Автор Неизвестен - Цифровые артефакты iOS и macOS

ШПАРГАЛКИ BEHOLDERISHERE

ЦИФРОВЫЕ АРТЕФАКТЫ
iOS и macOS
ГЕОЛОКАЦИЯ
Геолокация по вышкам
мобильной связи и WiFi
Данные о зафиксированном
местоположение подключений к
базовым станциям и WiFi точкам
доступа.

Запросы приложений на
определение геолокации
Системные записи на перечень
приложений запрашивающих
права на определение
местоположения

Расположение:

- на устройстве macOS

Расположение:

- на устройстве macOS
• /private/var/folders/*//
cache_encrypted*.db
• /private/var/folders/*//
lockCache_encrypted*.db

- на устройстве iOS
• /private/var/root/Library/caches/locationd/
cache_encrypted*.db
• /private/var/root/Library/caches/locationd/
lockCache_encrypted*.db

Примечания:

- Данные сохраняются в пределах одной недели
- Данные в таблице Wi Location хранятся примерно в
-

течение 4 дней.
MAC адреса устройств хранятся в Base10

Часто посещаемые места
В версии iOS выше 11 если
включена функция Signi cant
Locations, то устройство
фиксирует часто посещаемые
пользователем места.

• ~/Library/ApplicationSupport/com.apple.TCC/TCC.db
• ~/Library/ApplicationSupport/com.apple.TCC/TCC.db
• /private/var/db/location/clients.plist

- на устройстве iOS
• /private/var/mobile/Library/TCC/TCC.db
• /private/var/root/Library/Caches/locationd/clients.plist

Примечания:
TCC.db
• Включает временную метку last_modi ed для
каждого разрешения для каждого приложения
• auth_value 0 - доступ к геопозиции запрещен, 2 доступ к геопозиции разрешен.

Clients.plist
• Перечень всех приложений, которым было
предоставлено разрешение на определение
местоположения.
• Authorization 1 - никогда, 2 - во время использования
приложения, 3 - периодически запрос на
использование при запуске.
• В версии iOS выше 14: столбец
CorrectiveCompensationEnabled 1 (или пустое поле) определение точного местоположения, 2 - примерное
местоположение

Примечания:
Расположение:

- на устройстве iOS
• /private/var/mobile/Library/Caches/com.apple.routined/
Cloud[-V2].sqlite
• /private/var/mobile/Library/Caches/com.apple.routined/
Cache.sqlite
• /private/var/mobile/Library/Caches/com.apple.routined/
Local.sqlite

• Включение функции: Настройки →
Конфиденциальность → Службы определения
местоположения → Системные службы → Важные
местоположения.
• Данные в Cloud[-V2].sqlite хранятся около недели и
содержат точные координаты.
• Cache.sqlite содержит точные координаты примерно
за неделю

fi

fi

fi

Investigation & forensic TOOLS

--">