Informatique légale · macOS
Analyse médico-légale de la corbeille sous macOS – examen des fichiers supprimés et déplacés
Lorsqu'un fichier est déplacé vers la corbeille, il n'est pas nécessairement supprimé physiquement du système de fichiers dans le cadre d'un fonctionnement normal de macOS. Les structures de la corbeille propres à l'utilisateur peuvent donc contenir des fichiers et des métadonnées pertinents. Ce n’est qu’au moment de vider la corbeille ou à la suite d’autres opérations système que les conditions nécessaires à une éventuelle restauration changent.
D'un point de vue informatique légal, il convient de distinguer soigneusement les états suivants : „ déplacé vers la corbeille “, „ corbeille vidée “ et „ physiquement écrasé ou irrécupérable “. Ces états ne sont pas techniquement équivalents.
Pourquoi LanCologne ?
Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.
L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.
Nos services
Nous analysons les structures de la corbeille liées aux utilisateurs et, le cas échéant, celles liées au volume, afin d'y détecter la présence de fichiers, de répertoires et de métadonnées. Les noms de fichiers, les chemins d'accès, les horodatages et d'autres informations relatives au système de fichiers sont mis en corrélation avec les événements FSEvents, les instantanés APFS et d'autres traces d'activité.
Si la corbeille a déjà été vidée, on vérifie séparément si d'autres sources d'analyse judiciaire contiennent encore des indices ou des données pouvant être reconstituées.
Domaines d'application typiques
Voici comment se déroule l'expertise judiciaire
Une fois la sauvegarde effectuée, les répertoires « Corbeille » pertinents du contexte utilisateur ou du contexte de volume analysé sont identifiés. Les objets présents sont soumis à un hachage, documentés et analysés en fonction de leur contexte de système de fichiers.
Une fois la corbeille vidée, aucune garantie de récupération n'est donnée. Les systèmes APFS, SSD-Trim, le chiffrement et l'utilisation entre-temps peuvent considérablement influencer les possibilités de reconstruction.
En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?
La corbeille est une source importante lorsqu'il s'agit de déterminer quels fichiers un utilisateur avait prévu de supprimer ou quels éléments s'y trouvaient encore avant qu'elle ne soit vidée.
Cependant, la présence d'un élément dans la corbeille ne prouve pas automatiquement la raison de sa suppression ni l'identité de la personne qui l'a supprimé. Ces questions nécessitent des éléments supplémentaires relatifs à l'utilisateur et à l'activité.
Foire aux questions
🔗 Sujets connexes
LanCologne – Analyse judiciaire de macOS à Cologne
Vous avez besoin d'une analyse professionnelle des fichiers supprimés ou de la corbeille macOS ? LanCologne vous aide à réaliser une sauvegarde recevable devant les tribunaux et une reconstruction techniquement fiable.