iOS取证新动向：iOS 17新功能

加密快速镜像仍是一个必要的取证方式，备份加密功能会锁定一些人工痕迹。那么，加密备份与不加密备份相比，你会获取到哪些数据呢？

• 通话记录

• Safari历史记录 *

• Safari浏览器的最后会话

• Safari标签数据

• InteractionC钥匙串

• Apple健康数据

• 私人Wi-Fi配置文件

Safari历史记录则需要 "看情况"，因为截至本文撰写之时，任何Safari "配置文件"历史数据都可以在未加密的备份中使用。说到这里，让我们来谈谈 iOS 17的功能有哪些变化。

在深入了解最新版iOS带来的新功能之前，我们先来谈谈“房间里的大象”。好消息！初步测试和审查显示，AXIOM解析的标准痕迹已经可以与iOS 17镜像一起使用。诸如 iMessage/SMS/MMS、通话记录、通讯录、备注等基本工具的更改很少。

但很少并不意味着没有。例如，在sms.db中，我们有了恢复音频信息的新方法！通过 iMessage发送的音频信息会在播放两分钟后自爆，很难被恢复。输入Apple为这些语音文件添加的新音频信息转录。

然而，Safari让事情开始变得有趣起来。新操作系统宣布的Safari加入了 "配置文件"，用于细分用户在设备上的浏览历史。这样，用户就可以将自己的工作和私人信息分开，甚至可以将自己的信息归类到一个特定的配置文件中，用于学校作业或副业。它是在上一版 iOS发布的标签组功能基础上发展而来的。

苹果公司尚未完全明确数据是如何分割的，用户的实际浏览器历史记录被分割到每个独立的配置文件中。在基本配置文件或默认配置文件下所做的任何操作仍存储在History.db文件中的相同位置。其他配置文件在Profiles文件夹中也有自己的History.db文件。这些文件不在标准的Library/Safari 路径下，而是在应用程序目录下。

对于取证人员来说，好消息是一些软件已经在解析这些额外的History.db文件，以恢复所有配置的历史记录。

在撰写本文时，这确实是唯一被分割的数据。其余的Safari数据，包括会话、标签，甚至是私有选项卡，都混杂在主Library/Safari目录中。无论是否使用生物识别/密码锁来隐藏"私人浏览"，只要标签页仍处于打开（或可解析）状态，私人浏览数据仍可恢复。

所有书签都存储在同一个数据库中，用户可以选择对它们进行分割，但这只限于他们可以选择的文件夹。用户仍然可以将它们存储在任意书签文件夹中。

需要考虑的一点是，Safari plist文件中存储的"最近搜索条件"只会跟踪在基本配置文件下进行的搜索。

iOS 17添加的另一项功能是在语音留言可视化，将语音留言显示在锁屏上。这既适用于常规通话，也适用于FaceTime，这也是第一次可以为FaceTime留下语音邮件。

目前，这些文本录音似乎无法在备份式镜像中找到，但我们会在解锁文件系统访问权限后继续深入查找。语音信箱问候语会取代标准的运营商问候语（或允许你使用自定义预设），听起来像Siri的声音。

说到FaceTime，iOS 17为用户提供了将音频和视频录音作为语音邮件的功能。音频语音邮件将在与普通通话语音邮件相同的区域内明显可见，但FaceTime视频语音邮件将位于不同的区域。遗憾的是，这些文件似乎都无法在备份式镜像中找到。

苹果公司新增了一项新功能"NameDrop"，可以让你与身边的人快速共享通讯录。要使用该功能，需要解锁两部设备，并将设备顶部合在一起。在视觉效果和震动之后，您创建的联系人海报就会出现在您的手机上，并允许您与另一台设备交换。

现在，虽然这可能不是与取证最相关的功能，但它引入了苹果公司似乎称之为"boop"的服务。这个"boop"允许用户传输的不仅仅是他们的联系人信息。现在，只要把两部手机的顶端放在一起，就可以通过AirDrop与非联系人传输文件。

在我们继续解锁文件系统提取的访问权限时，仍有一些功能需要测试。消息收到了位置共享的升级，选择在旧的“发送位置”上共享实时位置，该位置只会删除包含纬度/经度的苹果地图URL的vCard文件。添加了额外的安全功能，包括“签到”功能，可用于在特定时间与受信任的联系人共享您的位置。 

在位置方面，iOS 17增加了与个人共享AirTags的能力，作为AirTags的爱好者和狂热用户，我们迫不及待地想亲自深入了解这些功能。由于苹果努力保护着他们的位置数据，我们需要一定时间去探索所有这些新细节。

苹果没有最开始向我们提供其所有功能。根据苹果网站，仍然有几个非常相关的取证功能预计将于今年晚些时候发布。这些功能将在发布时继续进行检查，包括从附近开始并通过iCloud、Journal应用程序和文件应用程序的增强功能完成的AirDrops。