关于手机Android系统FDE、FBE加密下root提权对物理采集的影响

在FDE（全盘加密）和FBE（文件级加密）加密手机中，获取Root权限对物理镜像获取的影响有所不同，原因主要在于两种加密机制的设计和实现方式。

FDE（全盘加密）与Root权限

• FDE机制：FDE使用单一密钥对整个用户数据分区进行加密。在设备启动时，用户需要输入解锁凭据（如密码或PIN码）来解密整个磁盘。
• Root权限的作用：获取Root权限后，取证人员可以访问设备的底层文件系统，包括通常受限的系统文件和已删除数据的残留区域。这使得取证人员能够绕过操作系统的限制，直接访问存储设备的物理存储区域，从而获取整个磁盘的物理镜像。

FBE（文件级加密）与Root权限

• FBE机制：FBE允许对不同文件使用不同的密钥进行加密。文件分为凭据加密（CE）和设备加密（DE）两种存储空间。CE存储空间的数据只有在用户解锁设备后才能访问，而DE存储空间的数据在设备启动时即可访问。
• Root权限的局限性：即使获取了Root权限，取证人员也无法直接获取整个物理镜像。这是因为FBE的加密机制将数据分散在不同的加密区域，每个文件或目录都有自己的加密密钥。Root权限允许访问文件系统，但无法绕过文件级加密对单个文件的加密保护。

总结

• FDE加密手机：Root权限可以绕过全盘加密的限制，直接访问物理存储区域，从而获取整个磁盘的物理镜像。
• FBE加密手机：Root权限仅能访问文件系统，但无法绕过文件级加密对单个文件的加密保护，因此无法获取整个物理镜像。

这种差异主要是由于FDE和FBE在加密机制上的不同设计导致的。FDE使用单一密钥保护整个磁盘，而FBE使用多个密钥保护不同文件，使得Root权限在FBE环境下无法直接获取整个物理镜像。