IT-kriminalteknik · macOS

Forensisk analyse af Wi-Fi-netværk i macOS – Rekonstruktion af en Macs netværksforbindelser

macOS administrerer oplysninger om kendte og aktuelt anvendte Wi-Fi-netværk. Apple giver blandt andet brugerne mulighed for at vise kendte netværk, redigere deres indstillinger og slette netværk fra listen. Afhængigt af macOS-versionen og systemets tilstand kan de tilhørende konfigurations- og logspor være relevante for en retsmedicinsk undersøgelse.

Uforpligtende forespørgsel

At et netværk er gemt som kendt, beviser dog ikke, at Mac’en befandt sig på et bestemt sted på et bestemt tidspunkt. Kendskab til netværket, faktisk forbindelse og fysisk placering er tre forskellige forhold.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi undersøger tilgængelige Wi-Fi-konfigurationer og netværksrelaterede systemartefakter. Kendte netværk, tekniske identifikatorer, konfigurationshenvisninger og tidsrelaterede hændelser korreleres – i det omfang de foreligger – med Unified Logs, DHCP-/netværksspor, lokaliseringstjenester og andre datakilder.

Der kræves ikke adgangskoder eller nøglemateriale; der undersøges udelukkende de oplysninger, der rent faktisk er tilgængelige på den datakilde, der er registreret på en bevissikker måde.

Typiske anvendelsesområder

•Rekonstruktion af kendte Wi-Fi-netværk
•Undersøgelse af mulige netværksforbindelser
•Håndtering af sikkerhedshændelser og netværksforensik
•Sammenhæng med hændelser på anlægsstedet og i systemet
•Kontrol af forbindelser til virksomheds- og gæstenetværk
•Tidsmæssig inddeling af netværksaktiviteter
•Retslige og udenretslige ekspertudtalelser

Sådan foregår den retsmedicinske undersøgelse

Efter at der er foretaget en sikker sikkerhedskopiering, udarbejdes der en oversigt over eksisterende Wi-Fi- og netværkskonfigurationer. Relevante SSID-oplysninger og tekniske netværksdata dokumenteres og sammenlignes med tilgængelige systemprotokoller.

For at kunne drage konkrete konklusioner om en forbindelse er der behov for yderligere tidsrelaterede spor. Et kendt SSID alene tolkes hverken som bevis for en forbindelse eller som et sikkert bevis for en placering.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Wi-Fi-artefakter kan være meget nyttige ved rekonstruktion af netværks- og placeringskontekster. De kan f.eks. vise, at et netværk var kendt af systemet, eller at yderligere spor tyder på en forbindelse.

Rækkevidden af sådanne udsagn må dog forblive begrænset. SSID’er er ikke entydige på verdensplan, netværk kan omdøbes eller kopieres, og gemte konfigurationer kan forblive intakte længe efter den sidste brug.

Ofte stillede spørgsmål

Kan macOS gemme kendte Wi-Fi-netværk?+
Ja. macOS administrerer kendte netværk og indeholder funktioner til at vise, redigere og slette sådanne netværk.
Er et gemt SSID tegn på, at der faktisk er en forbindelse?+
Nej. For at kunne påvise en konkret forbindelse er der behov for yderligere tidsrelaterede spor.
Kan en SSID bevise en placering?+
Ikke alene. SSID’er er ikke entydige og kan forekomme på forskellige steder eller efterlignes.
Kan Wi-Fi-data kombineres med lokaliseringsdata?+
Ja. En sammenhæng mellem lokaliseringstjenester og andre uafhængige datakilder kan forbedre konteksten, men skal vurderes nøje ud fra et teknisk synspunkt.

LanCologne – macOS-forensik i Köln

Har du brug for en professionel undersøgelse af Wi-Fi- og netværksspor fra en Mac? LanCologne hjælper dig med at sikre beviser, der holder i retten, og med en gennemsigtig teknisk analyse.

Kontakt os nu