумку с ключами, достает все ключи шифрования и расшифровывает файлы в бэкапе.

*Если параметр output_path не указан, то скрипт создаст папку [iPhone UDID]_extract в папке с бэкапом и извлекет файлы во вновь созданную папку.

В зашифрованном бэкапе база данных связки ключей sqlite хранится в виде plist-файла (Keychain-backup.plist). Содержимое plist-файла зашифровано на ключах классов защиты перемещаемых данных и ключах классов защиты ThisDeviceOnly.

Чтобы прочитать перемещаемые элементы связки ключей, запустите скрипт keychain_tool.py и введите пароль iTunes.

Чтобы прочитать элементы связки ключей классов ThisDeviceOnly, запустите скрипт keychain_tool.py и введите ключ 0x835.

Скрипт делает дамп всех паролей, сертификатов и закрытых ключей из файла бэкапа связки ключей.

Программно-техническая экспертиза файлов бэкапа позволяет экспертам получить доступ ко всей информации, содержащейся на телефоне до момента снятия резервной копии. Возможно также, что в анализируемой системе будут более старые версии файлов бэкапа или другие бэкапы iPhone с ценной информацией.

Чтобы просмотреть список доступных бэкапов, откройте iTunes, перейдите в меню Edit‑>Preferences (на Windows) или iTunes->Preferences (на Mac) и выберите вкладку Devices. На вкладке отображены все доступные бэкапы (см. Рисунок 10).

iTunes предоставляет возможность удалять файлы бэкапа. Для удаления существующего бэкапа iPhone, в окне Device Preferences (окно показано на рисунке выше), выберите нужный бэкап и нажмите на кнопку Delete Backup… Чтобы восстановить удаленный бэкап, эксперты могут воспользоваться различными утилитами восстановления данных. Восстановить удаленные файлы с компьютера гораздо легче, чем с телефона.

В бэкапе iPhone хранится много пользовательской информации. В Таблице 7 перечислены типичные файлы, которые могут представлять интерес для экспертов.

Контакты и личные данные (имя, email, дата рождения, место работы и.т.п.)

Источник

Как расшифровать резервную копию iPhone

Мобильные устройства играет немаловажную роль в нашей повседневной жизни. В телефонах мы храним мпого важного: фотографии, музыки, сообщения, контакты, и т.д. чтобы не потерять эти важные данные, лучше резервное копирование. Для некоторых пользователей iPhone iPad или iPod Touch, часто делать резервную копию с помощью iTunes. Но всем известно, создание резервной копии нашего iOS-устройства нужно установить пароль.

Иногда, вы хотите восстановить файлы на своем устройстве, но забыли пароль резервной копии iPhone, и даже случилась та же проблема, что у всех, резервная копия требует пароль которого вы не устанавливали. Подошел пароль от почты, не отчаивайтесь. Поэтому зашифрованная резервная копия iPhone должна расшифрованна через ввход правильного пароли. В такой ситуации вы не сможете восстановить iPhone из резервной копии. Как взломать пароль резервной копии iPhone? К счастью, у нас 2 способа решить эту проблему.

Сброс пароли

Если вы столкнулись с такими стуациями, как не ставила пароль, но iTunes всё равно просит. Тоже не ставил пароль когда делал резервный копии, пробовал все не мог вспомнить. Или пароль помню, ввожу его пишет не верный пароль. Одним словом забывать пароль — очень накладная проблема.

Может быть, вы первый вспомните о сбросе пароли, это тоже решение для расшировки, но сбросить пароль необходимо полностью сбросить «Контент и Настройки» на iOS- устройстве. Дело в том, что этот способ сможет стереть все данные и файлы. Вашего резервного копирования и старого бэкапа не существует.

Как узнать пароль для разблокировки резервной копии iphone

Уверены, что многие не хотили удалить свои все данные и резервные копии, теперь у нас дать возможность найти iTunes пароль без потери файлов на iPhone XS/XR/X/8/7/7Plus/6s/6/SE/5s/5.

Tenorshare 4uKey — iTunes Backup является активнее и безопаснее программой, через его вы сможете получить забываемый пароль или неверный пароль и удалить старый пароль.

• Скачать 4uKey — iTunes Backup и установить его. Запустите на вашем компьютере. Для расшифровки резервной копии, нажмите «Получить резевную копию iTunes».

Выберите бэкап вы хотите, а затем дважды щелкните, выберите тип атаки. Нажмите «Начать» и восстановить iTunes пароль.

По окончании разблокировки в всплывающем окне будет отображаться пароль. Скопируйте его и вернитесь в iTunes и выполните шаги, описанные в части 1, чтобы завершить сброс пароля iTunes.

Если вам нужно удалить этот пароль с помощью этого инструмента. Нажмите «Удалить настройки резервного копирования».

Программа обнаружит и предложит каталог ваших резервных копий. Нажмите кнопку «Начать».

В заключении хочу сказать, программа 4uKey — iTunes Backup может бесплатно загружаться, и подерживает Windows (XP, Vista, 7, 8, 8.1,10 и т.д). Он иммет 3 типы атаки, атака грубой силой, атака по маске и атака по словарю. Вы можете расшифровать пароль без почты и легко стереть потерянный пароль. А даже получить ваши резервные копии.

