6、支持：本地iOS备份（iTunes）；iCloud和iCloud Drive备份；iCloud同步了数据（通话记录，照片，浏览历史记录等）Microsoft帐户（具有有效的身份验证凭据）；iCloud身份验证令牌。
最新更新允许从iCloud同步数据下载语音备忘录剪辑。此外，该工具现在可以从iCloud中提取“屏幕时间”密码（需要Apple ID登录名，密码和2FA以及设备屏幕锁定密码）。
健康数据可以成为必不可少的证据。心率，睡眠习惯，锻炼，步伐和步行常规只是Apple Health想到的几件事。Elcomsoft Phone Breaker可以从用户的iCloud帐户从iOS设备远程提取同步的运行状况数据。
Elcomsoft Phone Breaker可以取证访问存储在运行所有版本iOS的各种Apple设备中的信息。该工具可以使用GPU加速蛮力破解密码并解密iOS备份，解密和分析存储在iOS钥匙串中的密码。该工具可以下载iCloud备份和同步数据，并访问受保护的数据，例如iCloud钥匙串，iCloud消息和运行状况。
云获取是一种检索现代智能手机备份或同步的最新信息及其各自的云服务的高效方法。Elcomsoft Phone Breaker支持从Apple iCloud和Microsoft Account提取云备份和同步数据，从而可以远程获取iPhone和iPad设备以及运行Windows Phone和Windows 10 Mobile的智能手机。
法医专家可以获取在线备份，而无需掌握原始的iOS或Windows Phone设备。访问存储在云服务中的在线备份所需的全部是原始用户的凭据，包括Apple ID或Live ID以及相应的密码。
如果用户的Apple ID和密码不可用，则Elcomsoft Phone Breaker可以使用Apple iCloud控制面板创建的二进制身份验证令牌，以便登录到iCloud并检索信息。使用身份验证令牌可以绕过两因素身份验证，即使无法访问辅助身份验证因素也是如此。
Elcomsoft Phone Breaker是市场上唯一可访问，提取和解密iCloud钥匙串的工具，iCloud钥匙串是苹果公司基于云的系统，用于跨设备存储和同步密码，信用卡数据和其他高度敏感的信息。与授权使用新的Apple设备相反，Elcomsoft Phone Breaker并未成为信任圈的一部分，并且不需要中间件设备，因此可以真正取证提取受保护的记录。
屏幕时间密码是iOS 12及更高版本中的可选功能，可用于保护内容和隐私限制。设置密码后，如果专家除屏幕锁定密码外还尝试重置设备备份密码（iTunes备份密码），iOS将提示您输入“屏幕时间”密码。因此，专家将需要两个密码来重置备份密码：设备屏幕锁定密码和屏幕时间密码。由于4位数的屏幕时间密码与设备锁定密码（锁定和解锁设备时使用的密码）是分开的，因此它成为一个额外的安全层，有效地阻止了逻辑获取尝试。
Apple支持运行状况和消息通过iCloud同步。Elcomsoft Phone Breaker是市场上第一个从带有附件的iCloud中提取和解密消息，提取和解密运行状况数据的工具。要访问运行状况和消息，需要用户的Apple帐户的登录名和密码，通过两因素身份验证的一次性代码以及已注册设备之一的屏幕锁定密码或系统密码。
Elcomsoft Phone Breaker可以从用户的Apple帐户提取托管解密密钥，并使用这些密钥解密macOS FileVault 2卷，即使用户帐户密码未知。
注意：目前，Elcomsoft Phone Breaker只能解密HFS +卷。
软件优势
1、恢复受密码保护的Apple iTunes备份
Elcomsoft Phone Breaker可以取证访问基于Apple iOS平台的智能手机和便携式设备的受密码保护的备份。密码恢复工具支持运行所有版本iOS的所有Apple设备，包括迄今为止发布的所有世代的iPhone，iPad和iPod Touch设备。
2、检索云数据：Apple iCloud和Microsoft帐户
