Informatica forense · macOS

Eseguire un backup forense di un Mac crittografato

Nei Mac moderni, la crittografia non è un caso a sé stante, ma fa parte della normale architettura di sicurezza. Apple Silicon e T2 utilizzano la crittografia basata su hardware; FileVault vincola inoltre l’accesso alle credenziali di accesso o ai meccanismi di ripristino.

Richiesta non vincolante

Nel caso dei computer Apple, questo aspetto è particolarmente importante, poiché l’hardware e l’architettura di sicurezza hanno subito notevoli cambiamenti negli ultimi anni. Un vecchio iMac con processore Intel, un Mac con processore Intel dotato di chip di sicurezza T2 e un Mac Studio di ultima generazione con Apple Silicon non possono essere trattati secondo lo stesso schema tecnico. APFS, Secure Enclave, FileVault e lo stato del sistema determinano quali dati sono accessibili e quale metodo di backup comporta il minor numero di modifiche.

Nel caso della crittografia legata all'hardware, un presunto accesso diretto ai chip di memoria non equivale necessariamente alla disponibilità di dati in chiaro utilizzabili. Lo stato di accesso e di sblocco viene pertanto documentato come parametro di prova a sé stante.

Perché LanCologne?

LanCologne non esamina i computer Apple secondo uno schema standard generico, ma sulla base dell’architettura hardware e di sicurezza specifica. I nostri collaboratori vantano decenni di esperienza nel settore delle tecnologie dell’informazione e una pluriennale esperienza pratica nell’informatica forense. Forniamo supporto ad aziende, avvocati, privati, nonché regolarmente a tribunali e autorità pubbliche nell’analisi tecnica di casi di natura digitale.

L'analisi viene effettuata di norma su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale viene conservato inalterato oppure, qualora siano necessari interventi tecnicamente inevitabili, questi vengono documentati in modo trasparente e il materiale viene conservato a prova di manomissione.

Il nostro metodo di lavoro e gli strumenti utilizzati

La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati l’apparecchio, il modello, il numero di serie o di inventario, lo stato delle connessioni, lo stato visibile del sistema e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno effettuare un’acquisizione in tempo reale oppure se sia tecnicamente giustificabile ricorrere a una procedura di recovery, target disk o share disk.

Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione oggetto di prova. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Le modifiche di stato inevitabili durante le operazioni live o di ripristino vengono espressamente registrate.

Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.

A seconda della generazione del dispositivo e del caso specifico, combiniamo le funzionalità native di Apple con strumenti forensi specializzati. Per l’acquisizione e il triage dei dati su Mac è possibile utilizzare SUMURI RECON ITR; per l’analisi nativa di macOS, RECON LAB. Belkasoft X e X-Ways vengono impiegati anche per la verifica incrociata di artefatti, timeline e dati di basso livello. Nessuno strumento viene considerato l’unica fonte di verità.

Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova“ automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.

Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo le strutture specifiche di Apple su macOS; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente verifiche molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti concordano, l’affidabilità dei risultati aumenta. Se invece non concordano, viene indagata la causa e non viene semplicemente selezionato il risultato più conveniente.

Campi di applicazione tipici

•Perizie giudiziarie ed extragiudiziarie
•Acquisizione delle prove da iMac, Mac mini, Mac Studio, MacBook e Mac Pro
•Analisi dei sistemi Apple Silicon, T2 e dei sistemi Intel di vecchia generazione
•Risposta agli incidenti e analisi del malware
•Analisi degli artefatti APFS, degli utenti, delle applicazioni e del sistema
•Ricostruzione delle attività relative a file, utenti e rete
•Verifica incrociata dei risultati dei parser automatici
•Analisi di tracce cancellate, storiche o visibili solo indirettamente
•Documentazione per tribunali, avvocati, aziende e autorità pubbliche

Ecco come si svolge l'analisi forense

1Raccolta delle prove e documentazione dello stato dei fatti

Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è connesso, bloccato o collegato a supporti di dati esterni. Queste informazioni potrebbero rivelarsi decisive in seguito.

2Classificazione tecnica

Vengono determinati la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza pertinenti. Solo sulla base di questi elementi è possibile stabilire il metodo di acquisizione più adeguato.

3Salvataggio con garanzia di integrità dei dati

Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, RECON ITR può essere utilizzato per l'imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su processori Intel o Share Disk su Apple Silicon. Ogni fase viene registrata.

4Verifica dell'integrità

Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.

5Analisi a più livelli

RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda del problema da risolvere. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.

6Convalida manuale

Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.

7Relazione e riferimento alle prove

Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

Nei Mac moderni, la crittografia non è un caso a sé stante, ma fa parte della normale architettura di sicurezza. Apple Silicon e T2 utilizzano la crittografia basata su hardware; FileVault vincola inoltre l’accesso alle credenziali di accesso o ai meccanismi di ripristino.

Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.

