Informática forense · macOS

Análise forense das autorizações de privacidade do macOS – Avaliar o acesso das aplicações a recursos protegidos

macOS schützt zahlreiche sensible Ressourcen durch Datenschutz- und Sicherheitsberechtigungen. Dazu gehören abhängig von Betriebssystemversion und Anwendung beispielsweise Zugriffe auf Dateien in besonders geschützten Bereichen sowie Berechtigungen wie Full Disk Access. Apple weist darauf hin, dass Benutzer in „Privacy & Security“ überprüfen und ändern können, welche Apps auf bestimmte geschützte System- und Benutzerdaten zugreifen dürfen.

Pedido de informação sem compromisso

In der macOS-Forensik werden diese Berechtigungsentscheidungen häufig unter dem technischen Oberbegriff TCC – Transparency, Consent, and Control – betrachtet. Vorhandene Berechtigungsdaten können Hinweise darauf geben, welche Anwendung für einen bestimmten Zugriff autorisiert oder abgelehnt wurde. Sie beweisen jedoch nicht automatisch, dass die Anwendung die betreffende Ressource tatsächlich genutzt hat.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Wir untersuchen die auf der forensischen Datenquelle vorhandenen Datenschutz- und Zugriffsberechtigungen und ordnen sie den betreffenden Anwendungen beziehungsweise Diensten zu. Dabei werden Bundle-Identifier, Code-Signing-Kontext, Benutzerbezug, Berechtigungskategorie und weitere technisch verfügbare Informationen berücksichtigt.

Berechtigungsbefunde werden mit installierten Anwendungen, Unified Logs, Persistenzmechanismen, Dateisystemspuren und gegebenenfalls Malware-Artefakten korreliert. Eine erteilte Berechtigung wird dabei klar von einem tatsächlichen Zugriff getrennt.

Áreas de aplicação típicas

•Untersuchung weitreichender App-Berechtigungen
•Análises de malware e de resposta a incidentes
•Prüfung von Full Disk Access und geschützten Ressourcen
•Bewertung verdächtiger Anwendungen
•Rekonstruktion von Datenschutz- und Zugriffskonfigurationen
•Korrelation mit Laufzeit- und Dateisystemspuren
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Nach der beweissicheren Sicherung werden die verfügbaren Datenschutz- und Berechtigungsdaten des relevanten Benutzers beziehungsweise Systems identifiziert. Anschließend werden Einträge nach Anwendung, Dienst und Berechtigungsart ausgewertet und mit der installierten Software sowie deren Signatur- und Bundle-Informationen abgeglichen.

Für die Interpretation wird die jeweilige macOS-Version berücksichtigt, weil Apple Datenschutzkategorien und Systemmechanismen über die Jahre erweitert und verändert hat. Eine Autorisierung wird nicht als Beweis eines konkreten Zugriffs dargestellt; hierfür sind zusätzliche Laufzeit- oder Inhaltsartefakte erforderlich.

Por que razão esta área de investigação é relevante do ponto de vista forense?

Datenschutzberechtigungen sind forensisch wichtig, weil sie den möglichen Zugriff von Anwendungen auf besonders geschützte Ressourcen beeinflussen. Ein ungewöhnlich weitreichender Zugriff kann bei einer Malware- oder Missbrauchsuntersuchung relevant sein, ist aber nicht automatisch verdächtig: Backup-, Sicherheits-, Verwaltungs- und Forensiksoftware kann legitimerweise umfangreiche Rechte benötigen.

Die belastbare Bewertung entsteht deshalb erst aus der Verbindung von Berechtigung, Anwendung, Signatur, Installationskontext und tatsächlichen Aktivitätsspuren.

Perguntas frequentes

Was bedeutet Full Disk Access?+
Full Disk Access ist eine macOS-Datenschutzberechtigung, mit der einer App Zugriff auf besonders geschützte Datenbereiche ermöglicht werden kann.
Beweist eine erteilte Berechtigung, dass die App auf die Daten zugegriffen hat?+
Nein. Sie dokumentiert zunächst eine Zugriffsmöglichkeit beziehungsweise Autorisierung. Ein tatsächlicher Zugriff benötigt zusätzliche Belege.
Sind umfangreiche Berechtigungen automatisch verdächtig?+
Nein. Verschiedene legitime Anwendungen benötigen weitreichende Rechte. Die Bewertung muss den Zweck und die Herkunft der Software berücksichtigen.
Warum muss die macOS-Version berücksichtigt werden?+
Apple hat Datenschutz- und Sicherheitsmechanismen über verschiedene macOS-Versionen erweitert und verändert. Struktur und Aussagekraft vorhandener Daten können daher versionsabhängig sein.

LanCologne – Análise forense do macOS em Colónia

Sie benötigen eine professionelle Untersuchung von macOS-Datenschutzberechtigungen oder verdächtigen App-Zugriffsrechten? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren technischen Bewertung.

Entre em contacto connosco agora