IOS Kurulum Tarihi Belirleme
IOS işletim sistemine sahip cihazlarda cihazın formatlanıp formatlanmadığı hususlarını anlamak için birden fazla yöntem ile doğrulamak gerekmektedir. Bu doğrulama esnasında backup ile tekrar yüklenmiş cihaz nasıl ayırt edilir? Cihaz sıfırlanmış mı? Sıfırlandıysa ne zaman kurulum gerçekleşti? Vb. sorular imaj üzerinden doğrulama yöntemi ile belirlenebilmektedir.
Örnek olarak IOS 13.7 işletim sistemine sahip Apple marka iPhone 7 model cep telefonu üzerinde inceleme gerçekleştireceğiz.
Öncelik olarak cihazın içerisinde yer alan tüm verileri zaman damgası ile sıraya koyarak yapılan ilk işlemlerin neler olduğunu incelemek ve anlamlandırmak gerekmektedir. İncelediğimiz cihaz üzerinde yer alan verilerin zaman damgaları kontrol edildiğinde; 11.04.2016 tarihinde ve aynı saat içerisinde rehbere bir çok kişi girişi yapıldığı (oluşturuldu) görülmüştür. 11.04.2016 tarihinden sonra düzenli olarak zaman damgalarının yer aldığı belirlenmiştir.
Cihaz üzerinde yüklenmiş ve kaldırılmış uygulama bilgilerinin tutulduğu “ApplicationState” isimli veritabanı bilgileri incelendiğinde; 11.04.2016 tarihinin database dosyası kurulum tarihi olarak görülmüştür.
Ancak zaman damgaları verilerinde 09.10.2019 tarihi ve saati (UTC+3) içerisinde de çok sayıda rehber kişisinin eklendiği (değiştirildi) anlaşılmıştır.
Zaman damgaları incelenmesi sonucunda elimizde 2 farklı tarihte yapılan bir çok işlem kaynağı belirlenmiş olup derinlemesine inceleme sonucunda cihaz üzerinde yapılan silme/kurulma işlemi tarihi netliğe kavuşacaktır.
İmaj içerisinde yer alan rehber verisi incelendiğinde “Zaman Damgaları” içerisinde belirlenen 2 farklı zaman dilimi ile karşılaşılmıştır. (Oluşturuldu: 11.04.2016, Değiştirildi:09.10.2019)
Cihaz üzerindeki video ve fotoğraf metadata verileri incelenmiş olup; 2016 yılında aynı iCloud hesabı ile kullanıldığı video dosya yolundan (/Media/PhotoData/CPLAssets) anlaşılan Apple marka iPhone 6S model cep telefonu tespit edilmiştir.
“/private/var/mobile/Library/Preferences” klasör yolu içerisinde yer alan IOS işletim sisteminde kurulum aşamalarının tutulduğu “com.apple.purplebuddy.plist” içerisinde inceleme yapıldığında “GuessedCountry” sekmesi altında yer alan tarihin cihazın net kurulum tarihi olarak belirlenebileceği anlaşılmıştır.
Aynı şekilde “iCloud” ve “Backup” hizmetlerinin tutulduğu “com.apple.assistant.backedup.plist” verisi içerisinde yer alan “VoiceIdentification” bölümünde 08.10.2019 tarihinin görüldüğü anlaşılmış olup tüm bu veriler birbirleri ile bağdaştırıldığında incelenen cihazın en son kurulum tarihinin 08.10.2019 olduğu söylenebilmektedir.
