iOS Forensics

Définition

L'iOS Forensics regroupe les méthodologies et outils spécialisés dans l'extraction et l'analyse de données issues d'appareils Apple iOS, environnement particulièrement fermé et protégé rendant l'investigation nettement plus complexe que sur Android. L'extraction par sauvegarde exploite les mécanismes natifs de backup iTunes/Finder, chiffrée par défaut depuis iOS 10 et nécessitant le mot de passe défini par l'utilisateur, limitant son usage aux appareils dont l'accès est déjà consenti ou légalement obtenu. L'extraction physique, la plus complète car donnant accès au système de fichiers brut et aux données supprimées, s'appuie sur l'exploitation de vulnérabilités du bootrom comme checkm8, découverte en 2019 et affectant les puces A5 à A11 (jusqu'à l'iPhone X), permettant un accès de bas niveau non patchable par mise à jour logicielle car ancrée dans le matériel, contrairement aux failles logicielles classiques. L'extraction BFU (Before First Unlock) cible les appareils verrouillés n'ayant pas encore reçu leur premier déverrouillage post-redémarrage, où une partie limitée mais forensiquement précieuse des données reste accessible malgré le chiffrement matériel complet activé par la Secure Enclave. Les données récupérées couvrent messages iMessage et SMS, historique de localisation, données d'applications tierces, métadonnées de fichiers et éléments supprimés persistant temporairement avant effacement définitif. Cellebrite et Magnet AXIOM dominent l'outillage commercial de ce domaine hautement spécialisé et en constante évolution face aux mises à jour sécuritaires d'Apple.