Streams iOS6 Foto: «recuperar» eliminados Camera Roll Fotos

Cuando un usuario toma una fotografía con una Galería de fotos habilitado iDevice, como un iPhone, es se envía a almacenamiento de iCloud y se mantiene allí durante 30 días para dar a todos los usuarios de dispositivos registrados la oportunidad de sincronizar. Los datos sólo se transfiere desde el iPhone cuando está conectado a Wi-Fi, no transmite fotografías a través de redes celulares. iDevices tienen las últimas 1000 fotos (JPG, TIFF, PNG y RAW) en la corriente, por lo que el usuario debe mover fotografías a una ubicación de almacenamiento a largo plazo, como la Lista de Cámara si quieren mantenerlos por más tiempo. Mac y PC no tienen la limitación de 1.000 fotos, debido a sus capacidades de almacenamiento más grandes. Los vídeos no se sincronizan a través Photo Stream.

Si otro dispositivo habilitado Galería de fotos de la red del usuario toma una fotografía, o una fotografía se carga en Galería de fotos sobre un Mac o un PC de otro origen, como una cámara digital, que se sincronizan con el iPhone, como usted probablemente ha adivinado. Si una imagen se borra de Galería de fotos en cualquiera de los dispositivos conectados en red, se elimina de todos los dispositivos en la red. Como nuestro amigo Mork de Ork solía decir, «Shazbot!» No va a ser tan fácil. Y, además, ¿con qué frecuencia en nuestras manos todos los dispositivos cuando se realizan análisis forense, de todos modos?

Durante la realización de un examen sobre un iPhone 4s con iOS 6.1.3 poco, me señaló un montón de fotografías duplicadas con nombres de archivo diferentes. Las diferencias de nombre de archivo que no eran parte de un usuario cambiar el nombre de ellos (si eso es posible en un dispositivo dañado no la cárcel), pero las imágenes con el mismo contenido de la imagen aparente y al mismo tiempo creó existido en dos caminos distintos, tenían nombres distintos (como «IMG_1027 . JPG «y» IMG_1098.JPG «) y existió en diferentes dominios. Intrigado, he investigado.

A través del estudio y un poco de experimentación con un iPhone colegas, he descubierto que cuando un usuario toma una fotografía, se almacena simultáneamente en la cámara rollo dominio / Medios / DCIM / subdirectorios y el dominio de medios en las / Media / PhotoStreamsData / subdirectorios. El nombre del archivo es incremental: si la última fotografía era «IMG_1027.JPG», el siguiente es «IMG_1028.JPG». Esto es cierto incluso si se elimina «IMG_1027.JPG» antes de tomar-los nombres de archivo de la siguiente imagen no se reutilizan.

Del mismo modo, la fotografía que se escribe a la Corriente de fotos se le da un nombre de archivo incrementales. Pero, no es sobre la base de los nombres de archivo Carrete de dominio, pero en cambio en los nombres de archivo de imagen Galería de fotos almacenadas en el dominio de los medios de comunicación. Recordemos que las imágenes en Galería de fotos pueden venir de cualquier dispositivo en red y tendrán sentido de que tienen que tener nombres de archivo únicos creados en el dispositivo local para evitar sobrescribir. Con ese conocimiento, se empieza a entender por qué existen dos archivos con el mismo contenido de la imagen en diferentes lugares y tienen diferentes nombres de archivos.

Pero, aún hay más. He mencionado que los vídeos no se sincronizan en Galería de fotos. Son, sin embargo, se almacenan en el dominio Carrete del iDevice en el que fueron creados, y se les da un nombre de archivo incrementales que los mezcla en las fotografías pesar de que tienen una extensión diferente. He impreso una muestra lista para ilustrar.

Así, el vídeo se incluyen en el Carrete de dominio incrementando esquema de nombre de archivo, pero como no se escriben en el dominio de medios, los nombres de los archivos allí no afectado, es decir, no se incrementa.

Otro factor a considerar es que el dominio de Camera Roll se puede utilizar para guardar vídeos e imágenes que no sea con el dispositivo que se examina. El usuario tiene la opción de guardar la imagen y los videos de los navegadores de Internet, aplicaciones como Facebook y MMS pulsando y manteniendo ellos. Cualquiera que sea el origen de los archivos, que se guardan en Camera Roll con nombres de archivos secuenciales.

Una vez más, el JPEG, TIFF, PNG, y las imágenes RAW se añaden automáticamente a la Foto Stream cuando el servicio está habilitado. Si hubiera alguna fuente de datos para ayudar a averiguar cómo hacer coincidir los nombres de archivos de imagen del rollo de la cámara a las de los directorios Streams de Fotos. Hash criptográfico (por ejemplo, MD5) no ayudará porque los datos EXIF ​​es diferente en. Jpg, y además, el punto de este artículo es «recuperar» eliminan las imágenes, lo que significa que se echa en falta la mitad de la comparación! Una vez más, entrar en SQLite …

Gran parte de la información de la tabla es intrascendente para nuestro análisis. Algunos son de un interés pasajero, y podría ser relevante para otros tipos de exámenes. Pero le permite afinar en nuestra cantera: fechas de archivo, nombres y rutas de acceso. Para hacer el trabajo de SQLite para usted, usted debe aprender su lenguaje de consulta estructurado.

En primer lugar, le permite obtener una visión general de los archivos que las pistas esta mesa. Sería agradable ver sólo los caminos únicos en el campo ZDIRECTORY. Afortunadamente, SQLite nos da la Distinct función sólo para este fin.

Así, vemos en la salida que el DCIM y PhotoData los directorios, que están en la cámara de rollo de dominio, y el PhotoStreamData del directorio, que se encuentra en el dominio de los medios de comunicación, son los directorios raíz del origen de los datos registrados por esta tabla. ¿Cómo iba yo a saber que si yo no estaba familiarizado con la estructura de archivos iPhone? Caza y picotear? No!