云获取是检索Apple iOS生产的移动备份中存储的信息的一种好方法，并且是探索Windows Phone，Windows 10 Mobile和台式机Windows 10设备时的便捷选择。如果已知该帐户的原始用户凭据，则Elcomsoft Phone Breaker可以从Apple iCloud和Microsoft帐户检索信息。
法医专家可以获取在线备份，而无需使用原始的iOS或Windows设备。访问存储在云服务中的在线备份所需要做的就是原始用户的凭据，包括Apple ID或Microsoft帐户以及相应的密码。
3、两步验证和两要素验证
Elcomsoft Phone Breaker通过Apple的两步验证以及新的两因素验证来支持帐户。需要访问第二身份验证因素，例如可信设备或恢复密钥。您只需使用一次即可，因为Elcomsoft Phone Breaker可以为以后的会话保存身份验证凭据。
4、无需登录名和密码即可访问iCloud
如果用户的Apple ID和密码不可用，则Elcomsoft Phone Breaker可以使用Apple iCloud控制面板创建的二进制身份验证令牌，以便登录到iCloud并检索信息。使用身份验证令牌可以绕过两因素身份验证，即使无法访问辅助身份验证因素也是如此。
Elcomsoft Phone Breaker的取证版本具有从Windows和Mac OS X计算机，硬盘驱动器或取证磁盘映像获取和使用身份验证令牌的功能。可以提取该计算机的所有用户（包括域用户）的身份验证令牌（假设他们的系统登录密码是已知的）。Windows和Mac版本均提供这些工具。
使用身份验证令牌访问iCloud数据的能力可能会因多种情况而有很大差异。计算机上安装的iOS版本和iCloud应用程序的版本，无论该帐户是否已注册两因素身份验证以及其他限制，都可能影响人们可以使用身份验证令牌的程度。
5、解密FileVault 2卷
FileVault 2是Apple的Mac OS X中使用的全磁盘加密方案。FileVault2通过安全的256位XTS-AES加密保护整个启动分区。
如果用户忘记了他们的帐户密码，或者如果加密的卷已移动到另一台计算机，则可以使用特殊的恢复密钥来解锁FileVault 2。如果用户使用其Apple ID凭据登录，则恢复密钥可以保存到用户的iCloud帐户中。如果用户忘记了密码，则系统可以自动使用恢复密钥来解锁加密卷。重要的是要注意，Apple不允许最终用户从iCloud查看或提取FileVault 2恢复密钥。
Elcomsoft Phone Breaker可以从用户的iCloud帐户中提取FileVault 2恢复密钥，并使用这些密钥解密加密的磁盘映像。需要有效的身份验证凭据（Apple ID /密码或iCloud身份验证令牌）以及从FileVault加密的磁盘映像中提取的卷标识信息。
注意：此功能仅在法证版中可用。目前不支持APFS卷。
6、提取同步数据
iPhone自动将某些类型的数据与iCloud实时同步。Elcomsoft Phone Breaker自动下载同步数据，包括通话记录，联系人，便笺（包括已删除的便笺和附件），日历以及包括Safari历史记录（包括已删除的记录），书签和打开的选项卡在内的Web浏览活动。与可能每天创建或不每天创建的iCloud备份不同，同步的信息仅在相应活动发生后几分钟被推送到Apple服务器。上载后，同步数据可以保留数月，最终用户没有选择清除数据或禁用同步的选项。
Elcomsoft Phone Breaker支持以下类型的同步数据：
iCloud中的消息：带有媒体和文件附件
健康数据
iCloud钥匙扣
屏幕时间密码
Safari（浏览历史记录，书签，在用户设备上打开的标签页）
日历，便笺，联系人和语音备忘录
通话记录（有关已拨打和已接电话的信息）
苹果地图（路线，地点，搜索）
Wi-Fi（无线接入点，MAC地址，添加的日期和设备）
钱包（付款数据以外的所有内容）
帐户信息（有关在Apple ID帐户中注册的用户和设备的综合信息）
iBooks（包括用户添加的PDF文件的文档）
iCloud文件
