本文由小茆同学编译，陈裕铭、Roe校对，转载请注明。
iOS15即将带来许多新功能，其中一些将具有取证意义。今天我们将介绍一项功能，该功能可以帮助专家进行云分析、创建和提取设备数据的副本，即使用户通过临时 iCloud备份在其 iCloud 帐户中没有足够的可用空间。临时备份旨在加快更换 Apple 设备时的数据迁移；它们不受存储配额的影响，但使用期有限。
iCloud取证的主要问题之一（除了未知的帐户密码）是云备份的零星性质（sporadic nature）。取证过程中经常出现给定的用户 iCloud帐户没有设备备份，或只存在一个非常旧的备份。这种情况主要是因为 Apple 的政策是只向用户提供5GB的免费存储空间。虽然用户每月只需 99美分就可以购买额外的存储空间，但很少有人这样做。iCloud照片、下载和其他数据会迅速填满被分配到的存储空间，导致没有空间用于新的云备份。
现在，当你购买新设备时，即使存储空间不足，你也可以使用 iCloud备份将数据移动到新设备上。iCloud将给予你完成临时备份所需的存储空间，免费时间最长可达三周。这使你可以自动将所有应用程序、数据和设置放到你新的设备上。
无线备份和还原iPhone 的能力是其生态系统的标志之一。目前，无论 iCloud 中有多少可用空间，用户都可以将旧 iPhone 的内容无线传输到新设备上。该过程有效地备份了原始 iPhone（这可能需要很多时间），并将数据还原到新设备上。如果没有第一步，迁移过程会更快，因此在 iOS 15 中，Apple 提供了一个选项，可以在方便时临时备份 iPhone，然后将临时备份恢复到新的（甚至相同的）iPhone。与传统的 iCloud 备份不同，这些临时备份具有以下属性：
* 两台设备都需要 iOS 15
* 必须手动创建（不能预定临时备份）；设备必须解锁
* 不计入 iCloud 存储配额
* 保留21天，之后自动删除
* 目前，用户无法手动删除临时备份（可能是测试版中的错误）
创建临时备份
要创建临时备份，请执行以下操作。
1.将设备更新至 iOS 15
2. 打开“Transfer or Reset iPhone（传输或还原 iPhone）”选项卡 (Settings/General/Transfer or Reset iPhone)（设置/通用/传输或还原 iPhone）。在早期版本的 iOS 中，这是“Reset（还原）”选项。
3. 点击信息屏幕
4. 创建备份时，设置应用程序将显示其进度（iCloud Backup In Progress）。
备份完成后，您可以在 iCloud 中看到它。请注意，备份不计入存储配额。
提取和分析临时备份
目前， Elcomsoft Phone Breaker（取证版）添加了对临时 iCloud 备份的支持。您可以使用 Elcomsoft Phone Viewer 查看这些备份。
以下屏幕截图演示了如何在只有 5GB 免费存储空间的 iCloud 帐户中成功创建 8.6GB 备份。
此时，用户无法手动删除临时备份。这可能是 iOS 15 测试版中的一个错误。
结论
临时备份将能用于移动取证，尽管适用范围有限。这些备份只能在手机解锁的情况下手动创建，而进行本地备份将包含更大的数据集。因此，如果你无法创建或解密本地备份，临时备份可能会很方便，例如设备的 Lightning 端口损坏或无法重置备份密码。
随着 iOS 15 的发布，我们预计会有大量用户升级到 iCloud+ 以使用 Private Relay 和 Hide My Email 等功能。除了这些功能之外，用户还将获得 50GB 的云存储空间，这将重新开启创建常规云备份的可能性，进一步降低临时备份的重要性。
原文链接：
https://blog.elcomsoft.com/2021/08/ios-15-forensic-implications-temporary-icloud-backups/
参考链接：
https://www.apple.com/en/newsroom/2021/06/ios-15-brings-powerful-new-features-to-stay-connected-focus-explore-and-more/
原文始发于微信公众号（数据安全与取证）：iOS15取证影响：icloud临时备份
