Apple Biome: onde ficam e como se leem os registros de atividade do iPhone na perícia

O Apple Biome é um sistema interno dos iPhones, iPads e Macs que registra o que acontece no aparelho, como quais aplicativos foram abertos e quando o celular ficou bloqueado, carregando ou conectado a uma rede, mas a Apple não documenta publicamente esse sistema, por isso o que se sabe sobre ele vem de pesquisa forense, como a divulgada pela Belkasoft em uma série de dois artigos técnicos.

Por que o Biome importa para a perícia

Até o iOS 16, grande parte desse tipo de evidência estava no banco de dados knowledgeC.db, em formato SQLite, e a partir do iOS 14 a Apple passou a duplicar e, depois, a mover parte desses fluxos de registros para o Biome, de modo que a mesma informação reaparece em outra pasta.

Por isso um exame que olhe apenas o knowledgeC.db pode deixar de fora parte da linha do tempo, já que o Biome oferece uma sequência de eventos com data e hora, registros de atividade de outros aparelhos ligados ao mesmo Apple ID e informações de aplicativos que podem não existir mais nos bancos de dados próprios de cada app.

Onde os arquivos ficam

Os dados só aparecem numa extração completa do sistema de arquivos, porque um backup no estilo do iTunes não traz esses registros.

Os arquivos ficam principalmente em duas pastas, /private/var/mobile/Library/Biome/ e /private/var/db/biome/, e dentro delas a pasta streams separa os dados em public e restricted conforme a sensibilidade que a Apple atribui a cada tipo, sendo que os fluxos restritos cobrem em geral mensagens e chamadas, enquanto os públicos tratam de uso geral do aparelho e de aplicativos.

Cada pasta costuma ter uma subpasta local, com os registros gerados naquele aparelho, e uma subpasta remote, com os registros sincronizados de outros dispositivos, cujo nome é o identificador GUID do aparelho de origem e pode ser associado pelo banco sync.db.

Os nomes dos arquivos são a data de criação em Mac Absolute Time, medida em microssegundos, e cada fluxo traz um arquivo de metadados com o prazo de retenção, que em geral é de 2.419.200 segundos, ou seja, 28 dias.

Dados mais antigos saem do fluxo ativo, mas podem permanecer nos arquivos guardados na pasta tombstone, o que pode estender a linha do tempo para trás além da janela de 28 dias.

O formato SEGB

Os arquivos de cada fluxo são chamados de SEGB, nome que vem da assinatura ASCII gravada dentro deles, e existem duas versões, sendo que a v1, usada no iOS 15 e no iOS 16, tem um cabeçalho de 56 bytes seguido de registros com cabeçalho de 32 bytes e um payload, que costuma ser uma mensagem Protocol Buffer.

Cada cabeçalho de registro traz o tamanho do payload, um campo de estado, dois carimbos de tempo e um CRC32 do conteúdo, e, segundo pesquisas da comunidade citadas pela Belkasoft, o estado 1 indica registro válido, o estado 3 indica registro marcado como apagado e o estado 4 ainda não tem significado confirmado.

A v2, introduzida no iOS 17, tem tamanho fixo de 1 MiB e quatro seções, cabeçalho, registros, área não usada e um índice no fim do arquivo formado por entradas de 16 bytes, uma para cada registro.

O que conferir antes de afirmar um horário

Os dois carimbos de tempo de um registro nem sempre coincidem, porque em geral marcam quando o registro foi gravado e não necessariamente quando o evento aconteceu, e quem monta a linha do tempo precisa separar essas duas datas e dizer qual delas está sendo usada.

Também é preciso informar a versão do iOS do aparelho, já que ela define o formato do arquivo, e os registros marcados como apagados podem conter dados recuperáveis, devendo ser apresentados com o estado indicado e não como evento comum.

Por fim, a fonte é um fabricante de ferramentas que explica a estrutura com base em pesquisa própria, e por isso, num laudo, a estrutura deve ser confirmada na extração do próprio caso, com a ferramenta e a versão usadas registradas no histórico do exame.