如何實(shí)現(xiàn)訪問(wèn)iCloud的安全性問(wèn)題的深入探討

這期內(nèi)容當(dāng)中小編將會(huì)給大家?guī)?lái)有關(guān)如何實(shí)現(xiàn)訪問(wèn)iCloud的安全性問(wèn)題的深入探討，文章內(nèi)容豐富且以專業(yè)的角度為大家分析和敘述，閱讀完這篇文章希望大家可以有所收獲。

在iOS取證中，當(dāng)無(wú)法進(jìn)行物理采集時(shí)，云提取將會(huì)是一種可行的替代方案。在即將發(fā)布的iOS 13版中增添了額外的安全措施，這無(wú)疑將使物理訪問(wèn)變得更加困難。雖然我們可以下載iCloud備份，但需要提供用戶登錄名和密碼以及雙因素身份驗(yàn)證這對(duì)我們來(lái)說(shuō)始終是一個(gè)障礙。

令牌不能再用于訪問(wèn)iCloud備份。令牌不能用于訪問(wèn)密碼（icloud keychain）、屏幕時(shí)間、運(yùn)行狀況和消息。在去年的某個(gè)時(shí)候，蘋果將認(rèn)證令牌固定到了一臺(tái)特定的計(jì)算機(jī)上，使得它們僅能從創(chuàng)建它們的PC或Mac上使用。為此，我們花了一年多的時(shí)間才找到解決方案，以允許從用戶的計(jì)算機(jī)上傳輸身份驗(yàn)證令牌。 時(shí)至今日，這種方法也僅在用戶擁有macOS計(jì)算機(jī)時(shí)才有效。有了這些限制，身份驗(yàn)證令牌是否仍然可用？使用身份驗(yàn)證令牌，你可以從用戶的iCloud帳戶獲得什么？使用登錄名和密碼可以訪問(wèn)到什么？雙因素身份驗(yàn)證對(duì)iCloud帳戶的影響，以及為什么知道鎖屏密碼（或Mac系統(tǒng)密碼）會(huì)有所幫助？這些問(wèn)題你將在下面找到答案。

iCloud 安全

蘋果沒(méi)有存儲(chǔ)其用戶數(shù)據(jù)的服務(wù)器（或更確切地說(shuō)是服務(wù)）。iCloud備份，照片，消息甚至密碼都被保存在了亞馬遜，微軟，谷歌，AT&T等第三方服務(wù)器上。但是，這并不意味著亞馬遜，谷歌等可以隨時(shí)訪問(wèn)任何這些數(shù)據(jù)。讓我們來(lái)看看蘋果是如何保護(hù)iCloud數(shù)據(jù)免受物理威脅的，我們以iCloud備份為例。

用戶的iCloud備份被分成多個(gè)塊，每個(gè)單獨(dú)的塊被上傳到（以看似隨機(jī)的順序）一個(gè)或多個(gè)服務(wù)器。每個(gè)塊都使用唯一單獨(dú)加密密鑰進(jìn)行加密。沒(méi)有這些密鑰，即使以正確的順序組裝拼湊，塊仍將是加密二進(jìn)制數(shù)據(jù)塊。

而密鑰則始終被存儲(chǔ)在Cupertino數(shù)據(jù)中心的蘋果自己的服務(wù)器上。它們永遠(yuǎn)不會(huì)被傳遞給蘋果的合作伙伴，承包商或中國(guó)政府（除非提出法律需求）。

