IT-kriminalteknik · macOS

Forensisk analyse af vigtige steder – Korrekt klassificering af vigtige steder i macOS

macOS kan via Location Services genkende steder, der er vigtige for brugeren. Apple beskriver »Significant Locations« som en funktion, der gør det muligt for en Mac at identificere sådanne steder og bruge dem til kontekstrelaterede oplysninger i apps som Maps, Calendar og Reminders. Apple påpeger samtidig, at »Significant Locations« er krypteret og ikke kan læses af Apple.

Uforpligtende forespørgsel

For retsmedicin kan funktionen være relevant som mulig kontekst for placeringen. Den faktiske tilgængelighed af data, der kan analyseres, afhænger dog af macOS-versionen, enhedskonfigurationen, synkroniseringen af Apple-kontoen, kryptering og tilstanden af de sikkerhedskopierede data. Man må ikke gå ud fra, at der foreligger en fuldstændig eller varigt bevaret placeringshistorik.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi undersøger, om der i den pålideligt registrerede datakilde findes teknisk anvendelige oplysninger om vigtige steder eller tilknyttede lokaliseringstjenester. I det omfang det er muligt, sammenholdes tids- og stedsoplysninger med yderligere data fra Maps, Calendar, Reminders, Location Services og andre sagsrelaterede datakilder.

Manglende eller utilgængelige data dokumenteres udtrykkeligt som en begrænsning. Der udledes ingen opholdssteder ud fra rene konfigurationsoplysninger eller den generelle funktionsbeskrivelse.

Typiske anvendelsesområder

•Undersøgelse af mulige opholds- og lokalitetshenvisninger
•Sammenhæng med data fra Maps, Kalender og Påmindelser
•Kontrol af lokationsspecifik systemkonfiguration
•Rekonstruktion af rum-tidsmæssige sammenhænge
•Undersøgelser af brugeraktivitet og håndtering af hændelser
•Vurdering af slettede eller synkroniserede lokaliseringsoplysninger
•Retslige og udenretslige ekspertudtalelser

Sådan foregår den retsmedicinske undersøgelse

Efter at der er foretaget en sikker beslaglæggelse af bevismaterialet, fastslås det først, hvilke oplysninger vedrørende lokationstjenester og vigtige lokationer der findes og er tilgængelige på det pågældende macOS-system. Derefter struktureres de anvendelige poster efter kilde, tidsangivelse og lokalitetsoplysninger.

Resultaterne sammenholdes med uafhængige datakilder. I den forbindelse tager vi højde for, at Apple giver mulighed for at slette historikken for »Significant Locations«, og at placeringsoplysninger kan være krypteret eller synkroniseret på enheds- eller kontobasis.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

»Significant Locations« kan i relevante tilfælde give en yderligere kontekst til den geografiske placering af digitale begivenheder. Funktionen skal dog ikke sidestilles med en garanteret, fuldstændig GPS-historik.

Netop i forbindelse med retssager er det afgørende at skelne mellem en gemt lokaliseringsoplysning, en „vigtig“ position, som systemet har registreret, og et sikkert bevis for en bestemt persons tilstedeværelse. Sidstnævnte kræver som regel yderligere bevismateriale.

Ofte stillede spørgsmål

Hvad er »Significant Locations«?+
Apple bruger dette udtryk til at beskrive steder, som en enhed genkender som værende vigtige for brugeren og kan anvende til kontekstbaserede funktioner.
Kan Apple læse disse steder?+
Apple oplyser, at »Significant Locations« er krypteret og ikke kan læses af Apple.
Kan historikken slettes?+
Ja. Apple tilbyder en funktion til at slette historikken for Significant Locations.
Beviser en »Significant Location«-post, at en bestemt person har været til stede?+
Ikke automatisk. En konstatering vedrørende et udstyr eller en placering skal adskilles fra den personrelaterede tilknytning og sammenholdes med yderligere bevismateriale.

LanCologne – macOS-forensik i Köln

Har du brug for en professionel undersøgelse af »Significant Locations« eller andre spor efter en Macs placering? LanCologne hjælper dig med at sikre beviserne på en retligt holdbar måde og med en omhyggelig, teknisk holdbar tolkning.

Kontakt os nu