Informatica forense · macOS

Analisi forense di FileVault – Valutazione dello stato della crittografia e delle possibilità di accesso

FileVault protegge i dati su un Mac tramite crittografia. Sui Mac dotati di Apple Silicon o del chip di sicurezza Apple T2, i dati sono già crittografati a livello hardware; FileVault aggiunge un ulteriore livello di protezione, vincolando l’accesso alle credenziali di accesso dell’utente o a meccanismi di ripristino adeguati. Sui Mac Intel meno recenti privi di chip T2, la situazione tecnica di partenza è diversa e deve essere valutata separatamente.

Richiesta non vincolante

Dal punto di vista forense, FileVault è rilevante soprattutto perché lo stato di crittografia e sblocco influisce direttamente sui dati accessibili su un sistema sequestrato o consegnato. FileVault non costituisce tuttavia un artefatto di attività e, di per sé, non consente di stabilire chi abbia creato o utilizzato determinati file.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Documentiamo lo stato di crittografia rilevabile, la piattaforma hardware, le strutture APFS esistenti e i requisiti di accesso rilevanti ai fini di una raccolta delle prove a prova di contestazione. Il contesto dell’utente e quello di ripristino vengono valutati solo nell’ambito delle informazioni effettivamente disponibili e fornite in modo legittimo.

Nel caso di sistemi in funzione o sbloccati, la situazione attuale degli accessi viene documentata con particolare attenzione, poiché un successivo cambiamento di stato può modificare in modo significativo le possibilità di registrazione.

Campi di applicazione tipici

Ecco come si svolge l'analisi forense

In primo luogo vengono documentati il modello, la piattaforma del processore e la struttura dei supporti dati. Successivamente si verifica quali volumi APFS sono presenti e in che condizioni sono accessibili. L'analisi viene effettuata senza apportare modifiche non necessarie al sistema originale.

La procedura concreta dipende in modo determinante dal fatto che il Mac sia stato consegnato spento, acceso, con account di accesso o già sbloccato. Questi stati sono rigorosamente distinti nella documentazione, poiché influenzano le modalità di backup tecnicamente possibili.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

FileVault è uno degli elementi fondamentali di un moderno processo di acquisizione delle prove su macOS. In particolare, nei sistemi Apple Silicon e T2, è necessario tenere conto dei meccanismi di crittografia legati all’hardware e dello stato attuale del dispositivo.

Dal punto di vista forense, quindi, non è determinante solo l'accertamento che „FileVault sia attivo“, ma anche la documentazione precisa della piattaforma, dello stato di crittografia e delle autorizzazioni di accesso disponibili al momento del backup.

Domande frequenti

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un’analisi forense professionale di un Mac protetto da FileVault? LanCologne vi assiste nell’acquisizione delle prove in modo conforme alle norme e nella valutazione tecnicamente verificabile.

Contattaci subito