通过研究发现, 具有外接数据接口的手表可以通过其外置的接口直接取证。目前市场上有部分智能手表, 可以通过表壳背面的触点（见图1）连接USB数据线进行充电和数据传输; 部分国产智能手表, 如本文实验中的好奔智能手表和GEAK Watch Pro智能手表, 会在手表外部直接留有USB数据接口或触点, 可直接连接电脑进行数据传输; 某些智能手表将数据端口整合到充电终端上, 如：三星将其手表Gear 2的USB连接线端口整合到对应的充电终端上, 借助其充电终端可以将智能手表与电脑进行连接^[7], 在电脑上进行数据操作; 另一方面对于大部分外壳表面并没有数据传输接口的智能手表, 很多在表壳内部保留了USB插针^[8], 因而可以尝试通过连接表壳内部的USB插针进行取证工作。由以上分析可知, 对可以通过USB连接到电脑的智能手表可以考虑通过USB连接线, 利用相应取证设备对智能手表中的数据进行提取和分析^[9]。

根据手表不同的型号和不同的系统可考虑采用物理提取或逻辑提取方法。1）物理提取方法。大部分国产智能手表采用MTK芯片, 连接电脑通过手机取证工具就可以直接获取到手表芯片的完整镜像并进行解析。项目组已对搭载MTK芯片的国产“ 好奔” 智能手表进行镜像提取并解析成功（见图2）。2）逻辑提取方法。对于无法进行物理提取的机型, 可考虑逻辑提取的方法。目前针对部分智能手表操作系统已可以获取系统权限进而进行取证。如基于Android Wear系统的部分手表型号已经可以通过刷入第三方Recovery刷机包或ROM的方法获取ROOT权限^[10], 在此基础上可以对其进行更加全面的数据获取。

图1

Fig.1

	Figure Option ViewDownloadNew Window
	图1 具有USB数据接口和触点接口的智能手表Fig.1 Smart watches with a USB/contact port

图2

Fig.2

	Figure Option ViewDownloadNew Window
	图2 MTK芯片智能手表镜像提取Fig.2 Mirror-image extraction from an MTK-chip-installed smart watch

目前几乎每款智能手表, 包括可以插入SIM卡进行独立电话拨打的手表, 都需要与对应的手机进行配对^[11], 并与手机进行数据交互和同步。交互方式通常是在配对手机上安装对应的APP, 在该应用下进行一系列设置使得手机和手表之间可以进行同步交互。因此可以考虑将智能手表中的数据同步到对应的手机APP上, 再利用手机取证设备对手机中应用进行取证分析, 从而间接得到手表中的数据^[12]。以Apple Watch为例, 它会将其中数据与配对iPhone进行同步, 因此对iPhone备份文件解析可以得到Apple Watch中的数据。笔者对有配对Apple Watch的iPhone的backup文件进行解析（见图3）, 在路径“ \private\var\mobile\Library\DeviceRegistry” 下可以找到配对Apple Watch的很多信息, 比如该路径下的“ NanoAppRegistry” 文件夹下可以找到所有在Apple Watch上安装的应用^[19]。此种方法尤其适用于没有物理接口的手表, 如上文中列出的Apple Watch、Moto 360二代、HiClingVOC、小米手环等不同种类的智能手表均可考虑采用此种方式来进行取证。

图3

Fig.3

	Figure Option ViewDownloadNew Window
	图3 iTunes backup文件解析结果Fig.3 Analysis result of an iTunes backup file

部分机型的智能手表使用与手机类似的存储芯片。对于这类智能手表, 可直接对其硬件进行拆解, 得到存储芯片, 通过相应设备对芯片中的数据进行物理提取^[13]并解析。这种方法可以得到智能手表最完整的数据, 但需要面对的困难是智能手表的硬件集成度更高, 拆解过程中可能容易损坏存储芯片, 对取证人员的技术水平有了更高的要求。笔者现已对GEAK Watch Pro等智能手表进行了拆解, 并成功提取到芯片数据镜像文件（见图4）。

图4

Fig.4

	Figure Option ViewDownloadNew Window
	图4 GEAK Watch Pro拆解图和主板Fig.4 Dismantling the GEAK Watch Pro and its mainboard

受体积和技术的限制, 一部分智能手表（多数为国产山寨手表）机身内存较小, 需要通过外置存储卡进行数据存储, 在这种情况下手表的大多数媒体数据都会存储在其外置存储卡上（见图5）, 因此对外置存储卡进行取证非常有必要。

目前市场上一部分智能手表以可单独进行通话为卖点, 如儿童电话手表等。这类手表可单独插SIM卡进行通话和发送短信（见图5）, 由此产生的通话记录和信息数据有可能会存储在SIM卡中, 因此对其SIM卡的取证同样必不可少^[14]。

图5

Fig.5

	Figure Option ViewDownloadNew Window
	图5 具有SIM卡槽和存储卡槽的智能手表Fig.5 A smart watch installed of both SIM and SD card slots

由于要满足体积小巧外形美观等要求, 大多数智能手表没有用于数据传输的接口, 充电也通常采用无线充电的方式^[15], 手表中的数据都是通过无线连接方式同步到手机上。在这种情况下, 过去在手机取证中常用到的USB连接电脑进行数据提取的方式就无法使用。虽然可以考虑采用上文中通过手机端获得部分数据, 但由于手机和手表间的同步并非实时, 且手表中数据并不会完全同步到手机上, 也就是说手机端和手表端的数据并非完全一致, 这种情况下对手表的单独取证变得尤为重要, 也将是未来智能手表取证的重要研究方向。

由于手表精巧紧凑的结构, 造成其内部硬件集成度非常高^{[16, 17, 18]}, 在采用对其拆解后直接读取芯片的方式时, 很可能在拆解过程中造成芯片被破坏, 因此对取证人员的拆解存储芯片能力提出了更高要求。另一方面智能手表可能采用定制的存储芯片^[19], 因此对拆解下来的芯片进行数据提取可能也存在一定困难。

由于受到运算能力和存储空间的限制, 智能手表中数据的存储方式与手机中的数据存储方式并不完全相同, 并且大多数智能手表采用了与智能手机不同的操作系统^{[20, 21]}。因此在解析数据方面也需要进行进一步研究。

就目前研究结果来看, 手表和其配对手机通过蓝牙、Wi-Fi等无线形式进行通讯和数据同步, 大部分仍采用一种较弱的加密机制SSL 2.0, 使用专门的破解工具很容易就可以将密码暴力破解出来^[22], 而一旦破解之后就可以监控手表和手机之间传送的信息。目前智能手表的固件更新加密也非常不足, 这为我们通过无线的方式向手表的操作系统刷入取证需要的固件信息提供了便利。

目前主流电子产品厂商（如苹果, 华为等）为用户免费提供了云同步功能和一定大小的云存储空间以存储同步数据。用户可以将重要数据（如通讯录, 短信息, 相册, 系统设置等）同步备份到云空间, 在必要的时候再将这部分数据恢复到本地。该功能由于非常方便快捷, 大多消费者都会选择使用, 也是厂商推荐的方式。考虑到与手机配对的手表中的一部分信息也会被同步到云端, 因此对云备份进行取证, 也是获取手表中数据的一个有效途径。