Informática forense · macOS

Classificação forense do Secure Enclave – Avaliar corretamente os mecanismos de segurança ligados ao hardware

A Secure Enclave é uma área de segurança isolada do processador principal que, nos Macs com Apple Silicon e nos Macs Intel com o Apple T2 Security Chip, desempenha funções criptográficas essenciais. Dispõe de mecanismos de proteção próprios e está envolvida, entre outras coisas, no processamento e armazenamento seguros de chaves criptográficas. Para a análise forense do macOS, é, por isso, particularmente relevante no caso de suportes de dados internos encriptados, do FileVault e de mecanismos de proteção de acesso ligados ao hardware.

Pedido de informação sem compromisso

Eine forensische Untersuchung „der Secure Enclave“ im Sinne eines frei auslesbaren Speichers ist daraus jedoch nicht abzuleiten. Ihre Architektur ist gerade darauf ausgelegt, sensibles Schlüsselmaterial vom normalen Betriebssystem zu isolieren. Forensisch relevant ist daher vor allem die technische Einordnung ihrer Auswirkungen auf Beweissicherung, Entschlüsselbarkeit und verfügbare Untersuchungsmethoden.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Wir bestimmen zunächst Hardwaregeneration, Prozessorplattform und vorhandene Sicherheitsarchitektur. Anschließend wird bewertet, welche Auswirkungen Secure Enclave, FileVault und die jeweilige APFS-Verschlüsselung auf die Sicherung und Auswertung haben. Vorhandene Zugangsdaten oder zulässige Recovery-Mechanismen werden dokumentiert und nur im Rahmen der technisch möglichen und rechtlich freigegebenen Untersuchung eingesetzt.

Aussagen über kryptografische Schlüssel oder geschützte Inhalte werden ausschließlich getroffen, wenn sie aus tatsächlich erhobenen Daten oder dokumentierten Systemeigenschaften ableitbar sind. Eine nicht zugängliche Secure-Enclave-Komponente wird nicht durch Vermutungen ersetzt.

Áreas de aplicação típicas

•Bewertung von Apple-Silicon- und T2-Systemen
•Einordnung hardwaregebundener Verschlüsselung
•FileVault- und APFS-Untersuchungen
•Planung beweissicherer Datenerfassung
•Incident Response auf modernen Macs
•Bewertung technischer Zugriffsgrenzen
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Nach Identifikation des Mac-Modells werden Prozessor- und Sicherheitsarchitektur sowie der Zustand des Systems dokumentiert. Bei Apple Silicon und T2-Systemen wird berücksichtigt, dass kryptografische Funktionen und Schlüsselhierarchien hardwaregebunden sind. Daraus wird abgeleitet, welche Sicherungsmethode im konkreten Zustand fachlich vertretbar ist.

Die anschließende Auswertung erfolgt auf einer beweissicher erfassten Datenquelle. Die Secure Enclave selbst wird nicht als gewöhnliches Dateisystemartefakt behandelt. Stattdessen werden ihre Auswirkungen auf Entsperrung, Verschlüsselung und Zugriffsmöglichkeiten technisch dokumentiert und mit den tatsächlich verfügbaren APFS- und macOS-Daten korreliert.

Por que razão este artefacto é relevante do ponto de vista forense?

Die Secure Enclave ist forensisch wichtig, weil sie bei moderner Apple-Hardware wesentliche Sicherheits- und Schlüsseloperationen vom normalen Betriebssystem trennt. Dadurch können klassische Vorgehensweisen, die bei älteren Macs oder austauschbaren Datenträgern möglich waren, technisch ausgeschlossen oder erheblich eingeschränkt sein.

Ihre Bedeutung liegt daher häufig nicht in einem eigenständig auswertbaren Artefakt, sondern in der Erklärung, warum bestimmte Daten zugänglich oder nicht zugänglich sind und weshalb ein ausgeschaltetes, gesperrtes System anders behandelt werden muss als ein bereits authentifiziertes laufendes System.

Perguntas frequentes

Welche Macs besitzen eine Secure Enclave?+
Alle Macs mit Apple Silicon besitzen eine Secure Enclave. Außerdem verfügen Intel-Macs mit Apple T2 Security Chip über eine Secure Enclave im T2-Chip.
Kann die Secure Enclave wie ein Datenträger ausgelesen werden?+
Nein. Sie ist als isolierter Sicherheitsbereich konzipiert und nicht mit einem gewöhnlichen, frei analysierbaren Datenträger gleichzusetzen.
Warum ist sie für FileVault relevant?+
Bei Apple Silicon und T2-Systemen sind interne Verschlüsselung und Schlüsselverwaltung eng mit hardwarebasierten Sicherheitsfunktionen und der Secure Enclave verbunden.
Ist die Secure Enclave ein Beweisartefakt für Benutzerhandlungen?+
Nicht unmittelbar. Ihre forensische Bedeutung liegt vor allem in der technischen Einordnung von Schlüsselverwaltung, Zugriffsschutz und den Grenzen einer Datenerfassung.

LanCologne – Análise forense do macOS em Colónia

Sie benötigen eine professionelle Bewertung eines Apple-Silicon- oder T2-Systems? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren Einordnung hardwaregebundener Sicherheits- und Verschlüsselungsmechanismen.

Entre em contacto connosco agora