Nel caso della crittografia legata all'hardware, un presunto accesso diretto ai chip di memoria non equivale necessariamente alla disponibilità di dati in chiaro utilizzabili. Lo stato di accesso e di sblocco viene pertanto documentato come parametro di prova a sé stante.

Soprattutto sui Mac moderni, inoltre, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia integrata nell’hardware, Secure Enclave, FileVault e APFS chiariscono perché sia così importante eseguire un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.

Domande frequenti

Cosa occorre tenere presente dal punto di vista forense nel caso dei „Mac crittografati“?
La nostra indagine non inizia con l’avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati il dispositivo, il modello, il numero di serie o di inventario, lo stato delle connessioni, lo stato visibile del sistema e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno procedere a un'acquisizione „live“ o se sia tecnicamente giustificabile ricorrere a una procedura di recovery, target disk o share disk. Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione probatoria. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Le modifiche di stato inevitabili durante le operazioni in tempo reale o di recupero vengono espressamente registrate. Il backup generato viene documentato con valori hash. L’analisi vera e propria non viene effettuata sull’originale, ma su una copia di lavoro o su un’immagine probatoria verificata. In questo modo è possibile utilizzare parser, ricerche o programmi di supporto propri senza alterare continuamente la prova originale. A seconda della generazione del dispositivo e della questione da risolvere, combiniamo le funzioni native di Apple con strumenti forensi specializzati. Per l’acquisizione e il triage su Mac è possibile utilizzare SUMURI RECON ITR; per l’analisi nativa su macOS, RECON LAB. Belkasoft X e X-Ways servono inoltre per la verifica incrociata di artefatti, timeline e a basso livello. Nessuno strumento viene considerato come unica fonte di verità. Per un lettore non esperto del settore, un aspetto è particolarmente importante: un programma forense non «trova» automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser può reagire in modo incompleto o errato. Per questo motivo, in caso di risultati decisivi, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto. Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo su macOS le strutture specifiche di Apple; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente analisi molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti coincidono, l’affidabilità dei risultati aumenta. Se non coincidono, si indaga sulla causa e non ci si limita a selezionare semplicemente il risultato più conveniente.
Come si svolge nella pratica un’indagine forense di questo tipo?
1 Raccolta delle prove e documentazione dello stato Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite fotografie o per iscritto. Si rileva se è acceso o spento, se è connesso all’account utente, se è bloccato o se è collegato a supporti di dati esterni. Queste informazioni possono rivelarsi decisive in seguito. 2 Analisi tecnica Vengono determinate la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza rilevanti. Solo sulla base di questi dati si individua il metodo di acquisizione più adeguato. 3 Backup a prova di prova Il metodo di backup viene scelto in modo da modificare il meno possibile l’originale. A seconda del caso, RECON ITR può essere utilizzato per l’imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su Intel o Share Disk su Apple Silicon. Ogni fase viene registrata. 4 Verifica dell’integrità Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L’analisi e le operazioni di ricerca vengono quindi eseguite su copie di lavoro. 5 Valutazione multistadio RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda della problematica. Un risultato importante non viene, per quanto possibile, ricavato da una singola visualizzazione del parser. 6 Convalida manuale Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo parzialmente dal software standard, verifichiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni del file system. Se necessario, vengono utilizzati strumenti sviluppati internamente. 7 Relazione e riferimento probatorio Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e dove si trovano i limiti.
Qual è il valore probatorio forense dei risultati ottenuti in questo ambito?
Nei Mac moderni, la crittografia non è un caso a sé stante, ma fa parte della normale architettura di sicurezza. Apple Silicon e T2 utilizzano la crittografia integrata nell’hardware; FileVault vincola inoltre l’accesso alle credenziali di accesso o ai meccanismi di ripristino. Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Un nome di file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un artefatto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori tracce supportino il risultato. Un presunto accesso diretto ai chip di memoria, in presenza di crittografia integrata nell’hardware, non equivale a dati in chiaro utilizzabili. Lo stato di accesso e di sblocco viene quindi documentato come parametro probatorio a sé stante. Soprattutto sui Mac moderni, inoltre, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia hardware, Secure Enclave, FileVault e APFS chiariscono perché sia così importante effettuare un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.
In un esame di questo tipo, le ipotesi vengono presentate come risultati certi?
No. I risultati delle analisi tecniche vengono presentati solo nella misura in cui sono comprovati dai dati effettivamente disponibili. Le ipotesi non comprovabili non vengono formulate come risultati accertati.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un’analisi professionale sul tema „Acquisizione forense di Mac crittografati“? LanCologne vi supporta nell’acquisizione a prova di contestazione, nell’analisi a più livelli e nella documentazione tracciabile. L’aspetto fondamentale non è quello di generare il maggior numero possibile di riscontri automatici, bensì di acquisire prove tecnicamente attendibili e verificabili.

Contattaci subito