IT-forenzika · macOS

Forenzična analiza FileVault – ocena stanja šifriranja in možnosti dostopa

FileVault ščiti podatke na računalniku Mac s šifriranjem. Na računalnikih Mac z Apple Silicon ali varnostnim čipom Apple T2 so podatki že šifrirani na ravni strojne opreme; FileVault pri tem dodaja dodatno raven zaščite, saj dostop pogojuje z uporabniškimi prijavnimi podatki oziroma ustreznimi mehanizmi za obnovitev. Na starejših računalnikih Mac z Intelovim procesorjem brez čipa T2 je tehnična situacija drugačna in jo je treba oceniti posebej.

Nezavezujoča poizvedba

Za forenziko je FileVault pomemben predvsem zato, ker stanje šifriranja in odklepanja neposredno vpliva na to, kateri podatki so dostopni na zaseženem ali predanem sistemu. FileVault pri tem ni artefakt dejavnosti in sam po sebi ne omogoča sklepa o tem, kdo je določene datoteke ustvaril ali uporabljal.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Dokumentiramo prepoznavno stanje šifriranja, strojno platformo, obstoječe strukture APFS ter pogoje dostopa, ki so pomembni za dokazno varno zajemanje podatkov. Uporabniški in obnovitveni kontekst se ocenjujeta le v okviru dejansko razpoložljivih in zakonito posredovanih informacij.

Pri sistemih, ki so v delovanju oziroma odklenjeni, se trenutno stanje dostopa posebej natančno dokumentira, saj lahko kasnejša sprememba stanja znatno vpliva na možnosti beleženja.

Tipična področja uporabe

•Ocena stanja FileVault in šifriranja
•Načrtovanje forenzičnega zajemanja podatkov
•Preučevanje sistemov Apple Silicon, T2 in starejših Intelovih sistemov
•Dodelitev šifriranih APFS-volumnov
•Odziv na incidente in zavarovanje dokazov
•Dokumentacija o obnovitvi in uporabniškem kontekstu
•Sodna in izvensodna izvedenska mnenja

Tako poteka forenzična preiskava

Najprej se dokumentirajo model, procesorska platforma in struktura nosilca podatkov. Nato se preveri, kateri APFS-volumi so na voljo in v kakšnem stanju so dostopni. Preiskava poteka brez nepotrebnih sprememb na izvirnem sistemu.

Konkretni postopek je v veliki meri odvisen od tega, ali je bil Mac ob predaji izklopljen, vklopljen, prijavljen ali že odklenjen. Ti stanji so v dokumentaciji strogo ločeni, saj vplivajo na tehnično možne načine varnostnega kopiranja.

Zakaj je to področje preiskave forenzično pomembno?

FileVault je eden od najpomembnejših pogojev za sodobno zavarovanje dokazov v sistemu macOS. Zlasti pri sistemih Apple Silicon in T2 je treba upoštevati mehanizme ključev, vezane na strojno opremo, ter trenutno stanje naprave.

Zato za forenzično preiskavo ni odločilna le ugotovitev, da je „FileVault aktiven“, temveč tudi natančna dokumentacija platforme, stanja šifriranja in razpoložljivega dostopa v trenutku varnostnega kopiranja.

Pogosta vprašanja

Ali je računalnik Mac z Apple Silicon šifriran tudi brez aktiviranega FileVaulta?+
Apple pri tehnologiji Apple Silicon opisuje šifriranje podatkov, ki temelji na strojni opremi. FileVault dopolnjuje zaščito tako, da dostop dodatno veže na uporabniške ali obnovitvene prijavne podatke.
Ali lahko FileVault vpliva na forenzično varnostno kopijo?+
Da. Stanje šifriranja in odklepanja lahko odločilno vpliva na to, kateri podatki so tehnično dostopni.
Ali je treba računalnike Mac z Intelovimi procesorji, procesorji T2 in Apple Silicon obravnavati enako?+
Ne. Pri oblikovanju strategije varnostnega kopiranja je treba upoštevati strojno platformo in varnostno arhitekturo.
Ali FileVault razkriva kaj o dejavnostih uporabnikov?+
Ne. FileVault je v prvi vrsti mehanizem za šifriranje in zaščito dostopa.

LanCologne – Forenzika sistema macOS v Kölnu

Potrebujete strokovno forenzično preiskavo računalnika Mac, zaščitenega s FileVaultom? LanCologne vam pomaga pri pridobivanju dokazov, ki izpolnjujejo forenzične standarde, in tehnično utemeljeni oceni.

Stopite v stik zdaj