Informatique légale · macOS

Analyse forensic des fichiers Plist sous macOS – Évaluation des configurations et des états

Les listes de propriétés, ou « plists » en abrégé, constituent un format de données fondamental sous macOS et dans les applications Apple. Elles peuvent contenir des paramètres, des états et d'autres informations structurées, et se présenter aussi bien au format XML qu'au format binaire de liste de propriétés.

Demande sans engagement

En criminalistique, les fichiers « plist » constituent souvent de précieuses sources d'informations contextuelles. La signification des différentes clés dépend toutefois de l'application concernée, de la version de macOS et de la manière dont elles sont implémentées. Les champs inconnus ne doivent pas être interprétés uniquement sur la base de leur nom.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous identifions les fichiers Property List pertinents pour chaque cas et analysons leur structure, leurs clés et leurs valeurs dans le contexte de l'application ou du système concerné. Les Plists binaires sont décodés de manière professionnelle, sans modifier l'original.

Les informations relatives au temps et à l'état sont recoupées avec les métadonnées du système de fichiers, les journaux unifiés et d'autres artefacts.

Domaines d'application typiques

•Analyse des paramètres utilisateur et système
•Étude des préférences en matière d'utilisation
•Analyses des logiciels malveillants et de leur persistance
•Reconstitution des modifications de configuration
•Vérification des plists binaires et au format XML
•Corrélation avec les données du système de fichiers et les données de journalisation
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde effectuée, les fichiers Plist pertinents sont sélectionnés en fonction de la problématique et analysés sur le plan structurel. Les types de données, les clés et les valeurs sont documentés et, si nécessaire, comparés aux informations de version de l'application correspondante.

Les éléments clés non documentés ne sont évalués sur le fond que si leur signification est étayée de manière fiable par d'autres éléments de preuve techniques.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Les fichiers « plist » sont présents dans pratiquement tous les domaines de l'analyse judiciaire sous macOS. Ils permettent de documenter des états de configuration importants et de mieux comprendre d'autres artefacts.

Par ailleurs, il existe un risque élevé d'interprétation erronée lorsque des clés sont analysées sans connaître la version du logiciel ou l'implémentation concernée.

Foire aux questions

Qu'est-ce qu'un fichier Plist ?+
Une « Property List » est un format de données structuré utilisé par macOS et de nombreuses applications pour stocker les paramètres et d'autres données.
Existe-t-il des plists binaires ?+
Oui. Les listes de propriétés peuvent notamment être au format XML ou au format binaire.
Chaque clé Plist peut-elle être interprétée de manière univoque ?+
Non. La signification et l'utilisation dépendent de l'application et de la version.
Les fichiers « plist » constituent-ils à eux seuls une preuve des actions de l'utilisateur ?+
Pas systématiquement. De nombreuses valeurs décrivent la configuration ou l'état et doivent être mises en corrélation avec des artefacts d'activité.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle des fichiers « Property List » de macOS ? LanCologne vous aide à réaliser une sauvegarde conforme aux exigences judiciaires et une analyse techniquement rigoureuse.

Nous contacter dès maintenant