IT-forenzika · macOS

Forenzična analiza pomembnih lokacij – strokovna klasifikacija pomembnih lokacij v sistemu macOS

macOS lahko v okviru storitev lokacije prepozna kraje, ki so za uporabnika pomembni. Apple opisuje funkcijo »Pomembne lokacije« kot funkcijo, s katero lahko Mac prepozna takšne lokacije in jih uporabi za kontekstualne informacije v aplikacijah, kot so Maps, Calendar in Reminders. Apple hkrati poudarja, da so »Pomembne lokacije« šifrirane in jih Apple ne more prebrati.

Nezavezujoča poizvedba

Za forenziko je ta funkcija lahko pomembna kot morebitni kontekst lokacije. Dejanska razpoložljivost podatkov, ki jih je mogoče analizirati, je odvisna od različice macOS, konfiguracije naprave, sinhronizacije Apple računa, šifriranja in stanja varnostnih kopij podatkov. Ne smemo predpostavljati, da je na voljo popolna ali trajno ohranjena zgodovina lokacij.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Preverjamo, ali so v zanesljivo zabeleženem viru podatkov na voljo tehnično uporabne informacije o pomembnih lokacijah ali s tem povezanih lokacijskih storitvah. Če so na voljo, se časovni in lokacijski podatki uskladijo z drugimi elementi iz aplikacij Maps, Calendar, Reminders, Location Services in drugih virov podatkov, povezanih s posameznim primerom.

Manjkajoči ali nedostopni podatki so izrecno navedeni kot omejitev. Mesta nahajanja se ne izpeljujejo iz samih konfiguracijskih vnosov ali iz splošnega opisa delovanja.

Tipična področja uporabe

•Preučitev morebitnih povezav z bivališčem in krajem
•Korelacija s podatki iz aplikacij Maps, Koledar in Opomniki
•Preverjanje konfiguracije sistema glede na lokacijo
•Rekonstrukcija prostorsko-časovnih povezav
•Preiskave uporabniške aktivnosti in odzivanja na incidente
•Ocena izbrisanih oziroma sinhroniziranih podatkov o lokaciji
•Sodna in izvensodna izvedenska mnenja

Tako poteka forenzična preiskava

Po zanesljivem pridobivanju dokazov se najprej ugotovi, katere informacije v zvezi s storitvami za določanje lokacije in pomembnimi lokacijami so na voljo in dostopne v konkretnem sistemu macOS. Nato se uporabni vnosi razvrstijo po viru, časovnem okviru in informacijah o lokaciji.

Rezultati se primerjajo z neodvisnimi viri podatkov. Pri tem upoštevamo, da Apple omogoča izbris zgodovine pomembnih lokacij ter da so informacije o lokaciji lahko šifrirane oziroma sinhronizirane na ravni naprave ali računa.

Zakaj je to področje preiskave forenzično pomembno?

Funkcija »Pomembne lokacije« lahko v ustreznih primerih zagotovi dodatni kontekst za prostorsko umestitev digitalnih dogodkov. Te funkcije pa ne smemo enačiti z zagotovljenim, neprekinjenim zgodovinskim zapisom GPS-podatkov.

Zlasti pri sodnih vprašanjih je ključnega pomena razlikovati med shranjenim podatkom o lokaciji, „pomembno“ lokacijo, ki jo je sistem prepoznal, in zanesljivim dokazom o prisotnosti določene osebe. Za slednje so običajno potrebni dodatni dokazi.

Pogosta vprašanja

Kaj so pomembne lokacije?+
Apple s tem opisuje kraje, ki jih naprava prepozna kot pomembne za uporabnika in jih lahko uporabi za kontekstno odvisne funkcije.
Ali lahko Apple prebere te lokacije?+
Apple navaja, da so »Significant Locations« šifrirani in da jih Apple ne more prebrati.
Ali je mogoče izbrisati zgodovino?+
Da. Apple ponuja funkcijo za brisanje zgodovine pomembnih lokacij.
Ali vnos v bazi podatkov »Significant Location« dokazuje prisotnost določene osebe?+
Ne samodejno. Ugotovitve o napravi ali lokaciji je treba ločiti od osebne identifikacije in jih povezati z dodatnimi dokazi.

LanCologne – Forenzika sistema macOS v Kölnu

Potrebujete strokovno preiskavo funkcije »Significant Locations« ali drugih sledov lokacij na računalniku Mac? LanCologne vam pomaga pri sodno veljavnem zajemanju podatkov ter previdni in tehnično zanesljivi analizi.

Stopite v stik zdaj