iOS adli analizi, iPhone ve iPad gibi Apple cihazlarından mesajlaşma, konum, uygulama verisi ve sistem olaylarına ait kanıtları, cihazın bütünlüğünü bozmadan çıkarmayı hedefleyen tekniklerin bütünüdür. Bu alanın kendine özgü zorluğu, iOS’un donanım tabanlı şifreleme ve kapalı dosya sistemiyle kanıt çıkarmayı diğer platformlara kıyasla çok daha kısıtlı hale getirmesidir.

iOS adli analizi, güçlü şifreleme ve kapalı bir işletim sistemiyle korunan bir cihazdan hukuken savunulabilir kanıt çıkarma sanatıdır.

Şifreleme Neden Belirleyici?

Her iOS cihazında donanıma gömülü bir Secure Enclave yardımcı işlemcisi ve dosya bazında şifreleme (Data Protection) bulunur. Kullanıcı parolası, diskteki verinin çözülmesi için gereken anahtarların türetilmesinde doğrudan rol oynar; parola bilinmeden verinin ham kopyası alınsa bile içerik anlamsız şifreli bloklardan ibaret kalır. Bu nedenle iOS incelemesinde asıl mücadele veriyi okumak değil, önce erişilebilir kılmaktır.

Çıkarım Seviyeleri

Uygulamada birkaç farklı çıkarım derinliği vardır ve her biri farklı miktarda kanıta ulaşır:

• Mantıksal çıkarım: Cihazın izin verdiği ölçüde, iTunes/Finder yedeği mantığıyla erişilebilen uygulama verilerinin kopyalanması; en yüzeysel ama en az müdahaleci yöntem.
• Dosya sistemi çıkarımı: Kilidi açılmış cihazdan uygulama sandbox’ları, veritabanları ve gizli sistem dosyaları dahil çok daha geniş kapsamlı kopya; genellikle bir güvenlik açığından yararlanmayı gerektirir.
• Yedek analizi: Bilgisayarda saklanan şifreli veya şifresiz cihaz yedeğinin çözümlenmesi; cihaza fiziksel erişim olmadığında sık başvurulan yol.

Kanıtın büyük kısmı, iOS uygulamalarının verilerini sakladığı SQLite veritabanlarında yatar. Mesajlar, arama geçmişi, tarayıcı sekmeleri ve konum kayıtları bu veritabanlarında yapılandırılmış tablolar halinde durur; analist bu tabloları ve silinmiş kayıtların hâlâ okunabilir olduğu WAL günlük dosyalarını inceleyerek zaman damgalı bir etkinlik tablosu kurar. Bu yönüyle iOS çalışması, disk üzerindeki yapıyı çözümleyen dosya sistemi adli analizi disiplininin mobil bir uzantısıdır.

Tehdit İncelemesindeki Kullanımı

iOS incelemesi yalnızca kaybolan telefon vakalarında değil, hedefli casus yazılım soruşturmalarında da öne çıkar. Pegasus gibi gelişmiş mobil izleme yazılımları iOS’ta çoğunlukla iz bırakmadan çalışmayı hedefler; yine de çökme günlükleri, ağ bağlantı kayıtları ve şüpheli süreç izleri, cihazın ele geçirildiğine dair kanıt sunabilir. Bu ince izlerin bir zaman çizelgesine oturtulması, olayın gerçek kapsamını DFIR adli analiz ve olay müdahalesi mantığıyla ortaya koyar.

Elde edilen bulgunun mahkemede veya kurum içi soruşturmada değer taşıması için çıkarım yönteminin, kullanılan araç sürümlerinin ve cihazın çıkarım anındaki durumunun eksiksiz belgelenmesi gerekir. Privia Security’nin adli analiz hizmetinde mobil incelemeler, kanıt zincirini koruyan bu belgeleme disipliniyle yürütülür.