iCloud Forensik

Andreas Schmoll, BSc
18.09.2015

Ausgangslage

Im Gegensatz zu herkömmlichen Mobiltelefonen sind Smartphones immer mehr zu multifunktionalen Alleskönnern geworden, die mehr und mehr Daten abspeichern können . Um auf diese Daten auch von anderen Geräten, wie etwa einem Stand-PC oder Tablet, zugreifen zu können, wurden diverse Methoden zur Synchronisierung entwickelt. Ein besonders interessanter Ansatz ist die Synchronisierung über Cloud-Storage-Systeme wie etwa iCloud. Diese Plattformen können oftmals auch Backups ablegen und verwalten.

Bereits seit längerem ist bekannt, dass sich die auf einem Smartphone gespeicherten Daten auch für forensische Analysen eignen, da sie sehr viele relevante Informationen über die Nutzerin/den Nutzer des Geräts enthalten. Wenn kein direkter Zugriff auf das physische Gerät möglich ist, sondern nur auf ein Backup in der Cloud zugegriffen werden kann, sind einige forensische Methoden nicht mehr anwendbar.

Ziel

Die Arbeit beschäftigt sich mit der genaueren Funktionsweise eines Cloud-Dienstes für das Backup mobiler Geräte. Am Beispiel der iCloud wird ermittelt, welche Daten in online gespeichert werden und wie diese abgerufen werden können. Es gilt festzustellen, ob eine forensische Analyse mit heruntergeladenen Cloud-Daten durchführbar ist.

Ergebnis

Eine wesentliche Erkenntnis der Arbeit ist, dass die eigentlichen Daten eines iCloud-Backups auf Servern von Drittanbietern gespeichert werden. Jedoch werden diese verschlüsselt und in mehreren Teilen abgespeichert. Die Serverbetreiber haben dadurch keinen Zugriff auf die Daten.

Des Weiteren wurde festgestellt, dass ein Backup standardmäßig nicht auf einem lokalen PC gespeichert werden kann. Jedoch wurde gezeigt, dass diese Einschränkung durch Nachstellen des iCloud-Kommunikationsprotokolls umgangen werden kann.

Schlussendlich wurde festgestellt, dass iCloud-Backups sehr wohl forensisch untersucht werden können. Obwohl manche Informationen, wie etwa Metadaten von Dateien, nicht auf dieselbe Art wie bei einer herkömmlichen Analyse ermittelt werden können, gibt es dennoch Möglichkeiten, diese aus anderen Quellen auszulesen.

FH-Betreuer: Dipl.-Ing. Dr. Sebastian Schrittwieser, Bakk.