Informatique légale · macOS

Valider manuellement les artefacts SQLite, WAL et SHM

Viele macOS-Anwendungen – Nachrichten, Safari, Fotos, Notizen – speichern ihre Daten in SQLite-Datenbanken. Neben der Hauptdatei existieren oft eine „-wal“- und eine „-shm“-Datei. Die WAL-Datei kann jüngere Änderungen und ältere Versionen von Datenbankseiten enthalten, die in der Hauptdatei noch nicht oder nicht mehr stehen.

Demande sans engagement

Ce point est particulièrement important pour les ordinateurs Apple, car l'architecture matérielle et de sécurité a considérablement évolué ces dernières années. Un ancien iMac Intel, un Mac Intel équipé de la puce de sécurité T2 et un Mac Studio récent doté d’Apple Silicon ne doivent pas être traités selon le même schéma technique. L’APFS, la Secure Enclave, FileVault et l’état du système déterminent quelles données sont accessibles et quelle méthode de sauvegarde entraîne le moins de modifications.

Les analyseurs syntaxiques automatiques peuvent traiter le contenu du fichier WAL de différentes manières. C'est pourquoi, si nécessaire, les enregistrements concernés sont directement vérifiés par rapport aux pages de la base de données, au contexte de la transaction et aux fichiers associés.

Technischer Hintergrund

Im Write-Ahead-Logging werden Änderungen zunächst in die WAL geschrieben und später per Checkpoint in die Hauptdatei übernommen. Wer die Datenbank mit Standardwerkzeugen öffnet, kann einen Checkpoint auslösen und die WAL verändern. Unterschiedliche Parser behandeln WAL-Frames unterschiedlich; dadurch können Datensätze fehlen, doppelt erscheinen oder einem falschen Zeitpunkt zugeordnet werden.

Relevante Spuren und Datenquellen

  • Hauptdatenbank, -wal und -shm als Einheit gesichert
  • WAL-Frames mit Salt-Werten und Commit-Markierungen
  • Freelist-Seiten und nicht zugewiesener Bereich (gelöschte Datensätze)
  • Tabellenschema und Zeitstempelformate (z. B. Mac Absolute Time)

Pourquoi LanCologne ?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

So gehen wir vor

  • Sicherung der Dateien als Gruppe, Auswertung nur an Kopien.
  • Parserergebnis mit Seiten- und Frame-Ebene abgleichen.
  • Dokumentation, aus welcher Quelle (Hauptdatei, WAL-Frame, freier Bereich) ein Datensatz stammt.

Grenzen

  • Nach erfolgtem Checkpoint und Überschreiben sind ältere Stände nicht mehr vorhanden.
  • Die Zuordnung eines WAL-Frames zu einem exakten Zeitpunkt ist nicht immer möglich.

Mögliche Ergebnisse

  • Validierte Datensätze mit Herkunftsangabe
  • Hinweise auf gelöschte oder geänderte Einträge

Domaines d'application typiques

•Expertises judiciaires et extrajudiciaires
•Saisie des preuves sur iMac, Mac mini, Mac Studio, MacBook et Mac Pro
•Analyse des systèmes Apple Silicon, T2 et des anciens systèmes Intel
•Réponse aux incidents et analyses de logiciels malveillants
•Analyse des artefacts APFS, utilisateur, application et système
•Reconstitution des activités liées aux fichiers, aux utilisateurs et au réseau
•Vérification croisée des résultats des analyseurs syntaxiques automatiques
•Analyse des traces supprimées, anciennes ou visibles uniquement de manière indirecte
•Documentation destinée aux tribunaux, aux avocats, aux entreprises et aux administrations

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

De nombreuses applications macOS stockent des informations dans SQLite. Une analyse rigoureuse ne se limite pas à la base de données principale, mais prend également en compte, selon l'état du système, les fichiers WAL et SHM, et distingue les enregistrements actifs des fragments reconstitués.

La valeur médico-légale ne réside pas uniquement dans la quantité de données trouvées, mais aussi dans leur provenance et leur fiabilité. Un nom de fichier, un horodatage ou une entrée de base de données peuvent prêter à confusion s'ils sont dépourvus de contexte. C'est pourquoi nous documentons comment un artefact a pu être créé, quelles explications alternatives existent et quelles autres traces viennent étayer les conclusions.

