Основное количество подобных устройств было произведено фирмой Nokia Microsoft. Однако, встречаются модели, выпущенные такими компаниями, как: HTC, LG, Lenovo, Samsung и т. Чтобы не возникло путаницы, следует помнить, что старые версии 7 и 8 этой операционной системы назывались Windows Phone. Новейшая же операционная система этого семейства называется Windows 10 Mobile. В этой статье мы расскажем о методах извлечения данных и особенностях работы с этими устройствами. Безопасность устройств Windows Phone Наиболее полно методология и подходы к безопасности устройств Windows Phone описана в документе «Windows Phone 8. Мы же остановимся только на отдельных, важных для эксперта, моментах. Шифрование данных В устройствах Windows Phone зашифрованы могут быть как данные, находящиеся на внешнем носителе карте памяти , так и данные находящиеся во внутренней памяти. Шифрование устройств Windows Phone реализовано на базе технологии BitLocker с использованием алгоритма шифрования Advanced Encryption Standard AES, 128-битное шифрование. Ключ шифрования сохраняется в отдельной микросхеме, что затрудняет его извлечение. Доступ к данным, находящимся в памяти устройства и на сменном носителе, дополнительно блокируется паролем на аппаратном уровне. Все это в совокупности делает извлечение данных из устройства очень сложным. Используемые технологии не позволяют пользователю отключить шифрование или изменить алгоритм шифрования на более простой. Могут быть включены дополнительные опции, позволяющие, например, уничтожить данные пользователя в случае обнаружения попытки подбора пароля. Большинство устройств Windows Phone имеет слот для установки карт памяти. В Windows Phone 8 появилась опция, позволяющая устанавливать приложения не только в память устройства, но и на карту памяти. При этом, приложения и их данные автоматически шифруются. Следует отметить, что медиа контент фотографии, видеофайлы на картах памяти не шифруется. Это позволяет владельцу устройства легко осуществлять обмен медиа контентом с другими пользователями. Политики доступа к устройству Для доступа к устройству Windows Phone может потребоваться пароль разблокировки. Использовать этот пароль пользователя, особенно корпоративного пользователя, заставляют правила, устанавливаемые администраторами Master Data Management MDM или Microsoft Exchange ActiveSync EAS. Технический персонал компании может инициировать удаленную очистку устройства с помощью своей системы MDM или консоли управления сервером Exchange Server. Пользователи могут инициировать удаленную очистку устройства с помощью Microsoft Outlook Web Access OWA. Если устройство ассоциировано с MDM, администратор системы может произвести частичную очистку устройства. При этом стираются корпоративные данные и настройки корпоративных аккаунтов. Но сохраняется личная информация владельца устройства. Технический персонал компании может удаленно заблокировать устройство. В дальнейшем, устройство может быть разблокировано. Технический персонал компании может удаленно сбросить код блокировки экрана. Например, в случае если пользователь забыл его. При этом, корпоративные и личные данные пользователя сохраняются. Эта функция позволяет установить примерное местоположение устройства. Выявление попыток обхода кода блокировки. В случае установки соответствующих настроек устройства, а также с помощью MDM и EAS, пользователь может стереть всю информацию в случае обнаружения попытки подбора пароля, которым заблокировано устройство. Логическое извлечение данных из Windows Phone Как правило, у экспертов не возникает проблем с подключением устройств Windows Phone к компьютеру и извлечению из них данных с помощью ПО «Мобильный Криминалист». Следует помнить, что подключаемое устройство должно быть разблокировано. Иначе оно может быть не опознано компьютером. В данной статье приводятся типовые проблемы, возникающие при подключении устройств Windows Phone и сведения по их устранению. Также эта статья содержит подробные инструкции по удалению драйвера Windows Phone, автоматической и ручной установке драйверов Windows Phone. Выбор метода извлечения данных Извлечение данных из резервных копий Windows Phone Резервные копии Windows Phone сохраняются в облачном хранилище OneDrive компании Microsoft. Извлечение данных из резервных копий Windows Phone производится с помощью Мастера извлечения данных. Окно Мастера извлечения данных Илл. Окно ввода имени пользователя и пароля учетной записи Windows Live Резервные копии Windows Phone, находящиеся в облачном хранилище Microsoft, можно также скачать с помощью модуля «Облачные сервисы». Для доступа к облачному хранилищу эксперту понадобятся имя пользователя и пароль от учетной записи или токен, извлеченный из Windows Phone. Окно Облачные сервисы Извлечение данных из копий физической памяти устройств Наиболее полно извлечь данные из устройств Windows Phone можно с помощью анализа копии физической памяти устройства. При этом могут быть извлечены не только файлы, находящиеся в устройстве в явном виде, но и удаленные файлы. Окно Мастера извлечения данных. Отображение файловой системы физической копии устройства Windows Phone в ПО «Мобильный Криминалист» Илл. Внешний вид окна ПО «Мобильный Криминалист» со сведениями, извлеченными в ходе анализа копии физической памяти устройства Windows Phone Из копий физической памяти устройств Windows Phone может быть извлечен пароль блокировки. Этот метод применим для мобильных устройств, выпущенных до 2014 года. Внутрисхемное программирование In-System Programming, ISP — технология программирования электронных компонентов ПЛИС, микроконтроллеры и т. До появления этой технологии компоненты программировались перед установкой в устройство, для их перепрограммирования требовалось их извлечение из устройства. Также могут быть проанализированы копии физической памяти Windows Phone, полученные с помощью других криминалистических программ и программно-аппаратных комплексов. Как правило, ПО «Мобильный Криминалист» извлекает больше данных из установленных приложений, сохраненные пароли, лучше восстанавливает удаленные файлы. Из опыта работы, стоит отметить, что извлечение физических копий памяти устройств Windows Phone 7, 8 позволяет получить из них максимальное количество данных и подобные извлечения всегда были успешными. Извлечение физических копий памяти устройств Windows Phone 10, бывает успешным примерно в 50% случаев. Это связано прежде всего с используемыми в данных устройствах технологиях защиты данных пользователя: шифрования, аппаратной блокировки функции чтения данных из микросхемы памяти паролем. Зашифрованный раздел с данными пользователя Заключение В данной статье были рассмотрены различные методы извлечения данных из устройств Windows Phone: логическое извлечение, извлечение из резервных копий, хранящихся в облаке, извлечение из копий физической памяти. Рассмотрены артефакты Windows Phone, которые могут быть извлечены при каждом типе извлечения, а также сложности, возникающие у эксперта при извлечении данных из таких устройств.
