IT forenzika · macOS

Forenzička analiza FileVaulta – procjena statusa šifriranja i mogućnosti pristupa

FileVault štiti podatke na Macu šifriranjem. Na Mac računalima s Apple Siliconom ili Apple T2 Security čipom, podaci su već šifrirani hardverskim šifriranjem; FileVault dodaje dodatni sloj zaštite povezivanjem pristupa s korisničkim vjerodajnicama ili odgovarajućim mehanizmima za oporavak. Na starijim Mac računalima s Intel procesorima i bez T2 čipa, tehnička je situacija drugačija i mora se procijeniti zasebno.

Upitajte bez obaveze

FileVault je osobito relevantan za forenzičku analizu jer status šifriranja i otključavanja izravno određuje koja su podaci dostupna na zaplijenjenom ili predanom sustavu. FileVault nije artefakt aktivnosti i sam po sebi ne pruža nikakve informacije o tome tko je stvorio ili koristio određene datoteke.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Dokumentiramo vidljivi status šifriranja, hardversku platformu, postojeće APFS strukture i zahtjeve za pristup relevantne za prikupljanje podataka zaštićenih od dokaza. Kontekst korisnika i oporavka procjenjuje se samo na temelju informacija koje su stvarno dostupne i zakonito dostavljene.

U slučaju sustava koji su trenutačno u pogonu ili su otključani, trenutačni status pristupa dokumentira se s posebnom pažnjom, budući da bi svaka naknadna promjena statusa mogla značajno promijeniti mogućnosti bilježenja tih informacija.

Tipična područja primjene

Ovo je način na koji se provodi forenzička istraga.

Prvo se dokumentiraju model, procesorska platforma i struktura pohrane. Zatim se sustav provjerava kako bi se utvrdilo koji su APFS volumeni prisutni i u kojoj su mjeri dostupni. Istraživanje se provodi bez nepotrebnih promjena na izvornom sustavu.

Konkretni postupak uvelike ovisi o tome je li Mac predan isključen, pokrenut, prijavljen ili već otključan. Ta se stanja u dokumentaciji strogo razlikuju jer utječu na tehnički izvedive metode izrade sigurnosnih kopija.

Zašto je ovo područje istraživanja relevantno za forenziku?

FileVault je jedna od ključnih komponenti modernog procesa očuvanja podataka na macOS-u. Posebna pozornost mora se posvetiti hardverskim mehanizmima ključa i trenutačnom statusu uređaja, osobito na Apple Silicon i T2 sustavima.

S forenzičke perspektive stoga nije samo ključno utvrditi da je FileVault aktivan, nego i precizno dokumentirati platformu, status šifriranja i dostupna prava pristupa u trenutku izrade sigurnosne kopije.

Često postavljana pitanja

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalno forenzičko ispitivanje Mac računala zaštićenog FileVaultom? LanCologne vam može pomoći pri sigurnom prikupljanju podataka za dokaze i tehnički provjerljivoj procjeni.

Kontaktirajte nas odmah