Les analyseurs syntaxiques automatiques peuvent traiter le contenu du fichier WAL de différentes manières. C'est pourquoi, si nécessaire, les enregistrements concernés sont directement vérifiés par rapport aux pages de la base de données, au contexte de la transaction et aux fichiers associés.

Sur les Mac modernes en particulier, une tentative d’analyse „ classique “ du disque peut d’ailleurs se heurter à des limites techniques. Le chiffrement matériel, Secure Enclave, FileVault et APFS montrent clairement pourquoi il est si important de procéder à une sauvegarde dans les règles de l’art avant l’analyse proprement dite. Les erreurs commises à ce stade ne peuvent pas toujours être corrigées par la suite.

Foire aux questions

Quels sont les aspects à prendre en compte d'un point de vue médico-légal lors de la „ validation manuelle des artefacts SQLite, WAL et SHM “ ?
Notre enquête ne commence pas par le lancement d'un programme d'analyse, mais par la collecte des éléments de preuve. Nous documentons l'appareil, le modèle, le numéro de série ou de référence, l'état des connexions, l'état visible du système et les périphériques présents. Nous déterminons ensuite si le système doit rester éteint, s'il est judicieux de procéder à une acquisition en temps réel ou si une procédure de récupération, de disque cible ou de disque partagé est techniquement justifiable. L’étape suivante consiste à définir la stratégie de sauvegarde. Nous distinguons ici la copie orientée blocs, la sauvegarde logique et le triage ciblé. Le choix ne dépend pas de la facilité d’utilisation, mais de la génération du matériel, de FileVault, de la structure APFS, de l’état de déverrouillage disponible et de la question factuelle à élucider. Lorsque cela est techniquement possible, nous travaillons en mode lecture seule. Les modifications inévitables de l’état lors d’opérations en direct ou de récupération sont expressément consignées. La sauvegarde générée est documentée à l’aide de valeurs de hachage. L’analyse proprement dite n’est pas effectuée sur l’original, mais sur une copie de travail ou une image de preuve vérifiée. Cela permet d’utiliser des analyseurs syntaxiques, des recherches ou nos propres utilitaires sans modifier en permanence la preuve originale. Dans les cas complexes, nous évitons délibérément de travailler avec un seul logiciel. RECON LAB ou RECON ITR, Belkasoft X et X-Ways offrent différents points de vue sur un même ensemble de preuves. Si un artefact pertinent n’est pas entièrement pris en charge par les analyseurs syntaxiques standard, nous complétons l’analyse à l’aide de programmes auxiliaires et de scripts développés en interne. Le lien avec les données brutes reste toujours déterminant : un analyseur syntaxique développé en interne n’a de valeur judiciaire que si son résultat est reproductible et vérifiable sur le plan technique. Pour un lecteur non initié, un point est particulièrement important : un programme d’analyse judiciaire ne „ trouve “ pas automatiquement la vérité. Il lit des structures de données et les interprète selon des règles connues. Si Apple modifie une base de données ou un format de métadonnées avec une nouvelle version de macOS, un analyseur syntaxique peut réagir de manière incomplète ou erronée. C’est pourquoi, lorsque nous obtenons des résultats déterminants, nous vérifions de quel fichier, de quelle base de données ou de quelle structure de système de fichiers provient le résultat, et si une deuxième approche technique confirme les mêmes faits. C’est également la raison pour laquelle nous utilisons plusieurs outils. RECON LAB peut analyser nativement les structures spécifiques à Apple sous macOS ; Belkasoft X offre une autre perspective sur les artefacts et les corrélations ; X-Ways permet des analyses très détaillées du système de fichiers et des données brutes. Lorsque des analyses indépendantes concordent, cela renforce la fiabilité des résultats. Si elles ne concordent pas, la cause est examinée et on ne se contente pas de retenir le résultat le plus pratique.
Comment se déroule concrètement une telle expertise judiciaire ?
