IT-kriminalteknik · macOS

Forensisk analyse af skærmtid – oversigt over brug af apps og hjemmesider på macOS

Screen Time har været en del af macOS siden macOS 10.15 og kan levere brugsoplysninger om apps, hjemmesider og andre enhedsaktiviteter. Apple beskriver blandt andet rapporter om brug af apps og hjemmesider, notifikationer og enhedsaktivitet. Afhængigt af konfigurationen kan Screen Time-data desuden synkroniseres mellem enheder, der er tilknyttet samme Apple-konto.

Uforpligtende forespørgsel

I forbindelse med kriminalteknisk efterforskning kan eksisterende Screen Time-data give oplysninger om brugen af bestemte applikationer eller hjemmesider inden for en given periode. De skal dog ikke opfattes som en fuldstændig aktivitetslog. Screen Time skal være aktiveret eller konfigureret korrekt, data kan samles på tværs af enheder, og Apple gør opmærksom på, at tilhørende brugsdata kan blive slettet, når Safari-historikken eller en app slettes.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi undersøger, om der findes data om skærmtid i den retsmedicinske datakilde, og om disse kan analyseres for den pågældende bruger eller det pågældende tidsrum. De tilgængelige brugsoplysninger sorteres efter applikation, hjemmeside, tidsrum og enhed.

Resultaterne sammenlignes med browserdata, samlede logfiler, applikationsdata og andre tidsrelaterede spor. En vist brugstid tilskrives ikke en bestemt brugeradfærd uden nærmere undersøgelse, især hvis Screen Time er blevet synkroniseret på tværs af enheder.

Typiske anvendelsesområder

Sådan foregår den retsmedicinske undersøgelse

Efter at dataene er blevet sikret på en pålidelig måde, kontrolleres det først, om Screen Time var aktiveret, og hvilke data der foreligger. Derefter udtrækkes relevante brugsoplysninger og tilknyttes den pågældende app, hjemmeside, tidsperiode og – i det omfang det er teknisk muligt – enheden.

Der lægges særlig vægt på den mulige synkronisering på tværs af flere Apple-enheder. Apple giver mulighed for at vise både statistikker for enkelte enheder og samlede brugsstatistikker. Derfor undersøges det, inden der drages konklusioner vedrørende tidsforløb eller bestemte personer, om resultaterne rent faktisk kan tilskrives den undersøgte Mac.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Screen Time kan supplere en klassisk macOS-artefaktanalyse med oplysninger om brugen. Især når det drejer sig om, hvorvidt et program eller et websted er blevet brugt inden for et bestemt tidsinterval, kan eksisterende data give et yderligere fingerpeg.

Informationsværdien har klare begrænsninger: Screen Time er ikke en retsmedicinsk revisionslog; den kan være deaktiveret, og data kan synkroniseres eller slettes. Derfor kan der først drages pålidelige konklusioner gennem sammenholdning med uafhængige spor.

Ofte stillede spørgsmål

LanCologne – macOS-forensik i Köln

Har du brug for en professionel undersøgelse af skærmtid eller brugsdata på en Mac? LanCologne hjælper dig med at foretage en retsgyldig sikkerhedskopiering og en gennemsigtig teknisk analyse.

Kontakt os nu