iCloud Forensics

Définition

La forensique iCloud est l'analyse des données stockées dans le service cloud d'Apple pour extraire des preuves dans le cadre d'une investigation forensique. iCloud synchronise automatiquement de nombreuses catégories de données depuis les appareils Apple (iPhone, iPad, Mac) : photos, contacts, calendriers, notes, messages iMessage/SMS, sauvegardes d'appareils, mots de passe Keychain, données d'applications, et fichiers iCloud Drive. Du point de vue de l'accès légal, les données iCloud sont accessibles par deux voies principales. Via les identifiants Apple ID et mot de passe (avec consentement de l'utilisateur ou via un warrant légal), l'investigateur peut accéder directement aux données cloud. Via une réquisition légale auprès d'Apple (Law Enforcement Request), Apple peut fournir les données stockées dans iCloud selon ses politiques documentées dans les Legal Process Guidelines. Apple publie des statistiques biannuelles sur les demandes gouvernementales reçues. Les sauvegardes iCloud (iCloud Backup) sont particulièrement précieuses : elles contiennent une copie complète de l'iPhone incluant tous les SMS, iMessages, photos, contacts, journaux d'appels, données d'applications, et paramètres. Contrairement aux sauvegardes iTunes locales, les sauvegardes iCloud sont chiffrées de bout en bout depuis iOS 16 (Advanced Data Protection), rendant leur accès beaucoup plus difficile même avec un mandat légal. Les outils forensiques commerciaux (Cellebrite UFED Cloud, Oxygen Forensic Cloud Extractor, MSAB XRY Cloud) permettent l'acquisition des données iCloud en utilisant les tokens d'authentification Apple (récupérables depuis un appareil synchronisé), contournant partiellement le problème du chiffrement E2E pour certaines catégories de données. La saisie d'un appareil Apple en cours d'exécution et déverrouillé (avant qu'il ne se verrouille) maximise les données accessibles via les outils forensiques. Forensiquement, les métadonnées iCloud (qui a accédé à quoi, quand, depuis quelle IP) sont parfois plus précieuses que les contenus eux-mêmes pour établir une chronologie d'activité ou de déplacements géographiques.