IT forenzika · macOS

Forenzička analiza Secure Enclavea – ispravna procjena hardverskih sigurnosnih mehanizama

Secure Enclave je sigurnosna zona izolirana od glavnog procesora koja obavlja ključne kriptografske zadatke na Mac računalima s Apple Siliconom i na Intel-baziranim Mac računalima s Apple T2 Security Chipom. Ima vlastite mehanizme zaštite i, između ostalog, uključena je u sigurno obrađivanje i pohranu kriptografskih ključeva. Stoga je osobito relevantan za forenzičku analizu macOS-a, osobito u slučaju šifriranih internih volumena pohrane, FileVaulta i mehanizama hardverske kontrole pristupa.

Upitajte bez obaveze

Međutim, to ne znači da je moguće forenzičko ispitivanje „Secure Enclavea“ – u smislu slobodno čitljivog memorijskog prostora. Njegova je arhitektura posebno osmišljena da izolira osjetljivi ključni materijal od uobičajenog operativnog sustava. Ono što je stoga od posebne forenzičke važnosti jest tehnička procjena njegovih implikacija na očuvanje dokaza, dekriptičnost i dostupne istražne metode.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Prvo identificiramo generaciju hardvera, procesorsku platformu i postojeću arhitekturu sigurnosti. Zatim procjenjujemo utjecaj Secure Enclave, FileVaulta i relevantnog APFS šifriranja na procese izrade sigurnosnih kopija i analize. Svi postojeći podaci za pristup ili dopušteni mehanizmi oporavka dokumentiraju se i koriste se isključivo unutar okvira onoga što je tehnički izvedivo i zakonski dopušteno za istragu.

Izjave o kriptografskim ključevima ili zaštićenom sadržaju daju se samo tamo gdje se mogu izvesti iz podataka koji su stvarno prikupljeni ili iz dokumentiranih svojstava sustava. Nepristupačna komponenta Secure Enclave ne zamjenjuje se pretpostavkama.

Tipična područja primjene

Ovo je način na koji se provodi forenzička istraga.

Nakon što se identificira model Maca, dokumentiraju se procesor i sigurnosna arhitektura, kao i stanje sustava. U slučaju sustava s Apple Siliconom i T2, uzima se u obzir činjenica da su kriptografske funkcije i hijerarhije ključeva vezane uz hardver. Na temelju toga utvrđuje se koja je metoda sigurnosnog kopiranja tehnički opravdana s obzirom na specifično stanje sustava.

Nakon toga se analiza provodi na izvoru podataka koji je zabilježen na način koji očuva njegov dokazni integritet. Secure Enclave sam po sebi se ne smatra običnim artefaktom datotečnog sustava. Umjesto toga, njegovi učinci na otključavanje, enkripciju i mogućnosti pristupa tehnički su dokumentirani i korelirani s APFS i macOS podacima koji su zapravo dostupni.

Zašto je ovaj artefakt forenzički značajan?

Secure Enclave je važan iz forenzičke perspektive jer u modernom Appleovom hardveru izolira ključne sigurnosne i kriptografske operacije od standardnog operativnog sustava. Kao rezultat toga, tradicionalne metode koje su bile moguće na starijim Mac računalima ili s uklonjivim medijima za pohranu podataka mogu biti tehnički nemoguće ili znatno ograničene.

Njihova važnost stoga često ne leži u artefaktu koji se može analizirati samostalno, nego u objašnjavanju zašto su određeni podaci dostupni ili nedostupni te zašto se isključen ili zaključan sustav mora tretirati drugačije od sustava koji je već provjeren i aktivan.

Često postavljana pitanja

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu procjenu sustava Apple Silicon ili T2? LanCologne vam može pomoći osigurati da su mehanizmi sigurnosti i šifriranja temeljeni na hardveru dokumentirani na način koji izdrži pravnu provjeru i može se pravilno pratiti.

Kontaktirajte nas odmah