Informatique légale · macOS
Analyse forensic des instantanés Time Machine – Examen des états antérieurs des fichiers sous macOS
Time Machine peut créer des instantanés locaux du volume de démarrage sur les Mac formatés en APFS. Apple précise que ceux-ci sont générés environ toutes les heures et conservés généralement pendant environ 24 heures. De plus, un instantané de la dernière sauvegarde Time Machine réussie peut être conservé jusqu’à ce que de l’espace de stockage soit à nouveau nécessaire ; depuis macOS High Sierra, un instantané supplémentaire est également créé avant l’installation d’une mise à jour macOS.
En matière de criminalistique, ces instantanés locaux peuvent permettre d'accéder à des états ou à des versions antérieures de fichiers. Leur existence et leur contenu ne sont toutefois pas garantis. Les instantanés peuvent être supprimés automatiquement, notamment lorsque de l'espace de stockage est nécessaire.
Pourquoi LanCologne ?
Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.
L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.
Nos services
Nous identifions les instantanés Time Machine locaux existants, consignons leur date de création et les associons au volume APFS correspondant. Dans la mesure où cela est techniquement possible, nous comparons les fichiers et répertoires concernés avec l'état actuel des données et les autres instantanés disponibles.
L'étude établit une distinction claire entre les instantanés APFS locaux et les sauvegardes Time Machine externes ou sur réseau. Les conclusions ne portent que sur les ensembles de données effectivement disponibles et analysés.
Domaines d'application typiques
Voici comment se déroule l'expertise judiciaire
Une fois la collecte des preuves effectuée, les instantanés APFS existants sont répertoriés et examinés afin de déterminer s'ils peuvent être associés à Time Machine ou à une autre fonctionnalité du système. Les instantanés pertinents sont classés par ordre chronologique, puis comparés à l'état actuel du système de fichiers.
Il est tenu compte du fait que les instantanés Time Machine locaux peuvent être gérés et supprimés automatiquement. L'absence d'un instantané ne prouve donc pas que Time Machine n'était pas actif à un moment donné. Les résultats sont mis en corrélation avec les métadonnées APFS, les FSEvents et d'autres artefacts macOS.
En quoi cet artefact présente-t-il un intérêt sur le plan médico-légal ?
Les instantanés locaux de Time Machine peuvent fournir un état antérieur des fichiers, même si le volume de sauvegarde externe n'est pas disponible pour le moment. Ils peuvent ainsi constituer, dans certains cas, une source supplémentaire de données historiques.
Leur valeur probatoire en matière d'investigation dépend de la disponibilité effective des instantanés et de la période examinée. Ils ne constituent pas un historique exhaustif et illimité et ne doivent pas être assimilés à une sauvegarde externe permanente de type « Time Machine ».
Foire aux questions
LanCologne – Analyse judiciaire de macOS à Cologne
Vous avez besoin d'une analyse professionnelle des instantanés Time Machine existants ? LanCologne vous aide à réaliser des sauvegardes conformes aux exigences judiciaires et à analyser de manière traçable les états antérieurs de vos fichiers.