前面介紹數位鑑識時，常常會說：

不要讓自己成為破壞證據的人。

到了手機鑑識，這句話尤其重要。

因為手機和傳統硬碟不太一樣。現代手機通常有加密機制，而且儲存空間通常直接焊在主機板上，不能像硬碟一樣直接拔下來接 Write Blocker。

更麻煩的是：

手機一旦重新開機，可能會讓鑑識人員失去原本可以取得的資料。

AFU & BFU

這裡有兩個非常重要的狀態：

可以想成：

手機重新開機
      ↓
    BFU
      │
      │ 第一次成功解鎖
      ↓
    AFU

這個狀態非常重要。

因為手機的加密金鑰與解鎖狀態有關，BFU 狀態下，大量使用者資料在密碼學上仍然無法取得；完成第一次解鎖後，部分金鑰會留在記憶體中，使更多資料有機會被取得。

為什麼不能隨便重新開機？

假設鑑識人員拿到一支手機：

已開機
↓
之前已經解鎖過
↓
現在螢幕鎖定
↓
AFU

這時如果直接重新開機：

AFU
 ↓
Reboot
 ↓
BFU

原本存在於記憶體中的部分金鑰可能會消失。

也就是：

AFU
 ↓
重新開機
 ↓
部分金鑰消失
 ↓
回到 BFU
 ↓
可取得的資料可能變少

對已經處於 AFU 的手機來說，重新開機可能是一個非常嚴重的鑑識風險。

那拿到開機中的手機該怎麼辦？

手機已開機
     ↓
如果已解鎖
     ↓
盡量維持目前狀態
     ↓
隔離網路
     ↓
保持供電
     ↓
避免重新開機

為什麼要隔離網路？

因為手機在開機狀態下並不是「靜止的」。

它可能持續：

App Sync
    ↓
Cloud Sync
    ↓
收到新訊息
    ↓
更新資料
    ↓
產生新的 Artifact

甚至可能存在遠端清除裝置資料的風險。

所以在保持手機供電的同時，也需要考慮網路隔離。

常見方式包括：

• Airplane Mode

• Faraday Bag / Faraday Box

但兩種方式也有差異。

Airplane Mode 操作快速，但你必須碰手機，因此要記錄自己做了什麼。

Faraday Bag / Box 則可以避免直接操作裝置，但也要注意電池消耗。如果手機放進 Faraday 袋後電量耗盡，重新開機時就回到 BFU，因此不能只顧隔離而忽略供電。

小結

                  手機開機
                     │
                     ↓
                   BFU
          Before First Unlock
                     │
                     │ 第一次成功解鎖
                     ↓
                   AFU
           After First Unlock
                     │
             ┌───────┴───────┐
             │               │
          鎖定螢幕          重新開機
             │               │
             ↓               ↓
            AFU              BFU
                         部分金鑰消失

30天完賽啦～感謝看到這裡的大家！