Informatique légale · macOS
Analyse forensic de macOS via SSH – Examen des traces de connexion à distance et des clés
macOS permet d'autoriser l'accès SSH à un Mac via la fonction „ Remote Login “. De plus, un Mac peut lui-même être utilisé comme client SSH. Ainsi, tant les configurations côté serveur que les éléments liés à l'utilisateur tels que les clés, les fichiers de configuration ou les hôtes connus peuvent présenter un intérêt pour l'analyse médico-légale.
La présence d'une clé SSH ou d'un hôte connu ne prouve pas automatiquement l'existence d'une connexion au cours de la période examinée. La configuration, la relation de confiance et la session effective doivent être évaluées séparément.
Pourquoi LanCologne ?
Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.
L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.
Nos services
Nous examinons les éléments liés à SSH au niveau du système et des utilisateurs, notamment les configurations existantes, les métadonnées relatives aux clés, les hôtes connus et, le cas échéant, les événements de connexion à distance consignés. Les clés privées sont traitées de manière à garantir la sécurité des preuves et ne sont pas utilisées sans raison valable.
Les affirmations relatives aux connexions sont corrélées avec les journaux unifiés, les données réseau et les informations d'authentification.
Domaines d'application typiques
Voici comment se déroule l'expertise judiciaire
Une fois la sauvegarde effectuée, les configurations SSH côté serveur et côté client sont examinées séparément. Les structures .ssh propres à chaque utilisateur sont répertoriées, les fichiers pertinents sont soumis à un hachage et analysés exclusivement sur des copies de travail.
Pour établir la chronologie des sessions réelles, on se base sur des journaux supplémentaires et des traces réseau. Une simple entrée de clé ou d'hôte n'est pas considérée comme une preuve de session.
En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?
Le protocole SSH peut constituer un canal d'administration légitime ou faire partie d'un accès à distance non autorisé. C'est pourquoi il est particulièrement important de faire la distinction technique entre les fonctions activées, les moyens d'accès disponibles et les connexions effectivement vérifiables.
Dans le cadre de la gestion des incidents, la corrélation avec les traces de connexion, de shell et de réseau permet de reconstituer une activité à distance avec beaucoup plus de précision.
Foire aux questions
🔗 Sujets connexes
LanCologne – Analyse judiciaire de macOS à Cologne
Vous avez besoin d'une analyse professionnelle des traces de connexion SSH et à distance sur un Mac ? LanCologne vous aide à réaliser une sauvegarde recevable devant les tribunaux et une reconstitution technique.