Informática forense · macOS
Analisar localizações significativas do ponto de vista forense – Classificar locais significativos no macOS de forma adequada
O macOS consegue, no âmbito dos Serviços de Localização, identificar locais que são significativos para o utilizador. A Apple descreve os «Locais Significativos» como uma funcionalidade que permite a um Mac identificar esses locais e utilizá-los para fornecer informações contextuais em aplicações como o Maps, o Calendário e os Lembretes. A Apple salienta, ao mesmo tempo, que os «Locais Significativos» estão encriptados e não podem ser lidos pela Apple.
Para a análise forense, esta função pode ser relevante como possível contexto de localização. No entanto, a disponibilidade efetiva de dados analisáveis depende da versão do macOS, da configuração do dispositivo, da sincronização da conta Apple, da encriptação e do estado dos dados guardados. Não se deve partir do princípio de que existe um histórico de localização completo ou preservado de forma permanente.
Porquê o LanCologne?
Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.
A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.
Os nossos serviços
Verificamos se a fonte de dados registada de forma fiável contém informações tecnicamente utilizáveis sobre «Significant Locations» ou serviços de localização associados. Na medida do possível, as referências temporais e geográficas são cruzadas com outros dados provenientes do Maps, do Calendar, dos Reminders, dos Location Services e de outras fontes de dados específicas de cada caso.
Os dados em falta ou inacessíveis são expressamente documentados como uma limitação. Não se deduzem locais de permanência a partir de meras entradas de configuração ou da descrição geral do funcionamento.
Áreas de aplicação típicas
É assim que decorre a investigação forense
Após a recolha de provas, determina-se, em primeiro lugar, quais as informações relacionadas com os Serviços de Localização e com os Locais Significativos que estão presentes e acessíveis no sistema macOS em questão. Em seguida, os registos úteis são estruturados por fonte, data e hora e informações de localização.
Os resultados são correlacionados com fontes de dados independentes. Ao fazê-lo, temos em conta que a Apple permite a eliminação do histórico do «Significant Locations» e que as informações relacionadas com a localização podem estar encriptadas ou ser sincronizadas com base no dispositivo ou na conta.
Por que razão esta área de investigação é relevante do ponto de vista forense?
Em casos adequados, a funcionalidade «Locais Significativos» pode fornecer um contexto adicional para a localização espacial de eventos digitais. No entanto, esta funcionalidade não deve ser equiparada a um histórico de GPS garantido e completo.
Especialmente no que diz respeito a questões judiciais, é fundamental distinguir entre uma referência de localização guardada, uma posição „significativa“ identificada pelo sistema e a prova cabal da presença de uma determinada pessoa. Esta última requer, normalmente, meios de prova adicionais.
Perguntas frequentes
🔗 Temas relacionados
LanCologne – Análise forense do macOS em Colónia
Precisa de uma análise profissional dos «Significant Locations» ou de outros registos de localização de um Mac? A LanCologne presta-lhe apoio na obtenção de provas com valor judicial e na classificação cuidadosa e tecnicamente sólida desses dados.