《iOS取证实战:调查、分析与移动安全》一3.6 iPhone操作系统

3.6 iPhone操作系统

iOS是专门为iPhone开发的操作系统,但现在它也用在其他的Apple设备上,包括iPad、iPod Touch和Apple TV。尽管iOS是专门为移动设备而开发的,但是iOS和Mac OS X系统拥有许多相似之处(Apple Developer, 2010)。
Apple的开发者站点中有一个iOS开发中心专区。正如第1章中提到的一样,iOS软件开发套件(SDK)包括了在iOS环境中开发和测试移动应用的工具。这些Xcode工具也允许开发者在iOS模拟器中测试自己的代码,来进一步保证应用程序功能的正确性。
iOS分层
iOS内核和Mac OS X内核是松耦合的,iOS内核包含几个用于运行相关应用程序的层级。这些层级包括OS核心层、服务核心层、媒体、Cocoa触摸和应用层。下面对iOS架构层的描述(Apple Developer, 2010):
OS核心层:该层直接作用于设备硬件并提供包括底层网络、外部配件通道和内存管理/文件系统管理的服务。“Common Crypto”就存储在此层的动态库之一,它用于协助创建和管理证书,并由Keychain Services(在服务核心层)调用,为Keychain文件提供加密/解密功能。
服务核心:和OS核心层邻接,这层提供所有应用都可以使用的基础系统服务。为了允许文件访问和支持底层数据类型,它包含一些基础内部接口(大部分基于C语言)。这些接口包括,诸如Core Foundation、CFNetwork、SQLite等功能。此层还存在安全服务,其中包括Keychain Services,此服务用于在设备的Keychain数据库中执行数据存储和加密。
媒体:媒体层包含了图形、音频和视频技术。
Cocoa触摸:Cocoa触摸层包括为应用提供需要的虚接口架构的技术。这里,大多数技术使用的是Objective-C。

时间: 2023-01-09

《iOS取证实战:调查、分析与移动安全》一3.6 iPhone操作系统的相关文章

《iOS取证实战:调查、分析与移动安全》一1.3 取证审查方法

1.3 取证审查方法 与任何取证研究一样,这里提供几种方法用于信息获取和分析.无论用任何方式进行信息获取都不能修改源信息,这是信息获取的关键,也可以说是最重要的一点.如果在一些实时系统或移动设备上获取信息时无法避免要修改源信息,那么分析者必须说明修改的细节以及必须作此修改的原因.移动领域取证与传统的计算机取证不一样,传统的计算机取证,你可以拆下硬盘,连上数据恢复工具write blocker,然后映像数据,最后就可以对这些数据进行分析了.而在移动领域就没有这么简单了,由NAND的特性和主存储器结

《iOS取证实战:调查、分析与移动安全》一2.5 与iTunes的交互

2.5 与iTunes的交互 用户可通过iTunes提供的各种功能来管理iPhone设备上的文件.应用程序.软件版本等.下面将讨论iTunes的主要特性. 2.5.1 设备同步 当iPhone连接到iTunes后,用户可启动iTunes软件与设备进行同步.根据用户的设置,这个过程将存储在iTunes上的所有应用程序.音乐.视频和图片等加载到设备上.在同步过程中,iTunes上的数据是优先的,设备上任何与iTunes不同的数据都会被删除.用户可以设置iTunes在每次设备连接时自动同步,或者设置必

《iOS取证实战:调查、分析与移动安全》一导读

前 言 本书适用于对iPhone和其他iOS设备感兴趣的读者,尤其适合那些对设备中能恢复的存储数据类型感兴趣的读者阅读.移动取证的需求随着智能手机的发布在惊人地增长.随着手机的应用不再局限于通话功能,使得通过手机进行的交流互动逐渐被数据化了.当用户用iOS设备发送短信.查收个人或工作邮件.上网.管理财务,甚至照相和摄影时,他们并没有意识到,这些数据正在被存储到他们的设备上.当删除一条信息时,他们会认为这些数据永远消失了.但事实上并非如此,本书不仅解释为什么这些被删除的数据能够恢复,还向取证审查者