Обновление 2020-02-12 / Обновление для Разблокировки бэкапа iTunes

Источник

Зашифрованные резервные копии на iPhone, iPad или iPod touch

Чтобы защитить резервные копии данных iPhone, iPad или iPod touch, создаваемые с помощью компьютера, можно использовать пароль и шифрование.

Шифрование резервных копий

Проверка, зашифрованы ли резервные копии

Помощь, если вы забыли пароль

Отключение шифрования резервных копий

Шифрование резервных копий на iPhone, iPad или iPod touch

Функция «Зашифровать резервную копию» в Finder или iTunes блокирует и шифрует данные. Зашифрованные резервные копии могут включать в себя информацию, которая отсутствует в незашифрованных резервных копиях:

• сохраненные пароли;
• настройки Wi-Fi;
• история посещения веб-сайтов;

Зашифрованные резервные копии не содержат данных Face ID, Touch ID и код-пароль устройства.

По умолчанию резервные копии не шифруются. Чтобы зашифровать резервную копию в Finder или iTunes впервые, включите функцию «Зашифровать локальную копию» с защитой паролем. С этого момента все резервные копии на устройстве будут автоматически шифроваться. Можно также создавать резервные копии с помощью службы iCloud, которая каждый раз автоматически шифрует данные.

Шифрование резервных копий

1. На Mac с macOS Catalina 10.15 или более поздней версии откройте Finder. На Mac с macOS Mojave 10.14 или более ранних версий либо на компьютере с Windows откройте iTunes.
2. Подключите устройство к компьютеру с помощью кабеля USB из комплекта поставки. Затем найдите свое устройство на компьютере.
3. На вкладке «Основные» или «Обзор» в разделе «Резервные копии» установите флажок «Зашифровать локальную копию».
   
4. Когда появится соответствующий запрос, создайте пароль, который сможете запомнить, или запишите и сохраните его в надежном месте, поскольку без него вы не сможете использовать свои резервные копии. Узнайте, что делать, если вы забыли свой пароль.

После подтверждения пароля начнется резервное копирование, в процессе которого перезапишутся и зашифруются предыдущие резервные копии. По завершении процесса убедитесь, что зашифрованная резервная копия создана успешно.

1. На Mac с macOS Catalina 10.15 и более поздних версий откройте Finder, перейдите на вкладку «Основные» и нажмите кнопку «Управлять резервными копиями». Отобразится список резервных копий. На компьютере Mac с macOS Mojave 10.14 или более ранней версии или на компьютере с Windows, на котором установлено приложение iTunes, в его меню в верхней части окна выберите «Правка» > «Настройки» и перейдите на вкладку «Устройства».
2. Должен появиться рядом с именем вашего устройства, а также дата и время создания резервной копии.
   
3. Нажмите OK, чтобы закрыть окно создания резервной копии.

Проверьте, зашифрованы ли резервные копии

Если вы настроили Finder или iTunes для шифрования резервных копий, на вкладке «Основные» или «Обзор» установлен флажок «Зашифровать локальную копию».

Кроме того, можно посмотреть, зашифрована ли та или иная резервная копия.

1. На Mac с macOS Catalina 10.15 или более поздних версий откройте Finder, перейдите на вкладку «Основные» и нажмите кнопку «Управлять резервными копиями». Отобразится список резервных копий. На компьютере Mac с macOS Mojave 10.14 или более ранней версии или на компьютере с Windows, на котором установлено приложение iTunes, в его меню в верхней части окна выберите «Правка» > «Настройки» и перейдите на вкладку «Устройства».
2. Посмотрите, отображается ли рядом с резервной копией. Если отображается, значит, резервная копия зашифрована.
3. Нажмите OK, чтобы закрыть окно создания резервной копии.

Не удается вспомнить пароль для зашифрованной резервной копии

Данные из зашифрованной резервной копии нельзя восстановить без пароля. В iOS 11 или более поздней версии либо в iPadOS можно создать зашифрованную резервную копию данных устройства путем сброса пароля.

1. На своем устройстве перейдите в меню «Настройки» > «Общие» > «Перенос или сброс [устройства]» > «Сброс».
2. Коснитесь «Сбросить настройки сети» и введите пароль устройства.
3. Следуйте инструкциям по сбросу настроек. Это не затронет ваши данные и пароли, но приведет к сбросу таких настроек, как уровень яркости дисплея, позиции приложений на экране «Домой» и обои. Пароль для шифрования резервных копий также будет удален.
4. Снова подключите устройство к Finder или iTunes и создайте зашифрованную резервную копию, выполнив описанные выше действия.

Вы не сможете использовать ранее созданные зашифрованные резервные копии, но сможете создать резервную копию текущих данных и установить новый пароль для шифрования резервных копий с помощью Finder или iTunes.

На устройстве с iOS 10 или более ранней версии сброс пароля невозможен. В этом случае попробуйте выполнить следующие действия.

• Если ваше устройство настраивал кто-либо другой, узнайте пароль у него.
• Для этого воспользуйтесь резервной копией iCloud. Если у вас нет резервной копии в iCloud, ее можно создать.
• Попробуйте воспользоваться более ранней резервной копией в iTunes.

Отключение шифрования резервных копий

Чтобы отключить шифрование резервных копий, снимите флажок «Зашифровать локальную копию» в Finder или iTunes и введите пароль. Если вы не помните пароль, есть два варианта действий.

Источник