從這種保護(hù)方案來(lái)看，我們可以得知：

1.蘋果擁有對(duì)加密信息的完全訪問(wèn)權(quán)，因?yàn)槠渫瑫r(shí)擁有數(shù)據(jù)和加密密鑰。

2.蘋果可以解密數(shù)據(jù)并將其傳送給執(zhí)法部門。

3.具有適當(dāng)身份驗(yàn)證憑據(jù)的人可以訪問(wèn)數(shù)據(jù)和加密密鑰，從而檢索和解密備份。

iCloud 備份安全

說(shuō)到iCloud備份，重要的是要了解雖然備份的大部分都可以使用憑據(jù)進(jìn)行解密，但iCloud備份的某些內(nèi)容將使用高度安全的基于硬件的加密密鑰進(jìn)行額外的加密。加密發(fā)生在iOS設(shè)備內(nèi)部（在iPhone或iPad本身）; 所有這些數(shù)據(jù)都沒(méi)有脫離設(shè)備，或者已任何未加密的形式保存。因此，只能將此類內(nèi)容還原到備份該內(nèi)容的同一硬件設(shè)備上。在iOS 12和iOS 13（測(cè)試版）中，此內(nèi)容包括：

keychain。用戶的Safari和第三方應(yīng)用密碼在iCloud備份中仍然受到安全保護(hù)（請(qǐng)記住，我們只討論iCloud備份中的keychain存儲(chǔ)；更多的是關(guān)于cloud keychain保護(hù)和后續(xù)提取）。keychain只能在生成備份的設(shè)備上解密。如果沒(méi)有原始設(shè)備，蘋果和執(zhí)法部門都無(wú)法訪問(wèn)這部分iCloud備份。

以下數(shù)據(jù)永遠(yuǎn)不會(huì)被包含在iCloud備份中：

Health data

Home data

此外，如果用戶為該數(shù)據(jù)類別啟用iCloud同步，則會(huì)從iCloud備份中明確排除某些項(xiàng)目。這些項(xiàng)目包括：

iCloud Photos

Messages (SMS 和 iMessages)

iOS 13還排除了以下兩個(gè)數(shù)據(jù)類別（最新）：

Call logs

Safari history

iCloud 備份和令牌

在我們2014年發(fā)表的那篇“進(jìn)入Cloud：無(wú)需密碼”一文中，我們討論了使用身份驗(yàn)證令牌來(lái)訪問(wèn)iCloud備份?，F(xiàn)在，這已經(jīng)不可能了。

iCloud身份驗(yàn)證令牌不能用于訪問(wèn)iCloud備份。

同步數(shù)據(jù)

自2011年iCloud備份出現(xiàn)以來(lái)，蘋果公司正逐漸將一些數(shù)據(jù)內(nèi)容從備份中轉(zhuǎn)移出去。iCloud Photo Library的推出使照片通過(guò)iCloud中的專用服務(wù)在設(shè)備間同步。一旦用戶啟用了他們的iCloud Photo Library，圖片將不再被保存到iCloud備份中。同樣，一旦用戶啟用了iCloud Messages（需要iOS 11.4及更高版本），消息也將不再被保存在iCloud備份中，而是通過(guò)用戶的iCloud帳戶進(jìn)行同步。iOS 13將停止在iCloud備份中包含Call Logs和Safari歷史記錄；這兩個(gè)類別將僅作為同步數(shù)據(jù)提供。

身份驗(yàn)證令牌適用于提取同步數(shù)據(jù)（受保護(hù)類別除外）。以下總結(jié)了iCloud中同步信息的保護(hù)：

要訪問(wèn)同步的iCloud數(shù)據(jù)，只需要用戶的Apple ID，密碼和2FA碼。

你還可以使用身份驗(yàn)證令牌來(lái)訪問(wèn)已同步的數(shù)據(jù)。

Apple具有訪問(wèn)iCloud中同步數(shù)據(jù)的技術(shù)能力。

在政府請(qǐng)求時(shí)同步數(shù)據(jù)將被提供。

在GDPR請(qǐng)求時(shí)同步數(shù)據(jù)將被提供。

最后，第三方應(yīng)用程序（如ElcomSoft Phone Breaker）可以提取同步的iCloud數(shù)據(jù)。

一些 iCloud 數(shù)據(jù)使用密碼加密

某些數(shù)據(jù)類別會(huì)受到不同的處理。

如果你知道使用相同Apple ID注冊(cè)的設(shè)備的鎖屏密碼（或Mac系統(tǒng)密碼），則只能解密以下數(shù)據(jù)類型：

iCloud Keychain。keychain包含包含來(lái)自Safari瀏覽器和第三方應(yīng)用程序的用戶同步登錄名和密碼以及一些身份驗(yàn)證令牌。最重要的是，iCloud Keychain還存儲(chǔ)保護(hù)其他加密數(shù)據(jù)類型的加密密鑰（例如，如果不首先解密icloud keychain，則無(wú)法解密消息）。