《iOS取证实战:调查、分析与移动安全》一3.4 数据存储方式

3.4 数据存储方式 iPhone上的数据以很多方式进行存储.下面的小节涵盖了每一个数据存储的形式以供审查者了解潜在的证据如何定位或恢复. 内部存储: SQLite 数据库文件: 属性列表: 网络: 其他. 3.4.1 内部存储 大多数的码分多址(CDMA)设备都有SD卡插槽,但是iPhone不一样,它没有任何形式的外部存储器(除了SIM卡之外).iPhone中所有的数据都存储在内部NAND闪存中.本章后面的3.7.3节中提到的slice 2(或者称为rdisk0s2)存储了这些用户数据文件,设

《iOS取证实战:调查、分析与移动安全》一3.5 存储器类型

3.5 存储器类型 iPhone设备有两种主要的存储器类型,易失性存储器(RAM)和非易失性存储器(NAND闪存).这两种存储器各自提供了对设备数据的不同处理方法. 3.5.1 RAM RAM用于系统加载.执行,以及处理操作系统.应用程序和数据的关键部分,它的数据在重启后不保存.类似于传统计算机,RAM可包含应用程序处理数据的重要信息.例如: 密码 加密密钥 用户名 应用程序数据 系统进程和服务数据在审查调查中,获取设备RAM中存储的数据的能力是非常重要的.然而,更重要的一点是,我们必须在设备关

《iOS取证实战:调查、分析与移动安全》一2.6 小结

2.6 小结 为了能对iPhone进行取证检查,了解设备上的各个选项是非常必要的.本章涵盖了各种iOS设备和它们的一些通用特性.在进行取证分析之前,大量和安全相关的功能都需要加以考虑.如果设备支持数据保护并设置了密码,部分或所有数据可能会被加密.本章还详细讨论了iPhone和iTunes的交互.iTunes软件在决定iPhone加载数据上扮演了重要的角色.此外,在设备同步时,也能获得设备的备份,这就给审查者提供了另外一种获得数据的方法.除此之外,通过iTunes还能进行固件升级.降级和还原.上述

《iOS取证实战:调查、分析与移动安全》一3.3 数据存储位置

3.3 数据存储位置 iPhone拥有标准的文件目录结构,在其中存储着各种文件(参考附件C,展示了从iPhone中恢复的文件夹和文件的全列表).iPhone硬件没有外置存储插槽,因此它所有的数据都存储在设备内部(与之对应的是,其他设备拥有外置SD卡或仿真SD卡设备).为了显示iPhone的目录层级,我们使用第5章中提及的技术,通过Wi-Fi远程接入一个已越狱的iPhone.在一台Macintosh电脑上通过SSH连接到iPhone,以查看其文件系统进行研究分析.登录设备后可以通过"1s"

《iOS取证实战:调查、分析与移动安全》一第2章 设备特性和功能2.1 介绍

第2章 设备特性和功能 2.1 介绍 了解设备的内部工作机制对移动设备取证审查来说是很重要的.因为各种Apple设备都能存储个人隐私数据.而且最重要的是,每个型号都有独特的特性,在研究设备数据之前先了解这些特性是很必要的.在iPhone的研究中,关注可运行iOS系统的设备,及其设置和选项是一个关键课题.iPhone或iPad上设置的参数可影响到数据提取的方式.我们不但要了解物理设备,还要了解iTunes在iPhone调查中扮演的重要的角色.本章内容涵盖了iOS设备的功能,以及这些设备如何通过与i

《iOS取证实战:调查、分析与移动安全》一2.2 Apple设备概述

2.2 Apple设备概述 虽然本书主要关注iPhone和与之结合的取证技术,但需要注意,大多数取证方法也是能够被应用到其他Apple设备上的.基于此原因,以下部分会对一些比较常见的iOS设备做简要概述. 2010年4月,Apple发布了它的平板电脑版本iPad,以提供音频和视频功能为主,最初发布的iPad运行的iOS版本是3.2.2.2010年11月,发布了操作系统的4.2.1版本.类似于iPhone,iPad也提供触摸屏功能以及许多相同的应用.iPad上的应用程序可通过同样的方式从iTune