iTunes Backup Forensics

Définition

Les sauvegardes iTunes (appelées Finder backups sur macOS Catalina+) sont des copies de sauvegarde locales des appareils iOS créées sur l'ordinateur hôte. Pour les investigations forensiques, elles constituent souvent la source de données iOS la plus accessible, ne nécessitant pas de jailbreak ni d'accès physique direct à l'iPhone — seulement l'accès à l'ordinateur sur lequel l'iPhone a été synchronisé. Les sauvegardes iTunes sont stockées dans des dossiers identifiés par l'UDID (Unique Device Identifier) de l'iPhone : %APPDATA%\Apple Computer\MobileSync\Backup\ sous Windows et ~/Library/Application Support/MobileSync/Backup/ sous macOS. Chaque sauvegarde contient des milliers de fichiers organisés selon un nommage SHA-1 cryptique (hash du domaine de l'application + chemin du fichier), rendant l'exploration manuelle impraticable sans outils dédiés. Les sauvegardes iTunes peuvent être non chiffrées (par défaut) ou chiffrées (avec un mot de passe choisi par l'utilisateur). Les sauvegardes non chiffrées contiennent la majorité des données (photos, messages, contacts, emails, données d'applications) à l'exception de certaines données sensibles comme les mots de passe du trousseau. Les sauvegardes chiffrées contiennent en plus les mots de passe, Health data, et d'autres informations sensibles — mais nécessitent le mot de passe pour être déchiffrées. L'outil iMazing est le plus convivial pour explorer les sauvegardes iTunes, permettant de parcourir l'arborescence originale des fichiers, d'exporter des conversations, photos, et données d'applications. Pour les investigations forensiques formelles, Cellebrite Physical Analyzer, Magnet AXIOM, et Oxygen Forensic Detective supportent nativement le parsing des sauvegardes iTunes avec extraction des artefacts forensiques. L'outil open source iLEAPP peut parser une extraction de sauvegarde iTunes et générer des rapports HTML sur les artefacts iOS. Le fichier Manifest.db (SQLite) à la racine de la sauvegarde liste tous les fichiers de la sauvegarde avec leur hash, leur domaine d'application, et leur chemin relatif d'origine — permettant de retrouver les fichiers pertinents sans parsing complet.