Informatique légale · macOS

Analyse judiciaire des groupes de volumes APFS – Attribuer correctement les données système et utilisateur

Les systèmes macOS modernes utilisent des groupes de volumes APFS pour séparer logiquement les composants système et les données utilisateur modifiables. Apple décrit le volume de démarrage comme un groupe de volumes composé, entre autres, d'un volume système et d'un volume de données associé. Le volume système contient les fichiers système nécessaires au démarrage ainsi que les composants système propres à Apple, tandis que le volume de données héberge les contenus modifiables tels que les fichiers utilisateur, les applications installées et d'autres zones inscriptibles.

Demande sans engagement

Cette distinction revêt une importance capitale pour l'analyse judiciaire sous macOS. Une analyse ne doit pas partir du principe que toutes les informations pertinentes se trouvent sur un seul volume. Il convient au contraire d'identifier et de documenter correctement les volumes associés, leurs rôles et leurs relations mutuelles avant de procéder à l'évaluation technique des fichiers, répertoires et autres artefacts.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous identifions les conteneurs APFS, les volumes qu’ils contiennent et leurs rôles au sein de la structure des volumes macOS. Nous vérifions notamment quels volumes appartiennent à un groupe de volumes système et comment les volumes système et de données sont liés logiquement entre eux. Selon le système, il peut également exister des volumes de pré-démarrage, de récupération et de machine virtuelle, qui sont classés séparément dans le cadre de l'analyse.

Les contenus pertinents ne sont pas considérés isolément au sein d'un volume unique. L'affectation technique s'effectue plutôt à l'échelle de l'ensemble de la structure APFS. Cela permet d'affecter correctement les chemins d'accès, les répertoires utilisateur, les applications installées, les composants système et d'autres données au volume correspondant et à sa fonction.

Domaines d'application typiques

•Analyse médico-légale des volumes de démarrage macOS modernes
•Mise en correspondance des données système et des données utilisateur
•Reconstitution des structures du système de fichiers selon la norme macOS-Updates
•Analyse des systèmes protégés par FileVault après une saisie conforme aux règles de conservation des preuves
•Analyse des cas de réponse aux incidents sous macOS
•Évaluation des manipulations du système et des mécanismes de persistance
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse des groupes de volumes APFS

Une fois le support de données ou le système macOS saisi de manière à garantir la sécurité des preuves, la structure du conteneur APFS est tout d'abord déterminée. Ensuite, les volumes existants, leurs rôles et leurs affectations liées aux UUID sont documentés. Dans le cas d'une installation du système macOS, on vérifie quels volumes forment ensemble un groupe de volumes et quels autres volumes auxiliaires sont présents au sein du conteneur.

Ce n'est qu'ensuite que commence l'analyse proprement dite des artefacts. Les fichiers et les répertoires sont analysés en tenant compte de leur appartenance réelle à un volume. Sous macOS 11 et versions ultérieures, il faut également tenir compte du fait que le volume système est généralement démarré à partir d’un instantané. Les résultats sont mis en corrélation avec d’autres artefacts macOS et toutes les constatations techniques sont documentées de manière traçable.

Pourquoi les groupes de volumes APFS revêtent-ils une importance particulière en matière de criminalistique ?

La séparation entre le volume système et le volume de données modifie la manière dont les systèmes macOS modernes doivent faire l'objet d'une analyse médico-légale. Les répertoires qui apparaissent à l'utilisateur comme une arborescence de fichiers homogène peuvent, d'un point de vue technique, se trouver sur différents volumes APFS. Sans connaissance de la structure des groupes de volumes, il existe donc un risque d'attribuer des données de manière erronée ou de ne pas recenser de manière exhaustive les contenus pertinents.

Par ailleurs, d’autres volumes APFS remplissent des fonctions diverses. Apple décrit notamment les volumes « Preboot », « VM » et « Recovery », qui ont chacun leurs propres fonctions. Pour mener une analyse rigoureuse, il est indispensable de distinguer ces rôles. Un groupe de volumes n’est donc pas un élément isolé, mais un composant fondamental de l’architecture de stockage de macOS, qui influe sur l’interprétation correcte de nombreuses autres traces.

Foire aux questions

Qu'est-ce qu'un groupe de volumes APFS ?+
Un groupe de volumes regroupe plusieurs volumes APFS logiques qui sont utilisés conjointement comme une structure système cohérente. Sous macOS, le groupe de volumes de démarrage se compose généralement d'un volume système et d'un volume de données.
Quelle est la différence entre un volume système et un volume de données ?+
Le volume système contient les fichiers système nécessaires à macOS et bénéficie d’une protection renforcée dans les versions récentes. Le volume de données contient des données modifiables telles que les fichiers utilisateur, les applications installées et d’autres zones inscriptibles.
Quels autres volumes APFS peuvent exister ?+
Selon le système, il peut notamment exister des volumes de pré-démarrage, de récupération et de machine virtuelle. Leur disponibilité et leur utilisation concrètes doivent être vérifiées au cas par cas.
Pourquoi ne suffit-il pas de se contenter d'analyser le volume de données ?+
Selon le problème rencontré, des informations provenant du volume système, du volume « Preboot », du volume de récupération ou d’autres structures APFS peuvent également s’avérer pertinentes. Ce n’est qu’après une analyse globale des volumes associés que l’on peut tirer des conclusions pertinentes.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle d'un groupe de volumes APFS ou d'un système macOS moderne ? LanCologne vous aide à réaliser une sauvegarde des preuves numériques conforme aux exigences judiciaires, ainsi qu'à effectuer une identification et une analyse traçables des volumes système, des volumes de données et d'autres volumes APFS.

Nous contacter dès maintenant