Logical Extraction Mobile

Définition

L'extraction logique est la méthode d'acquisition forensique mobile qui extrait les données accessibles via les APIs officielles du système d'exploitation : contacts, messages SMS, historique d'appels, emails, calendrier, photos, et données d'applications qui supportent la sauvegarde. Elle est moins invasive que l'extraction physique mais aussi moins complète, car elle ne capture pas l'espace non alloué ni les données supprimées non récupérables par les APIs. Pour iOS, l'extraction logique correspond principalement aux sauvegardes iTunes (backup local) ou iCloud, accédées via le protocole lockdownd. L'outil Cellebrite UFED, Magnet AXIOM, ou même l'application iMazing peuvent créer une sauvegarde iTunes depuis un iPhone connecté en USB et déverrouillé. Sur les iPhones Trust-paired (ayant déjà été synchronisés avec un ordinateur spécifique), l'extraction logique est possible sans déverrouiller l'écran en utilisant le record de pairing. Pour Android, l'extraction logique utilise ADB (Android Debug Bridge) avec la commande 'adb backup' pour les applications qui autorisent la sauvegarde (android:allowBackup='true'), ou les APIs Android MTP/PTP pour accéder au stockage externe. Les applications comme WhatsApp, Signal, et Telegram peuvent chiffrer leurs bases de données locales avec des clés liées au numéro de téléphone, nécessitant des techniques supplémentaires pour leur déchiffrement. La valeur forensique de l'extraction logique est significative pour de nombreuses investigations. Elle fournit l'essentiel des données utilisateur accessibles sans techniques invasives : les conversations des applications de messagerie (si non chiffrées de bout en bout ou avec les clés accessibles), les photos géolocalisées, les emails, les données de santé (iOS HealthKit si inclus dans la sauvegarde), et les configurations d'applications. Pour les investigations de conformité ou les enquêtes d'entreprise, l'extraction logique avec consentement de l'utilisateur est souvent suffisante. Les techniques de préservation des preuves pour l'extraction logique incluent : l'isolation de l'appareil (mode avion pour éviter les effacements à distance via FindMyPhone), la documentation photographique de l'état de l'appareil avant extraction, et le calcul des hashes des fichiers d'extraction pour attester l'intégrité.