Informatique légale · macOS

Launch Services forensisch analysieren – App- und Dokumentzuordnungen unter macOS bewerten

Launch Services ist eine macOS-Systemkomponente zur Verwaltung des Öffnens von Anwendungen, Dokumenten und URLs. Apple dokumentiert unter anderem die Zuordnung bevorzugter Anwendungen zu Dokument- und URL-Typen, die Registrierung unterstützter Dateitypen sowie die Pflege von Inhalten für das Menü der zuletzt verwendeten Objekte.

Demande sans engagement

Für die Forensik ist Launch Services deshalb als Kontextquelle für installierte beziehungsweise registrierte Anwendungen, Dateitypzuordnungen und bestimmte Recent-Items-Bezüge interessant. Eine Registrierung oder Zuordnung beweist jedoch nicht, dass ein bestimmtes Dokument tatsächlich von einer bestimmten Person geöffnet wurde.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir untersuchen vorhandene Launch-Services-bezogene Daten und ordnen registrierte Anwendungen, Bundle-Identifier, Dokument- beziehungsweise URL-Typen und weitere verfügbare Zuordnungen technisch ein. Relevante Befunde werden mit installierten App-Bundles, Dateimetadaten, Recent-Items-Artefakten, Unified Logs und weiteren Nutzungsartefakten abgeglichen.

Dabei wird strikt zwischen Systemregistrierung, bevorzugter App-Zuordnung und tatsächlich belegbarer Nutzung unterschieden.

Domaines d'application typiques

•Analyse installierter und registrierter Anwendungen
•Untersuchung von Dokument- und URL-Zuordnungen
•Ergänzung von Recent-Items-Untersuchungen
•Rekonstruktion von App-Kontexten
•Analyses des logiciels malveillants et de la réponse aux incidents
•Korrelation mit Datei- und Benutzeraktivitäten
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Nach der beweissicheren Sicherung werden verfügbare Launch-Services-Datenbestände identifiziert und mit dem App-Bestand des Systems abgeglichen. Bundle-Informationen und Dateityp- beziehungsweise URL-Zuordnungen werden dokumentiert.

Soweit Recent-Items- oder Nutzungsbezüge vorhanden sind, werden diese mit weiteren Artefakten korreliert. Aus einer bloßen Registrierung einer Anwendung wird weder eine Ausführung noch eine konkrete Benutzerhandlung abgeleitet.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Launch Services bildet einen wichtigen Teil der macOS-Anwendungs- und Dokumentinfrastruktur. Die Daten können erklären, welche Anwendung für einen Dateityp vorgesehen war, welche App-Informationen dem System bekannt waren oder in welchem Kontext weitere Artefakte zu verstehen sind.

Forensisch ist insbesondere die Trennung zwischen Konfiguration und Nutzung entscheidend. Ein registriertes App-Bundle ist zunächst ein Systemzustand; ein tatsächlicher Start oder das Öffnen eines Dokuments benötigt zusätzliche Belege.

Foire aux questions

Was macht Launch Services?+
Launch Services unterstützt macOS beim Öffnen von Apps, Dokumenten und URLs sowie bei der Zuordnung bevorzugter Anwendungen.
Kann Launch Services Informationen zu Recent Items verwalten?+
Ja. Apple dokumentiert, dass Launch Services Inhalte des Recent-Items-Menüs pflegen und aktualisieren kann.
Beweist eine registrierte Anwendung, dass sie ausgeführt wurde?+
Nein. Registrierung und tatsächliche Ausführung sind unterschiedliche Sachverhalte.
Kann Launch Services bei der Dokumentenforensik helfen?+
Ja, insbesondere als Kontext für Dateityp- und App-Zuordnungen; konkrete Nutzung muss jedoch durch weitere Artefakte gestützt werden.

LanCologne – Analyse judiciaire de macOS à Cologne

Sie benötigen eine professionelle Analyse von Launch-Services- und App-Zuordnungsdaten? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und nachvollziehbaren technischen Einordnung.

Nous contacter dès maintenant