IT-forensik · macOS

Forensisk analys av viktiga platser – Korrekt klassificering av viktiga platser i macOS

macOS kan, inom ramen för platsbaserade tjänster, identifiera platser som är betydelsefulla för användaren. Apple beskriver ”Significant Locations” som en funktion som gör att en Mac kan identifiera sådana platser och använda dem för kontextuell information i appar som Kartor, Kalender och Påminnelser. Apple påpekar samtidigt att ”Significant Locations” är krypterade och inte kan läsas av Apple.

Begär en icke-bindande offert

För kriminaltekniken kan funktionen vara relevant som möjlig platskontext. Den faktiska tillgången på utvärderbara data beror dock på macOS-versionen, enhetskonfigurationen, synkroniseringen av Apple-kontot, krypteringen och tillståndet hos de säkerhetskopierade uppgifterna. Man får inte förutsätta att det finns en fullständig eller permanent bevarad platshistorik.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi kontrollerar om det finns tekniskt användbar information om viktiga platser eller därmed sammanhängande platstjänster i den bevisförsäkrat registrerade datakällan. I den mån sådan information är tillgänglig jämförs tids- och platsuppgifter med ytterligare data från Maps, Kalender, Påminnelser, Platstjänster och andra fallrelaterade datakällor.

Uppgifter som saknas eller inte är tillgängliga dokumenteras uttryckligen som en begränsning. Inga vistelseorter härleds enbart utifrån konfigurationsposter eller den allmänna funktionsbeskrivningen.

Typiska användningsområden

•Undersökning av eventuella kopplingar till vistelseort och plats
•Korrelation med data från Maps, Kalender och Påminnelser
•Kontroll av platsspecifik systemkonfiguration
•Rekonstruktion av rumsliga och tidsmässiga samband
•Undersökningar av användaraktivitet och incidenthantering
•Utvärdering av raderad eller synkroniserad platsinformation
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Efter att bevisen har säkrats fastställs först vilken information som rör platsbaserade tjänster och viktiga platser som finns tillgänglig i det specifika macOS-systemet. Därefter struktureras användbara poster efter källa, tidsangivelse och platsinformation.

Resultaten korreleras med oberoende datakällor. Vi tar hänsyn till att Apple gör det möjligt att radera historiken för ”Significant Locations” och att platsrelaterad information kan vara krypterad eller synkroniserad på enhets- eller kontonivå.

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

”Significant Locations” kan i lämpliga fall ge ytterligare sammanhang för den rumsliga placeringen av digitala händelser. Funktionen ska dock inte likställas med en garanterad, fullständig GPS-historik.

Särskilt när det gäller rättsliga frågor är det avgörande att skilja mellan en lagrad platsuppgift, en „betydande“ position som systemet har lärt sig och ett säkert bevis på att en viss person befann sig på platsen. Det sistnämnda kräver oftast ytterligare bevis.

Vanliga frågor

Vad är ”Significant Locations”?+
Apple använder detta begrepp för att beskriva platser som en enhet identifierar som betydelsefulla för användaren och som kan användas för kontextbaserade funktioner.
Kan Apple läsa av dessa platser?+
Apple uppger att ”Significant Locations” är krypterade och inte kan läsas av Apple.
Kan historiken raderas?+
Ja. Apple erbjuder en funktion för att radera historiken för Significant Locations.
Bevisar en ”Significant Location”-post att en viss person befann sig där?+
Inte automatiskt. En utredning av en enhet eller en plats måste skiljas från den personrelaterade kopplingen och sammanställas med ytterligare bevis.

LanCologne – macOS-forensik i Köln

Behöver ni en professionell undersökning av ”Significant Locations” eller andra spår efter var en Mac har befunnit sig? LanCologne hjälper er med att säkerhetskopiera bevisen på ett rättsligt hållbart sätt och med en noggrann och tekniskt tillförlitlig tolkning.

Kontakta oss nu