iCloud中的消息。包括SMS和iMessages。

自iOS 12起，Health數(shù)據(jù)。與iOS 11相比，iOS 12中同步健康數(shù)據(jù)的保護(hù)有所改變。

要訪問(wèn)這些受保護(hù)的數(shù)據(jù)類別，你將需要滿足以下條件：

用戶的Apple ID和密碼

一次性2FA碼（沒(méi)有2FA的任何類別都不會(huì)有iCloud同步）

已在iCloud Keychain中注冊(cè)設(shè)備的密碼或系統(tǒng)密碼

訪問(wèn)限制如下：

身份驗(yàn)證令牌不能用于訪問(wèn)任何這些類型的數(shù)據(jù)。

普通用戶在使用iCloud同步Keychain，Health或Messages時(shí)不會(huì)遇到任何問(wèn)題。在初始化新iPhone以接收同步數(shù)據(jù)時(shí)，他們只需要向他們的舊iPhone（或任何啟用了iCloud Keychain的設(shè)備，包括Mac計(jì)算機(jī)）提供他們的鎖屏密碼即可。

Apple無(wú)權(quán)訪問(wèn)已同步的密碼，消息或健康數(shù)據(jù)。即使數(shù)據(jù)存儲(chǔ)在Apple服務(wù)器上，Apple也無(wú)法對(duì)其進(jìn)行解密。

在政府或GDPR提出請(qǐng)求時(shí)，Apple不會(huì)提供屬于受保護(hù)類別的任何數(shù)據(jù)（有一個(gè)例外）。

如果知道設(shè)備密碼/系統(tǒng)密碼（Elcomsoft Phone Breaker），使用第三方應(yīng)用程序提取仍然受限。

例外：在 iOS 11 和 iOS 12 中保護(hù)和提取健康數(shù)據(jù)

從iOS 11開始，Apple實(shí)現(xiàn)了與iCloud的健康數(shù)據(jù)同步。在iOS 11中，除CDA記錄之外的所有類型的數(shù)據(jù)，都將以與其他類型的同步數(shù)據(jù)（如圖片或聯(lián)系人）完全相同的方式與iCloud同步。對(duì)活動(dòng)，睡眠，營(yíng)養(yǎng)，mindfulness（正念）和類似類型的數(shù)據(jù)沒(méi)有額外的保護(hù)。

在 iCloud 中保護(hù)健康數(shù)據(jù)：iOS 1

要訪問(wèn)同步的健康數(shù)據(jù)，只需要用戶的Apple ID，密碼和2FA碼。

Apple具有訪問(wèn)iCloud中的健康數(shù)據(jù)的技術(shù)能力。

在政府請(qǐng)求時(shí)提供健康數(shù)據(jù)。

在GDPR請(qǐng)求時(shí)提供健康數(shù)據(jù)。

最后，第三方應(yīng)用程序，如Elcomsoft Phone Breaker可以提取健康數(shù)據(jù)。

在 iCloud 中保護(hù)健康數(shù)據(jù)：iOS 12 和 13 

iOS 12實(shí)現(xiàn)了另一種保護(hù)iCloud中健康數(shù)據(jù)的方法，即采用存儲(chǔ)在iCloud Keychain中的密鑰進(jìn)行安全加密。與iOS 11相比，實(shí)際數(shù)據(jù)現(xiàn)在存儲(chǔ)在不同的（加密）容器中。有趣的是，在用戶將最后一個(gè)設(shè)備更新到iOS 12之后，舊的（未加密的）容器可以保持一段時(shí)間可用。