1 Relevé des preuves et état des lieux L'appareil Apple est tout d'abord identifié de manière univoque, puis documenté par des photos ou par écrit. Nous notons s’il est allumé ou éteint, connecté, verrouillé ou relié à des supports de données externes. Ces informations peuvent s’avérer décisives par la suite. 2 Analyse technique La génération de puce, la version de macOS, la structure APFS, FileVault et les mécanismes de sécurité pertinents sont déterminés. Ce n’est qu’à partir de là que la méthode de collecte appropriée peut être déterminée. 3 Sauvegarde conforme aux exigences en matière de preuve La méthode de sauvegarde est choisie de manière à modifier le moins possible l’original. RECON ITR peut être utilisé, selon le cas, pour l’imagerie ou le triage des Mac modernes. D’autres situations nécessitent Apple Recovery, le mode Target Disk sur Intel ou Share Disk sur Apple Silicon. Chaque étape est consignée. 4 Contrôle d’intégrité Les images ou sauvegardes logiques générées sont nommées de manière univoque, dotées de valeurs de hachage et vérifiées. L’analyse et les recherches sont ensuite effectuées sur des copies de travail. 5 Évaluation en plusieurs étapes : RECON LAB, Belkasoft X et X-Ways sont combinés en fonction de la problématique. Dans la mesure du possible, un résultat important n’est pas uniquement tiré d’une seule vue du parseur. 6 Validation manuelle Lorsqu’un artefact est particulièrement pertinent sur le plan probatoire, inhabituel ou seulement partiellement pris en charge par les logiciels standard, nous vérifions manuellement les données brutes, les structures de bases de données, les métadonnées ou les informations du système de fichiers. Si nécessaire, nous utilisons nos propres outils. 7 Rapport et référence à la preuve À la fin, nous ne nous contentons pas de lister ce qu’un outil a affiché. Nous expliquons quelle source technique étaye le résultat, quelle conclusion est admissible et où se situent les limites.
Quelle est la valeur probante des résultats obtenus dans ce domaine sur le plan médico-légal ?
De nombreuses applications macOS stockent des informations dans SQLite. Une analyse rigoureuse ne se limite pas à la base de données principale, mais prend également en compte, selon l'état du système, les fichiers WAL et SHM, et distingue les enregistrements actifs des fragments reconstitués. La valeur médico-légale ne réside pas uniquement dans la quantité de données trouvées, mais aussi dans leur origine et leur fiabilité. Un nom de fichier, un horodatage ou une entrée de base de données peut prêter à confusion s’il est hors contexte. C’est pourquoi nous documentons comment un artefact a pu être créé, quelles explications alternatives existent et quelles autres traces viennent étayer les conclusions. Les analyseurs syntaxiques automatiques peuvent traiter le contenu des fichiers WAL de différentes manières. C’est pourquoi, si nécessaire, les enregistrements pertinents sont directement recoupés avec les pages de base de données, le contexte transactionnel et les fichiers associés. Sur les Mac modernes en particulier, une tentative d’analyse „ classique “ du support de données peut d’ailleurs se heurter à des limites techniques. Le chiffrement matériel, Secure Enclave, FileVault et APFS montrent clairement pourquoi une sauvegarde effectuée dans les règles de l’art avant l’analyse proprement dite est si importante. Les erreurs commises à ce stade ne peuvent pas toujours être corrigées par la suite.
Lors d'un tel examen, des hypothèses sont-elles présentées comme des résultats avérés ?
Non. Les résultats des analyses techniques ne sont présentés que dans la mesure où ils sont étayés par les données effectivement recueillies. Les hypothèses non vérifiables ne sont pas formulées comme des conclusions avérées.
Warum darf man die Datenbank nicht einfach öffnen?
Weil das Öffnen einen Checkpoint auslösen und die WAL-Datei verändern kann.
Findet man in der WAL gelöschte Nachrichten?
Manchmal, wenn ältere Seitenversionen noch nicht überschrieben sind.
Gilt das nur für macOS?
Nein, auch iOS, Android und Windows-Anwendungen nutzen SQLite mit WAL.

Weiterführende Themen

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une expertise professionnelle sur la „ validation manuelle des artefacts SQLite, WAL et SHM “ ? LanCologne vous accompagne dans la sauvegarde à valeur probatoire, l'analyse en plusieurs étapes et la documentation traçable. L'essentiel n'est pas de générer le plus grand nombre possible de résultats automatiques, mais de recueillir des preuves techniquement solides et vérifiables.

Nous contacter dès maintenant