除iCloud备份外，Elcomsoft Phone Breaker还可下载用户iCloud帐户中存储的文件，例如文档或电子表格，第三方应用程序数据（例如WhatsApp自己的备份，存折/钱包数据等）等。可以从同步的Mac中提取文件，例如桌面，文档和回收站。在Windows和macOS系统上，使用iCloud功能可以使用其中一些数据（大多数是文档），但是大多数文件只能通过Elcomsoft Phone Breaker访问。可用的确切数据集可能取决于安装的iOS版本，iCloud同步设置，连接到给定帐户的设备上安装的应用程序列表以及这些应用程序中设置的选项。请注意，从iCloud下载文件时，Apple没有发送电子邮件通知。
7、访问iCloud照片库中的照片
苹果公司的iCloud照片库旨在帮助用户在多个设备之间存储和同步媒体文件。如果启用了iCloud照片库，则媒体文件将不再保存到iOS iCloud备份中。因此，获取iCloud备份或下载存储在iCloud Drive中的文件不会自动提供对存储在iCloud照片库中的媒体文件的访问。
Elcomsoft Phone Breaker可以提取存储在用户的iCloud照片库中的照片和视频。除现有文件外，Elcomsoft Phone Breaker还可以提取在过去30天内从媒体库中删除的媒体文件。通过指定要下载的用户创建专辑，可以进行选择性下载。
8、将密码恢复到Apple iTunes备份
该工具将恢复原始的纯文本密码，从而保护Apple iOS设备的加密备份。备份包含通讯录，呼叫日志，SMS存档，日历和其他组织者数据，摄像机快照，语音邮件和电子邮件帐户设置，应用程序，Web浏览历史记录等等。
注意：此功能仅在Windows版本中可用。
9、对iCloud备份的选择性访问
第一次下载大型备份可能要花费数小时。后续更新是增量的，并且更新速度更快。如果速度是必不可少的，Elcomsoft Phone Breaker可以快速获取选择的信息，并跳过下载时间最长的数据（例如音乐和视频）。可以在短短几分钟内预先选择并下载诸如消息，附件，电话设置，通话记录，地址簿，便笺，日历，电子邮件帐户设置，相机胶卷和许多其他信息之类的信息，从而为调查人员提供几乎真实的信息。及时获取基本信息。
10、GPU加速
当存在一个或多个受支持的视频卡时，ElcomSoft通过显着提高密码恢复的速度，从而为长期攻击提供了一种高效，经济高效的解决方案。该公司获得专利的GPU加速功能将恢复iPhone / iPad / iPod和BlackBerry备份密码所需的时间缩短了几个数量级。最新一代的ElcomSoft GPU加速技术支持无限数量的AMD或NVIDIA板。
为了使GPU加速具有成本效益，ElcomSoft实施了对同时运行的多个不同GPU加速单元的支持。实际上，这种经济实惠的解决方案允许混合使用多代兼容视频卡，通过添加新的加速硬件而不是更换硬件来扩展现有系统。
11、进阶攻击
Elcomsoft Phone Breaker支持可自定义排列的高级字典攻击。根据多项安全研究，大多数用户选择有意义的，基于字典的密码，使他们更容易记住。Elcomsoft Phone Breaker能够快速有效地恢复此类密码及其变体，无论使用哪种语言。Elcomsoft Phone Breaker支持各种字典单词排列，为每个字典单词尝试数百种变体，以确保获得恢复密码的最佳机会。
12、提取，解密和查看存储在iOS钥匙串中的密码
iOS为多种类型的数据提供了高度安全的加密存储。存储的Web表单和浏览器密码，电子邮件帐户，应用程序密码和身份验证令牌（包括Apple ID帐户令牌）安全地存储在钥匙串中，并使用每个设备唯一的硬件密钥进行加密。
Elcomsoft Phone Breaker可以从受密码保护的本地（iTunes风格）备份中提取和解密iOS钥匙串。内置的钥匙串资源管理器工具允许当场浏览和浏览钥匙串项目。
注意：对于本地非加密备份和从iCloud下载的备份，仅对于越狱的32位设备，只有在您对设备具有物理访问权限并且可以使用Elcomsoft获得加密密钥（0x835，安全）时，才可以解密密钥链iOS取证工具包。
使用说明
一、如何从iCloud提取屏幕时间密码和语音备忘录
