14、移动设备取证：安卓与iOS的调查方法

移动设备取证：安卓与iOS的调查方法

1. 移动取证技术概述

移动设备取证技术主要分为主动取证技术和被动取证技术。主动取证技术依赖于在嫌疑人的移动设备中放置软件代理。该技术的执行分为六个阶段：
1. 调查人员提交调查请求并等待批准。
2. 批准后，确定要获取的证据类型。
3. 再次获批后，软件代理开始收集证据。
4. 将收集到的证据传输回独立机构。
5. 将证据存储在安全且不可篡改的位置。
6. 完成调查，理想情况下逮捕罪犯。不过，这种主动取证技术存在法律问题，其成功依赖于司法系统。

被动取证技术方面，学者们对安卓和iOS移动设备的数据提取方法进行了研究。

1.1 安卓设备取证

安卓设备取证技术的差异主要取决于设备是否已root。root权限意味着用户拥有管理员权限，若被恶意利用则十分危险。影响安卓设备数据获取水平的因素有三个：
| 因素 | 说明 |
| ---- | ---- |
| 设备的安全性和版本 | 若调查人员无法访问设备，或技术在特定版本的安卓设备上无法正常工作，将难以进行数据获取。 |
| 设备是否有root权限 | 有root权限可使用更多取证方法。 |
| 连接介质 | 可通过蓝牙、无线或有线连接，有线连接是首选。 |

若安卓设备已root，可使用法医工具或手动技术轻松创建设备镜像，推荐使用Cellebrite UFED、Oxygen Forensics Suite和Magnet Axiom等工具，手动成像可使用DD和FTK Imager。对于未root的设备，只能通过Android Debug Bridge (ADB)