留意數位證據完整性 越獄iPhone手機謹慎取證

智慧型手機在人們的日常生活中已扮演著相當重要的角色，這其中iPhone手機更佔有舉足輕重的地位。根據市場研究機構NPD Group表示，蘋果（Apple）公司已於去年第四季超越Samsung和LG，成為美國銷售冠軍的手機品牌，市占率達到43%。由此可知，儘管iPhone手機的價格比起目前市面上他款手機高，但卻仍受使用者的青睞。

當犯罪者使用iPhone手機作為輔助犯罪的工具或是直接使用iPhone手機作為犯罪工具時，iPhone手機中的數位資料與手機本身即成為關鍵的數位證據。

由於iPhone手機的設計並無包含外接記憶卡，所使用的iOS作業系統也具有先天的限制存在，鑑識人員為了獲取更完整的功能權限以利於進行鑑識，通常都會執行一種所謂提高使用者權限的程序─Jailbreak。

因此，鑑識人員在面對犯罪者使用iPhone作為輔助犯罪或執行犯罪的案例時，所取得的iPhone證物便可能會呈現兩種狀態的其中之一：「未被執行Jailbreak程序」或「已被執行Jailbreak程序」。

然而，Jailbreak這種對數位證物預處理的做法，站在數位鑑識與適法性的角度來看，卻又引起一些爭議。本文將從手動萃取、實體萃取與邏輯萃取的角度，探討Jailbreak程序對於具關鍵性且敏感的數位證據的可能影響。

何謂Jailbreak（越獄）

Apple為了保障使用者在操作該公司產品時，避免iOS作業系統遭到使用者有意或無意修改，進而造成產品系統錯誤的狀況發生，因此針對iOS作業系統進行隔離保護的措施，使用者因而無法直接存取系統檔案資訊。

所謂的Jailbreak程序，即是針對Apple作業系統iOS進行破解的一種程序。使用者一旦使用這種軟體便可以獲取iOS的最高權限，讀取iOS系統檔案，並可進一步解開手機對於電信網路供應商與網路使用的鎖定限制。

Jailbreak程序適用於如iPhone、iPod touch、iPad及Apple TV 2等Apple產品上的iOS作業系統。經由Jailbreak後的Apple產品依然是執行iOS作業系統，並且仍然可以正常地使用其他功能。

當使用者執行Jailbreak後，便會安裝如Cydia這類程式管理工具。Cydia可視為是非官方的手機應用程式管理資料庫，主要由Jay Freeman與其公司Saurik所開發，提供使用者另一個手機應用程式、背景主題或系統修改程式的來源。其內部所提供的程式來源均具有社群推薦，因此來源穩定且可靠。

使用者可透過Cydia來安裝App Store以外的手機應用程式軟體、變更主題外觀、安裝或修改系統設定，甚至變更為其他作業系統。然而，這引發了Apple對於版權的爭議。

為此，美國國家圖書館所屬的版權局針對Jailbreak程序議題，曾於2010年7月26日針對1998年通過的「千禧年數位版權法」（Digital Millennium Copyright Act，DMCA）進行檢討。並宣布「當使用者為了讓智慧手機作業系統能與未獲手機或其作業系統製造商批准的獨立創作應用程式相容，而對手機進行破解，這種純粹只為了這種相容性而進行的修改是公平的使用」。

因此，多數使用者為獲得控制iPhone的最高權限，並安裝更多應用程式與更改背景主題，而將iPhone執行Jailbreak。

iPhone手機數位鑑識

對iPhone手機進行數位鑑識，首先會碰到Apple產品本身的特殊性問題。Apple所推出的產品如iPad、iPod Touch、iPhone等等，由於受到iOS作業系統的保護機制限制，而只能安裝與執行經過Apple授權並在其行動應用程式的網路商店App Store所購買或下載的應用程式。非經由該公司所授權的其他應用程式，均無法在Apple的產品上安裝與執行。鑑識人員若想要在iPhone上執行手機數位鑑識軟體工具，事實上會遭遇一些問題。

其次，iPhone手機在Apple的設計研發下，其內部已經擁有足夠的儲存空間，因此無法外接記憶卡，並且僅能透過iPhone特殊連接線進行充電，或使用USB與電腦連接，所以針對iPhone內部記憶體進行存取便有一定的困難度。

基於上述的情形，進行iPhone數位鑑識的萃取工作，可以從三個方面著手：手動萃取、實體萃取與邏輯萃取。

手動萃取（Manual Acquisition）

數位證據的特性之一即為無法透過人類的感知而獲知證據內容（數位資訊），必須透過媒體工具或介面（例如iPhone）將數位證據呈現。

因此手動萃取通常需要鑑識人員直接操作手機證物，並透過直接操作iPhone手機瀏覽介面與目錄功能，瀏覽手機之檔案系統與內部記憶體資訊，將手機內部的數位資訊透過實際的操作而在螢幕畫面中呈現。