加密密鑰使用已參與運(yùn)行狀況同步的設(shè)備的用戶密碼（鎖屏密碼或系統(tǒng)密碼）進(jìn)行保護(hù)。這確保了蘋果無(wú)法訪問(wèn)存儲(chǔ)在云中的健康數(shù)據(jù)（或者iCloud Keychain，如果這很重要的話）。我們認(rèn)為這種保護(hù)機(jī)制可以提供足夠的安全性。

要通過(guò)運(yùn)行iOS 12及更高版本的設(shè)備訪問(wèn)與iCloud同步的健康數(shù)據(jù)，需要滿足以下條件：

用戶的Apple ID和密碼

一次性2FA碼（沒(méi)有2FA的任何類別都不會(huì)有iCloud同步）

已在Health iCloud同步中注冊(cè)設(shè)備的密碼或系統(tǒng)密碼

訪問(wèn)限制如下：

初始化新iPhone時(shí)，用戶需要提供舊iPhone（或任何啟用了iCloud Keychain的設(shè)備，包括Mac計(jì)算機(jī)）的鎖屏密碼，以接收同步的健康數(shù)據(jù)。

Apple無(wú)權(quán)訪問(wèn)同步的健康數(shù)據(jù)。即使數(shù)據(jù)存儲(chǔ)在Apple服務(wù)器上，Apple也無(wú)法對(duì)其進(jìn)行解密。

Apple在政府或GDPR提出請(qǐng)求時(shí)也不會(huì)提供健康數(shù)據(jù)。

使用第三方應(yīng)用程序進(jìn)行提取仍受限制（Elcomsoft Phone Breaker）。

雙因素身份驗(yàn)證：優(yōu)勢(shì)

如果用戶在其帳戶上啟用了雙因素身份驗(yàn)證，則會(huì)獲得一系列無(wú)法在沒(méi)有2FA的帳戶中使用的功能。他們只需使用密碼就可以立即從iPhone上重置他們的Apple ID密碼。他們可以在不知道iCloud密碼的情況下禁用“查找我的iPhone”功能。此外，取證專家還發(fā)現(xiàn)了一些其他非常有用的功能。只有具有雙因素身份驗(yàn)證的帳戶才能執(zhí)行以下操作：

通過(guò)iCloud同步密碼（iCloud Keychain）

同步消息（SMS和iMessages）

同步健康數(shù)據(jù)

同步屏幕時(shí)間數(shù)據(jù)（包括從屬帳戶的屏幕時(shí)間數(shù)據(jù)）

在某種程度上，雙因素身份驗(yàn)證對(duì)于執(zhí)法來(lái)說(shuō)是一種福氣，因?yàn)榕c未受保護(hù)的帳戶相比，具有2FA的帳戶通過(guò)iCloud同步更多信息。

你可以使用身份驗(yàn)證令牌完全跳過(guò)2FA提示。這就是我們受到限制的地方。

令牌和雙因素身份驗(yàn)證：限制

當(dāng)我們最初研究iCloud身份驗(yàn)證令牌時(shí)，我們可以使用它們從云端獲取幾乎所有內(nèi)容，包括備份。而如今，Apple限制了使用身份驗(yàn)證令牌。你無(wú)法再使用身份驗(yàn)證令牌來(lái)訪問(wèn)使用雙因素身份驗(yàn)證帳戶的iCloud備份。雖然你仍然可以使用令牌從非2FA帳戶下載iCloud備份，但這些令牌的生命周期僅限于創(chuàng)建令牌后的一小時(shí)內(nèi)。

無(wú)論雙因素身份驗(yàn)證狀態(tài)如何，你仍然可以使用身份驗(yàn)證令牌（沒(méi)有明顯的時(shí)間限制）來(lái)訪問(wèn)以下類別的同步數(shù)據(jù)：

