唉 屌
你班友
物理提取 – Physical Extraction
為了對裝置進行最全面和詳細的分析,Cellebrite的物理提取可以讀取手機快閃記憶體的已配置(allocated)和未配置(unallocated)空間中的資料。 這些資料可大致分為三種不同型態的內容:
1. 邏輯提取以外的內容。如之前檔案系統提取所敘,邏輯提取透過API與裝置溝通進而取得內容,但使用API可提取內容有限。
2. 系統刪除之檔案。系統僅刪除資料的位址索引,實際資料還在快閃記憶體中。
3. 由手機自主收集的內容,如wi-fi networks,GPS locations,web history,email headers,照片的EXIF等。
https://www.paramitadigital.com/2019/07/08/4pc-physical-extraction/
Physical extraction is a bit-by-bit copy of the physical storage / entire filesystem / device memory or as a hex-dump.
即係話成個storage dump出黎,對於一部未加密既電話就有用既
比個例子你地
有個人用緊一部已加密既電話,佢唔好彩跌左部機
咁岩有條友執到部機喎
咁佢又想睇部機入面有咩野,但又冇密碼,咁點算?
然後佢google左陣發現可以用Cellebrite extract左部機既storage出黎睇
佢買完套野做Physical Extraction
最後佢一打開,發現得堆加密資料
試問呢個情況,佢最後拎到D咩資料呢?
呢個問題唔洗答我啦,你自己明就得
唔明就直接睇番條link
篇野有講到Android加密機制,所以我唔講啦
想問下pixel係咪default有嗰個secure start up
冇,因為太煩,要打2次password先開到機用到部機
Android 10依家係用緊FBE(File Base Encryption),而唔係FDE(Full Disk Encryption)
For new devices running Android 10 and higher, file-based encryption is required.
Android 7.0後另推出了優化的加密機制(Apple則是在iOS 8起開始採用FBE),FBE(File Base Encryption)
其他的內容都存儲在憑證加密區域(Credential Encrypted Area)中,該區域是透過用戶的PIN/pattern/passcode來保護,解鎖後才可以掛載開始使用。
android docs: https://source.android.com/security/encryption/file-based
改改字眼先
因為Secure Startup個流程
第一次係入startup密碼
唔入password就咩都用唔到(除左緊急電話)
岩password先會正式開機
然後第二次就係lock screen密碼,呢個階段就比你用到部分電話功能(所以至少電話或鬧鐘等功能可以使用)
而依家既FBE流程係開左機,去到lock screen
咩都唔load住,等你入password先開始load番其他野
呢樣野你地放個鐘係launcher到就有機會見到呢個情況