IT-forensisch onderzoek · macOS

Forensische analyse van FileVault – Beoordeling van de versleutelingsstatus en toegangsmogelijkheden

FileVault beschermt gegevens op een Mac door middel van versleuteling. Op Macs met Apple Silicon of de Apple T2 Security Chip zijn gegevens al via de hardware versleuteld; FileVault voegt daarbij een extra beveiligingslaag toe door de toegang te koppelen aan de inloggegevens van de gebruiker of aan geschikte herstelmechanismen. Op oudere Intel-Macs zonder T2 is de technische situatie anders en moet deze afzonderlijk worden beoordeeld.

Vrijblijvend informeren

Voor forensisch onderzoek is FileVault vooral relevant omdat de versleutelings- en ontgrendelingsstatus direct van invloed is op welke gegevens toegankelijk zijn op een in beslag genomen of overgedragen systeem. FileVault is daarbij geen activiteitsartefact en levert op zichzelf geen informatie op over wie bepaalde bestanden heeft aangemaakt of gebruikt.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We documenteren de waarneembare versleutelingsstatus, het hardwareplatform, de aanwezige APFS-structuren en de toegangsvoorwaarden die relevant zijn voor een bewijsveilige registratie. De gebruikers- en herstelcontext worden alleen beoordeeld op basis van de daadwerkelijk beschikbare en rechtmatig verstrekte informatie.

Bij actieve of ontgrendelde systemen wordt de huidige toegangssituatie bijzonder zorgvuldig gedocumenteerd, aangezien een latere verandering in de status de registratiemogelijkheden aanzienlijk kan beïnvloeden.

Typische toepassingsgebieden

Zo verloopt het forensisch onderzoek

Allereerst worden het model, het processorplatform en de structuur van de gegevensdragers gedocumenteerd. Vervolgens wordt gecontroleerd welke APFS-volumes aanwezig zijn en in welke staat ze toegankelijk zijn. Het onderzoek vindt plaats zonder onnodige wijzigingen aan het originele systeem.

De concrete werkwijze hangt grotendeels af van het feit of een Mac is uitgeschakeld, opgestart, aangemeld of al ontgrendeld is toen deze werd overgedragen. Deze statussen worden in de documentatie strikt van elkaar gescheiden, omdat ze van invloed zijn op de technisch mogelijke manieren om een back-up te maken.

Waarom is dit onderzoeksgebied forensisch relevant?

FileVault behoort tot de belangrijkste randvoorwaarden voor een moderne bewijsverzameling in macOS. Met name bij Apple Silicon- en T2-systemen moet rekening worden gehouden met hardwaregebonden sleutelmechanismen en de huidige status van het apparaat.

Voor forensisch onderzoek is daarom niet alleen de vaststelling „FileVault actief“ van belang, maar ook de nauwkeurige documentatie van het platform, de versleutelingsstatus en de beschikbare toegang op het moment van de back-up.

Veelgestelde vragen

LanCologne – macOS-forensisch onderzoek in Keulen

Heeft u een professioneel forensisch onderzoek nodig van een met FileVault beveiligde Mac? LanCologne ondersteunt u bij het bewijsveilig vastleggen en de technisch onderbouwde beoordeling ervan.

Nu contact opnemen