多個(gè)類別的同步數(shù)據(jù)，包括聯(lián)系人、日歷和備忘錄

Safari瀏覽歷史記錄和打開的選項(xiàng)卡

錢包

通訊記錄

iCloud照片

來(lái)自iCloud Drive的文件，包括許多第三方應(yīng)用程序容器（1Password、WhatsApp、Viber等）

FileVailt2加密驅(qū)動(dòng)的恢復(fù)令牌

云郵件

啟用雙因素身份驗(yàn)證：

無(wú)法使用令牌訪問(wèn)iCloud備份

未啟用雙因素身份驗(yàn)證：

可以使用令牌訪問(wèn)iCloud備份，但僅在創(chuàng)建令牌后的1小時(shí)內(nèi)

以下類別對(duì)身份驗(yàn)證令牌是不可訪問(wèn)的：

密碼（iCloud Keychain）

健康

屏幕時(shí)間

消息（SMS和iMessage），如果啟用了iCloud中的消息*

*如果未啟用iCloud中的消息，則消息將被存儲(chǔ)在iCloud備份中。

Windows vs. macOS

雖然Apple為Windows和Mac用戶提供相應(yīng)版本的iCloud軟件，但在這些平臺(tái)上創(chuàng)建的身份驗(yàn)證令牌卻不同。

在Windows計(jì)算機(jī)上，令牌被深埋在文件系統(tǒng)中。它還使用用戶憑據(jù)加密，因此你必須能夠登錄到用戶的帳戶（或至少知道他們的登錄名和密碼）才能解密令牌。ElcomSoft Phone Breaker可以自動(dòng)完成這一過(guò)程；只需啟動(dòng)該工具，摁幾個(gè)按鈕，令牌就會(huì)被保存到一個(gè)文本（XML）文件中，并隨時(shí)可與EPB一起使用。

就這么簡(jiǎn)單嗎？雖然你可以從Windows計(jì)算機(jī)中提取令牌并將其解密與EPB一起使用，以訪問(wèn)iCloud中的選定數(shù)據(jù)類別（有關(guān)詳細(xì)信息，請(qǐng)參閱“限制”部分），但你只能在創(chuàng)建令牌的同一臺(tái)計(jì)算機(jī)上執(zhí)行所有這些操作。你甚至無(wú)法從用戶磁盤映像創(chuàng)建的虛擬機(jī)中使用它；它必須是創(chuàng)建令牌的物理計(jì)算機(jī)才行。

如果用戶擁有Mac，除了受限的令牌外，你還可以提取一個(gè)完整的，不受限制的令牌。在其受控的生態(tài)系統(tǒng)中，Apple能夠?qū)嵤└鼜?qiáng)大的保護(hù)（為2FA帳戶使用令牌固定）。我們能夠在Elcomsoft Phone Breaker中繞過(guò)這種保護(hù)，允許您提取，傳輸和使用這些完整的身份驗(yàn)證令牌。完整令牌可以在任何計(jì)算機(jī)，Windows或Mac上使用；你只需安裝了最新版本的Elcomsoft Phone Breaker即可。

提取和使用身份驗(yàn)證令牌

提取身份驗(yàn)證令牌有以下幾種支持的方案。

Windows計(jì)算機(jī)，從當(dāng)前登錄的帳戶中提取受限令牌；

Windows計(jì)算機(jī)，從其他帳戶中提取受限令牌；

macOS計(jì)算機(jī)，從當(dāng)前用戶中提取受限和不受限令牌（需要keychain password）；

macOS計(jì)算機(jī)，從keychain數(shù)據(jù)庫(kù)中提取受限和不受限令牌（需要keychain password）；

iOS設(shè)備，從密碼保護(hù)備份或物理獲取keychain。

Windows，當(dāng)前用戶

你需要：Elcomsoft Phone Breaker（Forensic Edition）。必須以你要提取其令牌的用戶身份登錄。

從命令行啟動(dòng)atex.exe。該工具將自動(dòng)提取身份驗(yàn)證令牌。你剛剛已提取了固定在當(dāng)前計(jì)算機(jī)的受限令牌（保存到文本文件中）。請(qǐng)注意，你只能在從中提取令牌的計(jì)算機(jī)上使用提取的令牌。

