Informatique légale · macOS

Analyse médico-légale du système de fichiers APFS – Les fondements des enquêtes modernes sous macOS

Depuis macOS 10.13, l'Apple File System (APFS) est le système de fichiers par défaut des Mac modernes. Conçu pour les supports de stockage flash et SSD, il prend notamment en charge les métadonnées « copy-on-write », le partage d'espace, les clones, les instantanés et le chiffrement. D'un point de vue médico-légal, la connaissance de la structure de l'APFS est donc une condition préalable essentielle à l'analyse en bonne et due forme des systèmes macOS actuels.

Demande sans engagement

Sur les Macs amorçables, un conteneur APFS se compose généralement, depuis macOS 10.15, de plusieurs volumes logiquement liés entre eux. Outre le volume système et le volume de données, il peut notamment exister des volumes de pré-démarrage, de récupération et de machine virtuelle. Depuis macOS 11, le système d'exploitation démarre systématiquement à partir d'un instantané du volume système. Cette architecture doit être prise en compte lors de la sauvegarde et de l'analyse, car les données modifiables par l'utilisateur et les composants système protégés ne se trouvent plus ensemble dans un seul volume de système de fichiers classique.

Une analyse APFS ne se limite pas à l'examen de fichiers isolés. Les structures des conteneurs et des volumes, les rôles des volumes, les instantanés, les métadonnées du système de fichiers, les informations temporelles et les liens avec d'autres artefacts macOS sont évalués conjointement. Dans le cas de systèmes chiffrés, il convient en outre de prendre en compte FileVault, les mécanismes de clés liés à Secure Enclave et la génération concrète de l’appareil. Les conclusions concernant la possibilité de récupérer des contenus supprimés doivent être formulées avec prudence et au cas par cas, en particulier pour les SSD, en raison du chiffrement, de la fonction TRIM et des zones de mémoire déjà écrasées.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse des systèmes macOS s'effectue systématiquement et exclusivement sur une copie ou une image à des fins d'expertise judiciaire. La preuve originale reste inchangée et est conservée dans des conditions garantissant sa validité en tant que preuve.

Nos services

Nous analysons les conteneurs et volumes APFS, les rôles des volumes, les métadonnées du système de fichiers, les instantanés APFS existants ainsi que la correspondance logique entre le volume système et le volume de données. En fonction du périphérique, de la version de macOS et de l'état des données, les structures pertinentes sont mises en corrélation avec les données utilisateur, système, d'application et de journalisation. Lorsque FileVault est activé, nous évaluons dans un premier temps si un accès aux données utilisateur chiffrées est possible, et dans quelles conditions légales et techniques cela est autorisé. L’objectif est de réaliser une reconstitution technique traçable sur la base des artefacts réellement présents.

Domaines d'application typiques

•Reconstitution des activités liées aux fichiers et aux utilisateurs
•Analyse des fichiers supprimés ou déplacés
•Analyse des instantanés APFS
•Évaluation des volumes système et des volumes de données
•Vol de données et accusations de manipulation
•Réponse aux incidents sur les systèmes macOS
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse médico-légale du système de fichiers APFS

Une fois le support de données ou la source de données médico-légales techniquement accessible saisi de manière à garantir la sécurité des preuves, la structure APFS est tout d’abord déterminée. Cette étape consiste à répertorier les conteneurs, les volumes, les rôles des volumes, l’état du chiffrement et les instantanés existants. Les informations pertinentes relatives au système de fichiers sont ensuite mises en corrélation avec d’autres artefacts macOS. Selon le modèle de Mac et la configuration de sécurité, la méthode de collecte des données peut varier considérablement ; les systèmes Apple Silicon et T2, en particulier, nécessitent une évaluation des possibilités d’accès existantes avant que les données utiles puissent être examinées. Toutes les étapes de l’analyse et les contraintes techniques sont documentées de manière traçable.

Pourquoi l'analyse APFS est-elle si importante ?

Sur les systèmes Mac actuels, APFS constitue la base technique du stockage des données du système d'exploitation, des utilisateurs et des applications. La distinction entre groupes de volumes, instantanés et mécanismes de chiffrement modernes diffère nettement des anciens systèmes HFS+. Une interprétation erronée de ces structures peut conduire à des conclusions erronées quant à la chronologie ou au contenu. C’est pourquoi les artefacts APFS ne sont pas analysés isolément, mais toujours évalués conjointement avec les journaux macOS pertinents, les artefacts utilisateur et les données d’application.

Foire aux questions

Qu'est-ce que l'APFS ?+
APFS est le système de fichiers Apple (Apple File System) et, depuis macOS 10.13, le système de fichiers par défaut des Mac modernes.
Le système d'origine fait-il l'objet d'une analyse ?+
Non. L'analyse s'effectue en principe sur une copie judiciaire, une image judiciaire ou toute autre source de données judiciaires enregistrée de manière à garantir la validité des preuves.
Les fichiers supprimés sur APFS peuvent-ils toujours être récupérés ?+
Non. Les possibilités dépendent notamment du chiffrement, du type d'appareil, de la fonction TRIM du SSD, de l'écrasement des données et de la structure APFS concrète. Une restauration peut être fortement limitée, voire impossible, en particulier sur les systèmes SSD modernes chiffrés.
Quelle est l'importance des instantanés APFS ?+
Les instantanés sont des états en lecture seule d'un volume APFS à un moment donné. Lorsqu'il existe des instantanés pertinents, ceux-ci peuvent fournir des informations supplémentaires permettant de reconstituer la chronologie et le contenu.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse médico-légale professionnelle d'un système Mac ou d'un support de données APFS ? LanCologne vous aide à réaliser une sauvegarde des preuves numériques conforme aux exigences judiciaires, ainsi qu'à analyser de manière traçable les éléments pertinents liés à macOS et à APFS.

Nous contacter dès maintenant