本文以iOS作業系統為主的iDevice（如iPhone 5、iPad 2、iPod touch等）作為探討標的，當非法人士以WeChat進行犯罪訊息溝通時，鑑識人員該如何有效地萃取出關鍵的數位跡證，搜尋出WeChat內的對話內容、聯絡人、使用者資訊及影音等紀錄訊息。
目前社交通訊APP大部分都支援PC和智慧型的行動裝置。國外調查機構針對社交通訊的使用者會選用何種設備進行統計，結果顯示使用行動裝置在社交通訊活動上的人數多過PC的使用者。
在這樣的趨勢下，未來行動裝置的鑑識方法及技術相當重要。近年台灣已有利用通訊軟體進犯罪通訊的案例，非法人士利用了通訊軟體會將訊息進行加密的特點，讓鑑識人員難以追蹤他們的犯罪行為，以達到秘密通訊的目的。
本文要介紹的WeChat社交通訊軟體，除了個人化的通訊功能外，還允許目前社交網路市占率極高的Facebook用戶加入WeChat，省去使用者須額外註冊的麻煩，這樣的方便性使WeChat用戶在短時間內快速地增加，自2010年推出後，目前（2013年）註冊人數已突破3億人次，在通訊軟體的市占排名逐漸往前推升。
另外一項使WeChat快速成長的因素，是系統支援度廣，除了支援iOS的平台外，也支援Andriod、Windows Phone。
但是，這樣便利的通訊工具很容易讓非法人士進行犯罪聯絡溝通，以本文中 iDevice進行WeChat非法活動為例，一旦這樣的活動發生，WeChat的文字訊息、聲音訊息、聯絡人通訊資料等紀錄即是重要的數位跡證。
但是，數位跡證會隨著系統更新或設備的改變，而有不同的鑑識方法，在這樣的情況下，鑑識人員需要找尋方法將行動裝置內的數位跡證萃取出來。而對於iDevice的鑑識則需要經過一道Jailbreak（越獄）程序，取得iDevice的最高權限後，才能使用鑑識工具對iDevice進行數位跡證的萃取。
這是因為iOS屬於封閉性系統，Apple公司為保護系統安全所進行的措施，但為突破iOS的保護措施，越獄的方法卻會有存取資料的疑慮，讓數位證據會失去證據力。
在實際的鑑識過程中，鑑識人員會經常遇到的情況是，非法企圖者為避免行動裝置內的犯罪跡證被鑑識人員知悉，都會對行動裝置採取一定程度上的破壞，讓鑑識人員無法對行動裝置內的數位跡證進行萃取。
為解決此問題，可利用iTunes的鑑識，進行iDevice數位跡證的萃取。iTunes是Apple針對iDevice系列產品所設計的管理平台，在iTunes上使用者可以進行資料的管理、軟體的下載、資料備份等動作。
如圖1所示，當iPod touch連結iTunes時，iTunes便會自動地進行資料備份與同步，將iPod touch內的資料備份到電腦中，這是iTunes預設的動作。
所以，依照iTunes的設定，當非法企圖者將iDevice連接iTunes時，iDevice內的資料，包含WeChat的通訊訊息很有可能會儲存至電腦內。
在這樣的情況下，經由iTunes備份至電腦的備份檔，即可找出分析備份檔內WeChat通訊訊息，鑑識人員可以藉此有效率地萃取出關鍵的數位跡證，還原事件。
 |
| ▲圖1 iTunes對iPod touch進行資料備份。 |
針對iDevice的鑑識
智慧型行動裝置鑑識是一個新出現的鑑識領域，針對行動裝置的標準鑑識步驟尚未有一個明確的定義，因此若要獲取行動裝置內儲存的訊息，相對於電腦，將繁雜許多。
行動裝置上的系統不像電腦系統，它屬於封閉的系統環境，無法任意安裝應用程式或更改設定，而這樣的系統環境增加了鑑識工作的因難度。
某些數位鑑識的廠商針對手機系統開發出鑑識工具，如XRY、Universal Forensic Extraction Device （UFED）等，這些手機鑑識工具，可以在未破壞手機的情況下連接手機，萃取出儲存在手機內的通訊錄、通話紀錄、影音檔案。
此外，還能將鑑識結果匯出成報告，提供給法庭或執法機關。而JTAG（Joint Test Action Group）有別於手機鑑識工具，它雖然也可以對手機製作資料映像檔，但卻可能破壞或存取手機，因而影響數位證據的證據力。
由上述可知，行動裝置的鑑識方法各有優缺點，決定何種方式萃取資料，端看鑑識人員當時的需求而定，而目前針對iDevice的鑑識方法，則有三種不同的鑑識方法，分別說明如下：
1. 邏輯萃取
邏輯萃取是目前在進行iDevice鑑識時最常採用的鑑識方法，這種方法是依照檔案系統的邏輯儲存架構進行Bit-by-Bit的資料萃取，它萃取的方式有兩種。
第一種是透過Apple iTunes將iDevice的資料同步到電腦，這被認為是目前最容易的方法。iTunes雖然不是鑑識軟體，但可以將手機內資料備份到電腦內，達到邏輯萃取的效果。