Windows，其他用戶

你需要：Elcomsoft Phone Breaker（Forensic Edition）。必須以你要提取其令牌的用戶身份登錄。

您將使用主GUI從其他用戶的帳戶中提取令牌。有關(guān)詳細(xì)信息，請(qǐng)參閱用戶手冊(cè)

macOS，當(dāng)前用戶

你需要：Elcomsoft Phone Breaker（Forensic Edition）。必須以你要提取其令牌的用戶身份登錄。必須要知道keychain password（通常但不總是與帳戶密碼相同）。注意：同時(shí)提取完整和受限令牌。

或者，使用macOS Keychain實(shí)用程序來(lái)提取令牌。

macOS，其他用戶

你需要：Elcomsoft Phone Breaker（Forensic Edition）。從你將要獲取令牌的用戶提取keychain數(shù)據(jù)庫(kù)。必須要知道keychain password。

iOS 設(shè)備

你需要：Elcomsoft Phone Breaker（Forensic Edition）。解密的keychain數(shù)據(jù)庫(kù)（物理采集）或受密碼保護(hù)的備份（必須要知道密碼）。

使用Elcomsoft Phone Breaker手動(dòng)檢查keychain。

使用身份驗(yàn)證令牌

你需要：Elcomsoft Phone Breaker（Forensic Edition）。

macOS：如果從macOS中提取完整（不受限的）令牌，則可以復(fù)制該文件并在任何計(jì)算機(jī)，Windows或Mac上使用它。

Windows：受限令牌只能用于從提取它們的同一臺(tái)計(jì)算機(jī)進(jìn)行身份驗(yàn)證。

受限令牌：

發(fā)現(xiàn)身份驗(yàn)證憑據(jù)

由于身份驗(yàn)證令牌具有限制性，因此在使用登錄名和密碼（以及對(duì)具有2FA的帳戶進(jìn)行輔助身份驗(yàn)證）時(shí)，從iCloud提取數(shù)據(jù)成功的可能性更大。可以嘗試以下方法獲取用戶的身份驗(yàn)證憑據(jù)：

Windows：使用Elcomsoft Internet Password Breaker從用戶的Web瀏覽器中提取存儲(chǔ)的密碼。這些通?？梢栽凇癮pple.com”，“icloud.com”或“appleid.apple.com”的記錄中找到。

macOS：使用Elcomsoft Password Digger提取和分析macOS keychain。登錄名和密碼可以存儲(chǔ)在包含關(guān)鍵字“apple”或“icloud”的記錄中。

iOS：如果你能夠從iOS設(shè)備中提取keychain（通過(guò)使用Elcomsoft iOS Forensic Toolkit進(jìn)行邏輯或物理采集），則可以使用Elcomsoft Phone Breaker來(lái)分析 keychain。注意：用戶的Apple TV也可能包含這些密碼，因此分析它可能是一個(gè)不錯(cuò)的選擇。

注意，你仍然必須通過(guò)雙因素身份驗(yàn)證才能夠訪問(wèn)受2FA保護(hù)的帳戶。

iCloud身份驗(yàn)證令牌不再像過(guò)去一年前那樣易于使用。令牌的加密和保護(hù)與訪問(wèn)限制相結(jié)合，使得認(rèn)證令牌對(duì)于訪問(wèn)選定類型的同步數(shù)據(jù)非常有用。最有趣的證據(jù)類型，如iCloud備份，保存的密碼，運(yùn)行狀況和消息都將無(wú)法使用令牌進(jìn)行訪問(wèn)。

上述就是小編為大家分享的如何實(shí)現(xiàn)訪問(wèn)iCloud的安全性問(wèn)題的深入探討了，如果剛好有類似的疑惑，不妨參照上述分析進(jìn)行理解。如果想知道更多相關(guān)知識(shí)，歡迎關(guān)注億速云行業(yè)資訊頻道。