智慧型手機已是人手一支，尤其是Apple iPhone手機更讓一般人趨之若鶩。許多人透過安裝App，以iPhone手機來處理日常的大小事，這其中當然也包括那些貪贓枉法之徒。因此，如何透過iPhone應用程式鑑識出其不法行為，似乎也成了當務之急，本文將詳細介紹相關背景，並完整說明整個鑑識過程。
以強化的計算能力、大儲存容量及其吸引人的觸碰式介面為賣點的iPhone智慧型手機成功地打入手機市場，在高市占率的背景下，產生許多相關的應用程式。
事實上，智慧型手機與傳統手機最大的差異與優勢在於，前者可以透過安裝各種豐富的應用程式，使得手機功能具變化性與全面性，甚至可以得出「使用者是為了應用程式而使用智慧型手機」的結論。
iPhone手機玩家喜歡安裝數量眾多的應用程式，享受應用程式所帶來的便利性以及多變性。然而，應用程式也記錄了使用者的各種個人資料、手機使用訊息和地理資訊，使用者使用愈多應用程式，鑑識者能得到對於使用者的描繪就愈完整。
因此，若使用iPhone作為犯罪的媒介工具，這些應用程式就隱藏了不法情事的各類資訊，如通話紀錄、簡訊（Simple Message System，SMS）、聲音和多媒體訊息等等，鑑識人員可以藉由適當的鑑識工具萃取這些資訊，得到重要的證據。
國際研究暨顧問機構Gartner最新統計數據也指出，2011上半季手機銷售量達到4億2780萬支，較去年同期成長19％，這些數量增加的資料顯示了手機在現代社會中的不可或缺性，對人類生活帶來相當大的影響。
蘋果（Apple）本季在全球售出1,688萬支手機，iPhone目前已在90個國家上架，這款手機一直以其強化計算能力、大儲存容量以及其吸引人的觸碰介面為賣點，每代機種新推出的時候都會造成話題，最新的iPhone 4S首日線上預購量更突破100萬支，打破蘋果所有產品的銷售紀錄。
iPhone內儲存聯絡人通訊錄、備忘錄、簡訊、通話紀錄、圖片、電子郵件、GPS定位資訊以及網頁瀏覽紀錄等資料，當這些敏感性高的資料成為輔助犯罪者執行犯罪之工具時，手機本身即成為關鍵的數位證據。
手機的普遍性和便利性不斷提高，且高科技資訊和知識也非常普及，故可推想，未來應用手機進行犯罪的智慧型罪犯數量會逐漸增加。因此，本文介紹iPhone手機基本架構、萃取資料方法和應用程式鑑識技術，將得到的資料和其他跡證交叉比對，以獲得更完整的行動證據，達到有效的支援執法與訴訟。
相關背景介紹
首先，介紹與iPhone相關的背景資料，以下將從利用iTunes進行iPhone手機的鑑識、手機內建應用程式之實體萃取資訊以及App Store與非官方應用程式等三個面向來加以說明。
利用iTunes進行iPhone手機的鑑識
Apple iTunes是針對Apple公司系列產品所設計的個人電腦端應用軟體，是該公司產品與個人電腦連接的管理平台，除了本身可充當影音播放器外，同時還具備同步、備份、燒錄、共享與瀏覽App Store的功能。
使用iTunes同步手機，可以將下載的資料經iTunes直接轉存到手機；使用者也可以利用iTunes備份手機上的資料如音樂、影片、相片、應用程式、電子郵件帳戶及書籤等傳送至個人電腦上。備份下來的資料會存放在電腦端Apple相關的資料夾，鑑識人員可針對此備份資料進行鑑識。
安裝iTunes程式時，為了讓電腦與iPhone的現行內容能夠保持一致，預設值為設定成每當iPhone與電腦連接時，開啟iTunes後即自動進行同步備份，因此當手機損毀無法使用一般商業手機鑑識軟體進行鑑識時，可以從電腦端iTunes備份的檔案著手。
備份檔案儲存路徑
透過iTunes備份下來的檔案，會因電腦作業系統不同而存放於不同的路徑下，相關路徑彙整於表1中。
表1 iTunes各作業系統備份檔案路徑
辨識備份檔案格式
在開啟「Backup」，也就是備份資料所在的資料夾時，可以發現裡面有上百個長度為40字元、由十六進位的數字與字元（0?9與a?f）所組合而成的檔案名稱。這些40個字元的組合是由iTunes在執行備份進行雜湊函數（Hash Function）加密時所賦予的特殊編碼，因此並不會顯示檔案的副檔名。
為了辨識備份檔案的格式，可以使用十六位元編輯器（Hex Viewer或Hex Editor）或是Notepad++安裝Hex-Editor外掛組件來開啟備份檔案，藉此觀察檔案內容的開頭前幾個字元所組成的字串特徵，以辨識這些檔案的原始檔案格式。
開啟備份檔案
辨識出備份檔案原始的檔案格式後，必須選擇相對應的萃取工具才能開啟檔案。在plist檔的部分，可以使用免費軟體「plist Editor」來開啟plist相關檔案。另針對SQLite資料庫，可選用「SQLite Browser」免安裝也免付費的應用程式，它可用來解析SQLite資料庫的資料結構。