IT-forensisch onderzoek · macOS

Forensische analyse van belangrijke locaties – Belangrijke locaties op macOS vakkundig classificeren

macOS kan via Locatieservices locaties herkennen die voor de gebruiker van belang zijn. Apple beschrijft ‘Significant Locations’ als een functie waarmee een Mac dergelijke locaties kan identificeren en deze kan gebruiken voor contextgerelateerde informatie in apps zoals Kaarten, Agenda en Herinneringen. Apple wijst er tegelijkertijd op dat ‘Significant Locations’ versleuteld zijn en niet door Apple kunnen worden gelezen.

Vrijblijvend informeren

Voor forensisch onderzoek kan deze functie relevant zijn als mogelijke context voor de locatie. De daadwerkelijke beschikbaarheid van analyseerbare gegevens hangt echter af van de macOS-versie, de apparaatconfiguratie, de synchronisatie van het Apple-account, de versleuteling en de toestand van de opgeslagen gegevens. Er mag niet worden aangenomen dat er een volledige of permanent bewaarde locatiegeschiedenis beschikbaar is.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We controleren of de op een betrouwbare manier vastgelegde gegevensbron technisch bruikbare informatie bevat over belangrijke locaties of daarmee samenhangende locatiediensten. Voor zover deze informatie toegankelijk is, worden tijd- en plaatsgegevens vergeleken met andere gegevens uit Maps, Calendar, Reminders, Location Services en andere situatiegerelateerde gegevensbronnen.

Ontbrekende of niet-toegankelijke gegevens worden uitdrukkelijk als beperking gedocumenteerd. Er worden geen verblijfplaatsen afgeleid uit louter configuratie-items of uit de algemene functieomschrijving.

Typische toepassingsgebieden

•Onderzoek naar mogelijke verwijzingen naar verblijfplaatsen en locaties
•Correlatie met gegevens uit Maps, Agenda en Herinneringen
•Controle van de locatiespecifieke systeemconfiguratie
•Reconstructie van ruimtelijk-temporele verbanden
•Onderzoeken naar gebruikersactiviteit en incidentrespons
•Beoordeling van verwijderde of gesynchroniseerde locatiegegevens
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt het forensisch onderzoek

Nadat de gegevens op een betrouwbare manier zijn vastgelegd, wordt eerst vastgesteld welke informatie met betrekking tot locatiediensten en belangrijke locaties op het betreffende macOS-systeem aanwezig en toegankelijk is. Vervolgens worden bruikbare gegevens gestructureerd op basis van bron, tijdstip en locatiegegevens.

De resultaten worden vergeleken met onafhankelijke gegevensbronnen. Daarbij houden we er rekening mee dat Apple de mogelijkheid biedt om de geschiedenis van ‘Significant Locations’ te wissen en dat locatiegegevens versleuteld kunnen zijn of gesynchroniseerd kunnen worden op basis van het apparaat of het account.

Waarom is dit onderzoeksgebied forensisch relevant?

Significant Locations kan in bepaalde gevallen extra context bieden voor de ruimtelijke plaatsbepaling van digitale gebeurtenissen. De functie is echter niet hetzelfde als een gegarandeerde, volledige GPS-geschiedenis.

Juist bij juridische kwesties is het van cruciaal belang om onderscheid te maken tussen een opgeslagen locatiegegeven, een door het systeem aangeleerde „belangrijke“ positie en het onomstotelijke bewijs van de aanwezigheid van een bepaalde persoon. Voor dat laatste zijn doorgaans aanvullende bewijsstukken nodig.

Veelgestelde vragen

Wat zijn belangrijke locaties?+
Apple gebruikt deze term om plaatsen aan te duiden die een apparaat herkent als belangrijk voor de gebruiker en die het kan gebruiken voor contextgebonden functies.
Kan Apple deze locaties lezen?+
Apple geeft aan dat 'Significant Locations' versleuteld zijn en niet door Apple kunnen worden gelezen.
Kan de geschiedenis worden gewist?+
Ja. Apple biedt een functie aan waarmee je de geschiedenis van Significant Locations kunt wissen.
Bewijst een ‘Significant Location’-vermelding de aanwezigheid van een bepaalde persoon?+
Niet automatisch. Een bevinding met betrekking tot een apparaat of locatie moet worden losgekoppeld van de toewijzing aan een persoon en in verband worden gebracht met ander bewijsmateriaal.

🔗 Gerelateerde onderwerpen

LanCologne – macOS-forensisch onderzoek in Keulen

Heeft u behoefte aan een professioneel onderzoek naar ‘Significant Locations’ of andere locatiesporen op een Mac? LanCologne ondersteunt u bij het maken van een rechtsgeldige back-up en bij de zorgvuldige, technisch onderbouwde interpretatie daarvan.

Nu contact opnemen