Informatique légale · macOS

Analyse forensic des Gatekeepers et de la quarantaine – Évaluation de l'origine et de l'exécution des logiciels

Gatekeeper est un mécanisme de sécurité central de macOS. Pour les logiciels provenant d'Internet, macOS vérifie, entre autres, la signature de l'identifiant du développeur, la certification et l'intégrité, en fonction de la provenance et de la configuration du système. Apple précise également que Gatekeeper demande l'autorisation de l'utilisateur avant la première ouverture d'un logiciel téléchargé et assure le suivi de la provenance des fichiers créés par ce logiciel.

Demande sans engagement

En matière d'analyse forensic, les informations relatives au contrôle d'accès et à la quarantaine peuvent fournir des indications importantes sur l'origine et le traitement des programmes ou fichiers téléchargés. Elles ne constituent toutefois pas un journal complet des téléchargements ou des exécutions. L'absence d'informations relatives à la quarantaine ne prouve pas qu'un fichier ne provienne pas d'Internet ou qu'il n'ait jamais été exécuté.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les informations existantes relatives à la quarantaine et au Gatekeeper dans le contexte des fichiers et applications concernés. Cette analyse prend notamment en compte les attributs avancés des fichiers, le statut de la signature de code et de la certification, les métadonnées des fichiers, la structure des applications et d'autres traces système disponibles.

En cas de logiciel suspect, une corrélation est établie avec les journaux unifiés, les mécanismes de lancement et de persistance, le contexte XProtect ainsi que les traces de navigation et de téléchargement, dans la mesure où celles-ci sont disponibles dans le cas concret. L'objectif est de procéder à une évaluation techniquement vérifiable de l'origine et de l'exécution du logiciel, sans surinterprétation des traces individuelles.

Domaines d'application typiques

•Analyse des programmes et fichiers téléchargés
•Analyses des logiciels malveillants et de la réponse aux incidents
•Vérification de l'origine et du contexte de la première mise en service
•Évaluation des alertes de sécurité ignorées
•Analyse de l'état de la signature de code et de la certification
•Corrélation avec l'historique du navigateur et les traces de téléchargement
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde effectuée, les fichiers et applications concernés sont identifiés et vérifiés à la lumière des métadonnées de quarantaine et de sécurité existantes. La signature du code, la certification et l'intégrité sont évaluées indépendamment du simple statut de quarantaine. Les sources de téléchargement possibles et les corrélations temporelles sont ensuite recoupées avec d'autres éléments.

Une prudence particulière s'impose en cas de conclusions négatives : les informations relatives à la quarantaine peuvent faire défaut ou avoir été modifiées, et toutes les voies de transmission ne laissent pas des traces identiques. C'est pourquoi seules sont consignées les informations qui peuvent être effectivement vérifiées à partir des données disponibles.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Gatekeeper et File Quarantine constituent un élément essentiel de l'architecture de sécurité des applications macOS. Apple précise que Gatekeeper vérifie les logiciels téléchargés et peut demander l'autorisation de l'utilisateur avant leur première ouverture.

D'un point de vue médico-légal, cela peut aider à déterminer d'où provenait un logiciel et comment macOS l'a traité en termes de sécurité. Les données doivent toutefois être recoupées avec les traces de téléchargement, de fichiers et d'exécution avant de pouvoir tirer des conclusions sur les actions concrètes de l'utilisateur.

Foire aux questions

Que vérifie Gatekeeper ?+
Lorsqu'un logiciel est téléchargé, macOS vérifie, entre autres, l'identité du développeur, la certification Notary et l'intégrité, selon les cas.
L'authentification notariale est-elle synonyme de sécurité totale ?+
Non. Il s'agit d'un dispositif de sécurité qui fait partie intégrante de la chaîne de vérification d'Apple, mais qui ne remplace pas une analyse criminalistique des logiciels malveillants au cas par cas.
Une entrée de quarantaine prouve-t-elle qu'un fichier a été exécuté ?+
Non. Il permet de vérifier l'origine et le contexte de sécurité d'un fichier, mais ne constitue pas à lui seul une preuve d'exécution sécurisée.
L'absence de données de quarantaine prouve-t-elle que le fichier a été créé localement ?+
Non. L'absence d'informations sur la quarantaine ne permet pas de tirer une conclusion aussi certaine sans autres indices.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle (filtre d'accès, mise en quarantaine ou analyse de l'origine) d'un fichier macOS ? LanCologne vous aide à réaliser une sauvegarde conforme aux exigences judiciaires et à établir une classification techniquement fiable.

Nous contacter dès maintenant