MOBIELE FORENSIEK

APFS – Het bestandssysteem van Apple

Het Apple File System (APFS) is het moderne bestandssysteem van Apple en vormt de basis van de huidige iPhones, iPads en Macs. Het is ontwikkeld voor flashgeheugen en biedt functies zoals versleuteling, snapshots en copy-on-write. Deze eigenschappen hebben een directe invloed op de mogelijkheden en beperkingen van een IT-forensisch onderzoek.

Containers en volumes
Copy-on-Write om direct overschrijven te voorkomen
Momentopnames voor consistente tijdstippen
Meervoudige versleuteling
Integriteitsmechanismen
Optimalisatie voor SSD- en flashgeheugen

TECHNISCHE ACHTERGROND

Technische basisprincipes

APFS bestaat uit containers waarin zich één of meerdere volumes bevinden. Deze verdelen de beschikbare opslagruimte dynamisch onder elkaar.

Forensisch relevante eigenschappen:

  • •Containers en volumes
  • •Copy-on-Write om direct overschrijven te voorkomen
  • •Momentopnames voor consistente tijdstippen
  • •Meervoudige versleuteling
  • •Integriteitsmechanismen
  • •Optimalisatie voor SSD- en flashgeheugen

Deze architectuur verschilt duidelijk van oudere bestandssystemen zoals HFS+.

ONZE AANPAK

Zo verloopt uw onderzoek

Een transparant proces – van de eerste aanvraag tot de overhandiging van het rapport.

1
In het kader van forensisch onderzoek naar een iPhone of macOS worden APFS-structuren geanalyseerd op basis van de beschikbare back-up. Naast geautomatiseerde tools vindt er een handmatige beoordeling plaats van relevante artefacten uit het bestandssysteem. De resultaten worden op reproduceerbare wijze gedocumenteerd en technisch ingedeeld.
2
LanCologne stelt particuliere rapporten op, evenals rapporten voor bedrijven en advocaten. Onze rapporten zijn al in gerechtelijke procedures gebruikt. In afzonderlijke procedures hebben wij rechtstreeks de opdracht gekregen om IT-forensische rapporten op te stellen. Op verzoek kunnen geanonimiseerde of roodgestreepte referentierapporten of uittreksels worden getoond.

TYPISCHE VRAGEN

Wanneer is deze analyse nodig?

  • ✔Wat is een APFS-container?
  • ✔Wat is de betekenis van volumes?
  • ✔Hoe werken snapshots?
  • ✔Welke rol speelt Copy-on-Write?
  • ✔Welke gevolgen heeft de versleuteling voor de analyse?

BEPERKINGEN & CONCLUSIE

Wat u moet weten

Niet alle APFS-partities zijn in elke back-up beschikbaar. Het apparaatmodel, de versie van het besturingssysteem, de versleuteling en de back-upmethode bepalen de omvang van de gegevens die kunnen worden geanalyseerd.

APFS is een krachtig bestandssysteem met talrijke beveiligings- en integriteitsfuncties. Voor IT-forensisch onderzoek is een grondig begrip van deze architectuur een voorwaarde voor een betrouwbare beoordeling van digitale sporen.

KLANTBEOORDELINGEN

Dit zeggen onze klanten

4,8 van de 5 sterren op Trustpilot · 54 beoordelingen

★★★★★

“Uiterste professionaliteit, snelle afhandeling en uitstekende communicatie. Wat onmogelijk leek, is mogelijk gemaakt. Zo stel je je echte klantenservice voor – uniek in Duitsland!”

idalein

Geverifieerde beoordeling op Trustpilot

★★★★★

“Zeer vriendelijk advies, uitstekende bereikbaarheid en communicatie. Mijn probleem is volledig opgelost; de verloren gegevens konden worden hersteld. Ik ben erg tevreden en natuurlijk opgelucht!”

Layla Pankratz

Geverifieerde beoordeling op Trustpilot

★★★★★

“Mijn probleem werd professioneel en snel opgelost, de medewerkers waren altijd vriendelijk en ik kan ook nu nog contact opnemen als ik vragen heb – daar ben ik erg dankbaar voor!”

inwoonster van Keulen

Geverifieerde beoordeling op Trustpilot

Nu aanvragen – gratis eerste adviesgesprek

Heeft u een professionele analyse nodig van een Apple-bestandssysteem of een iPhone-back-up? LanCologne staat u bij met een objectief IT-forensisch onderzoek en een transparante documentatie.

GERELATEERDE ONDERWERPEN

Dit zou u ook kunnen interesseren

VEELGESTELDE VRAGEN

Veelgestelde vragen

Klik op een vraag om het antwoord te zien.

Wat is APFS?
Het Apple File System is het huidige bestandssysteem van Apple.
Wat zijn snapshots?
Ze geven de toestand van een bestandssysteem op een bepaald moment weer.
Wat betekent 'copy-on-write'?
Gewijzigde gegevens worden op een nieuwe locatie opgeslagen voordat bestaande gegevens worden vervangen.
Is APFS versleuteld?
APFS ondersteunt moderne versleutelingsmechanismen, waarvan het gebruik afhankelijk is van het apparaat en de configuratie.
Kan APFS forensisch worden onderzocht?
Ja, mits aan de vereiste gegevens en technische voorwaarden is voldaan.