Informatique légale · macOS

Analyse judiciaire de FileVault – Évaluation de l'état du chiffrement et des possibilités d'accès

FileVault protège les données sur un Mac grâce au chiffrement. Sur les Mac équipés d’Apple Silicon ou de la puce de sécurité Apple T2, les données sont déjà chiffrées au niveau matériel ; FileVault ajoute une couche de protection supplémentaire en conditionnant l’accès à l’utilisation des identifiants de l’utilisateur ou à des mécanismes de récupération appropriés. Sur les anciens Mac Intel sans puce T2, la situation technique est différente et doit être évaluée séparément.

Demande sans engagement

Pour la criminalistique, FileVault revêt une importance particulière, car l'état de chiffrement et de déverrouillage influe directement sur les données accessibles sur un système saisi ou remis aux autorités. FileVault ne constitue toutefois pas un artefact d'activité et ne permet pas, à lui seul, de déterminer qui a créé ou utilisé certains fichiers.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous documentons l'état de chiffrement identifiable, la plate-forme matérielle, les structures APFS existantes et les conditions d'accès pertinentes pour une collecte de preuves fiables. Le contexte utilisateur et le contexte de récupération ne sont évalués que dans la mesure des informations effectivement disponibles et légalement fournies.

Pour les systèmes en service ou déverrouillés, la situation actuelle en matière d'accès est documentée avec un soin particulier, car un changement d'état ultérieur peut modifier considérablement les possibilités de saisie.

Domaines d'application typiques

Voici comment se déroule l'expertise judiciaire

Dans un premier temps, le modèle, la plate-forme processeur et la structure des supports de données sont documentés. Ensuite, on vérifie quels volumes APFS sont présents et dans quel état ils sont accessibles. L'analyse s'effectue sans apporter de modifications inutiles au système d'origine.

La procédure à suivre dépend essentiellement de l'état dans lequel le Mac a été remis : éteint, allumé, connecté ou déjà déverrouillé. Ces états sont strictement distingués dans la documentation, car ils influencent les méthodes de sauvegarde techniquement possibles.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

FileVault fait partie des éléments clés d'une procédure moderne de sauvegarde des preuves sous macOS. En particulier sur les systèmes Apple Silicon et T2, il convient de tenir compte des mécanismes de clés liés au matériel et de l'état actuel de l'appareil.

Du point de vue de la criminalistique, ce n’est donc pas seulement la constatation „ FileVault actif “ qui est déterminante, mais aussi la documentation précise de la plateforme, de l’état du chiffrement et des droits d’accès disponibles au moment de la sauvegarde.

Foire aux questions

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle portant sur un Mac protégé par FileVault ? LanCologne vous accompagne dans la collecte des preuves dans le respect des règles de chaîne de conservation et dans l'analyse techniquement rigoureuse.

Nous contacter dès maintenant