该屏幕时间密码为iOS的12和13的一个可选功能，可用于保护内容和隐私限制。设置密码后，如果专家除屏幕锁定密码外还尝试重置设备备份密码（iTunes备份密码），iOS将提示您输入“屏幕时间”密码。因此，专家将需要两个密码来重置备份密码：设备屏幕锁定密码和屏幕时间密码。由于4位数的屏幕时间密码与设备锁定密码（锁定和解锁设备时使用的密码）是分开的，因此它成为一个额外的安全层，有效地阻止了逻辑获取尝试。
由于用户不必输入输入屏幕锁定密码所需的输入屏幕时间密码的次数，因此很容易真正忘记该密码。除了将设备重置为出厂设置并将其设置为新设备（而不是从备份中还原）以外，Apple没有提供用于重置或恢复“屏幕时间”密码的官方例程。因此，在设备购买过程中，官方路线是不可接受的。
非官方地，用户可以通过对设备进行全新的本地备份并使用第三方工具检查其内容来恢复其“屏幕时间”密码。在iOS 12中，屏幕时间密码只能从受密码保护的备份中恢复；在iOS 13中，即使从本地备份也无法获取密码。如果使用专家不知道的密码来保护本地备份，则情况将陷入僵局：如果没有“屏幕时间”密码，则无法重置未知的备份密码；如果不解密备份，则无法访问“屏幕时间”密码。
Elcomsoft Phone Breaker 9.20通过从用户的iCloud帐户获取“屏幕时间”密码来为僵局提供有效的解决方案。该工具支持所有版本的iOS 12和13。
为什么法医专家可能需要屏幕时间密码
即使在用户设备上没有配置其他限制，屏幕时间密码在设备上的唯一存在也意味着某些功能仍然不可访问。屏幕时间密码锁定的最需要的功能是能够重置未知密码来保护本地（iTunes）备份。
iTunes备份是逻辑提取过程中的主要数据来源。如果备份受密码保护，则其全部内容将被加密。对密码的攻击非常慢（使用GPU辅助攻击时每秒大约100个密码）。尽管iOS 11、12和13允许从设备设置中重置备份密码，但需要输入设备屏幕锁定密码才能进行重置。如果用户具有屏幕时间密码，则除了屏幕锁定密码之外，您还需要输入该密码。知道了“屏幕时间”密码，您可以删除此附加保护层，然后继续重置本地备份密码。
屏幕时间iCloud Sync
从iOS 12开始，如果用户激活了跨设备共享功能，则可以将屏幕时间信息同步到iCloud 。除“屏幕时间”密码外，系统还将同步“设备间共享”中注册并连接到同一iCloud帐户的所有设备的综合使用情况统计信息。如果为该家庭配置了一个或多个孩子帐户，则每个孩子可以拥有自己的“屏幕时间”密码，该密码通常不同于其父母的密码。
通过提取和分析“屏幕时间”信息，专家可以提取“屏幕时间”密码，从而可以删除“屏幕时间”保护和/或重置保护本地（iTunes）备份的密码。反过来，这使得逻辑采集变得容易。从iOS 13开始，即使使用已知密码加密了屏幕时间密码，也无法从本地备份中提取它。因此，云提取是从运行iOS 13的设备获取“屏幕时间”密码的唯一方法。
iCloud中的屏幕时间信息已安全加密。苹果使用了与保护iCloud钥匙串相同的保护机制。数据用加密密钥加密，可以通过输入已注册设备的屏幕锁定密码来解密。这意味着，要访问“屏幕时间”数据，您将需要以下所有内容：用户的Apple ID凭据（登录名，密码和2FA代码）及其屏幕锁定密码。
使用Elcomsoft Phone Breaker提取屏幕时间密码
为了从iCloud中提取“屏幕时间”密码，您将需要Elcomsoft Phone Breaker 9.20或更高版本。在撰写本文时，Elcomsoft Phone Breaker是市场上唯一可以从云获取Screen Time密码的工具（与从本地备份中提取密码相反）。
为了使“屏幕时间”密码与用户帐户同步，必须已在设备上启用“跨设备共享”设置。如果不是，那么“屏幕时间”密码将保留在本地且无法从云中提取。“跨设备共享”功能需要2FA，因此必须通过两因素身份验证。
重要提示：如果配置了“屏幕时间”密码，并且未知，但是设备上尚未启用“跨设备共享”设置，则“屏幕时间”密码将不会同步到iCloud。如果尝试自己启用“跨设备共享”，则会提示您输入“屏幕时间”密码，这是一个死锁。因此，如果“设备间共享”设置已启用，您将只能从iCloud提取“屏幕时间”密码。
启动Elcomsoft电话断路器
选择“同步数据”
登录到用户的Apple帐户（仅限登录名/密码/ 2FA）
在随后的屏幕上，选中“屏幕时间”复选框
Phone Breaker将显示已注册设备的列表。系统将提示您输入设备屏幕锁定密码。从列表中选择设备，然后输入其密码（如果是Mac，则输入系统密码）以继续
启动Elcomsoft Phone Viewer并打开您刚刚下载的数据
屏幕时间密码将显示在Elcomsoft Phone Viewer的主屏幕上
如果打开“屏幕时间”选项卡，则可在Elcomsoft Phone Viewer中获得其他信息。
提取以下“屏幕时间”数据：“屏幕时间”密码（如果有孩子帐户，则为父母和孩子的密码）；有关通过iCloud共享“屏幕时间”数据的所有设备的信息，包括这些设备上已安装的应用程序的列表（包括Mac计算机和Apple Watch）。此外，该工具还提取有关已配置限制的信息。您可以在Elcomsoft Phone Viewer中查看所有这些数据。
下一步
如果获取“屏幕时间”密码的目的是重置本地备份密码，则现在可以打开“ 设置”应用，然后点击“ 重置所有设置”。将会连续提示您输入设备屏幕锁定密码和屏幕时间密码。重置本地备份密码后，请确保指定您自己的密码（通过iTunes或使用自动设置密码为“ 123”的Elcomsoft iOS Forensic Toolkit）。如果使用iOS 13，则需要在系统提示时输入设备屏幕锁定密码（在设备上）以确认更改。您必须指定一个已知的本地备份密码才能解密“ 钥匙串和健康”。数据。在iOS 13中，您只能访问受密码保护的本地备份中的Safari浏览历史记录和其他一些数据（例如，通话记录）。
从iCloud提取语音备忘录
Voice Memos是Apple制作的本地应用程序，可在App Store中使用。该应用程序使使用iPhone的内置麦克风录制音频剪辑成为可能。在iOS 12中，语音备忘录已成为功能齐全的音频录制和编辑应用程序。语音备忘录经常用于录制讲座和演示，访谈和试镜。iOS 12和13以及macOS 10.15 Catalina可以将录制的音频片段同步到iCloud。
Elcomsoft Phone Breaker可以从iCloud同步数据下载语音备忘录片段。这就是这样做的方法。
启动Elcomsoft电话断路器
选择“同步数据”
登录到用户的Apple帐户（登录/密码/ 2FA或令牌）
在随后的屏幕上，选中“语音备忘录”复选框
下载资料
现在，您可以使用Elcomsoft Phone Viewer分析语音备忘录。
二、浏览iTunes和iCloud备份
在下载iTunes或iCloud备份或使用EPB解密本地备份后，您可以使用Elcomsoft Phone Viewer来浏览其内容，该工具用于查看iOS和其他移动操作系统生成的备份内容。 这是第一个也是唯一一个可以与原始iTunes格式的iOS开发冰备份以及还原的文件名一起使用的虚拟机。 Elcomsoft Phone Viewer提供了一种方便的方式来查看备份内容，包括：
有关开发人员的信息，例如：
o型号名称
o序列号
o电话号码
备份中存储的数据，例如：
o应用程序o日历数据
o联系人o通话记录
o地点
o讯息
o注意
o通知
o多媒体文件
o钱包数据
o网络浏览数据
o Wi-Fi连接已删除存储在iOS备份中的SMS和iMessages
使Elcomsoft Phone Viewer成为高度方便的浏览工具的其他功能包括：支持将媒体文件导出为纯格式显示通过Google Maps自动映射的位置数据通过源自动分类（相机胶卷，邮件附件和其他媒体）
此外，Elcomsoft Phone Viewer允许灵活的数据过滤，为不同类型的信息提供不同的搜索参数集。 您可以按日期范围，数据类型，状态等搜索和过滤数据。
除此之外，Elcomsoft Phone Viewer还可以查看由Blackberry 10生成的备份以及同步的Microsoft帐户数据，这使其成为Elcomsoft Phone Breaker的理想伴侣
