Forside › macOS- og Linux-forensik · Gennemgået oktober 2026 · Af John Nielsen
En Chromebook er bygget til at have så lidt som muligt liggende lokalt. Brugerens data er krypteret pr. bruger på enheden, og det meste af det, der betyder noget, ligger i Google-kontoen og, for administrerede enheder, i Google Admin-konsollen. En undersøgelse af en Chromebook starter derfor sjældent med en diskkopi. Den starter med kontoen, administrationsloggene og spørgsmålet om, hvorvidt enheden overhovedet må slukkes, nulstilles eller flyttes.
Chromebooks er udbredte i skoler og bruges i nogle virksomheder som simple arbejdsstationer, kiosker og delte maskiner. Artiklen beskriver, hvad der kan sikres, og hvor det skal hentes.
Hvordan ChromeOS gemmer data
ChromeOS er et Linux-baseret system med et skrivebeskyttet systemområde, der kontrolleres ved opstart i verificeret tilstand. Brugerdata ligger i en krypteret hjemmemappe pr. bruger. Nøglen er knyttet til brugerens login og, på enheder med sikkerhedschip, til enheden selv. Konsekvenserne er:
- En traditionel fysisk kopi af lagermediet giver krypterede data, som ikke kan læses uden brugerens login på selve enheden.
- Gæstesessioner og administrerede sessioner, hvor brugerdata slettes ved logud, efterlader meget lidt.
- Systemet bruger komprimeret hukommelse frem for swap på disken, så der er få hukommelsesrester at finde lokalt.
Lovlige adgangsveje til krypterede data er beskrevet generelt i kryptering: lovlige adgangsveje. For en Chromebook er den praktiske vej næsten altid kontoen.
Google-kontoen: hovedkilden
Brugerens browserhistorik, bogmærker, gemte formulardata og udvidelser synkroniseres normalt med Google-kontoen, ligesom filer i Google Drive, mails i Gmail og aktivitetsdata. For en Workspace-konto sikres disse data med Google Vault eller administrative eksporter. For en privat konto kræver det kontohaverens samtykke og typisk en eksport via Google Takeout. Forskellen mellem de to eksportveje er beskrevet i Google Takeout eller Vault-eksport, og Workspace generelt i Google Workspace-forensik.
Vær opmærksom på, at synkronisering kan være slået fra for enkelte datatyper, og at browserdata i kontoen ikke nødvendigvis har samme detaljegrad som den lokale historikdatabase. Den lokale Chrome-historik er beskrevet i browserhistorik som bevis.
Administrationskonsollen: enhedens egen historik
Er Chromebooken tilmeldt en organisation, registrerer Google Admin-konsollen hændelser fra enheden under Chrome-loghændelser. Ifølge Googles dokumentation omfatter de ChromeOS-hændelserne:
- Login, mislykket login og logud.
- Bruger tilføjet og fjernet fra enheden.
- Lås, oplåsning og mislykket oplåsning.
- Ændring af opstartstilstand, fx skift mellem verificeret tilstand og udviklertilstand.
- USB-enheder tilsluttet og fjernet.
- Fjernskrivebordssessioner via Chrome Remote Desktop.
- Opdateringer, tilbagerulning og igangsat Powerwash (nulstilling).
Hændelserne kommer kun, hvis den tilsvarende rapportering er slået til i enhedspolitikkerne, og nogle af dem registreres kun for brugere, der tilhører organisationen. Kontrollér derfor politikkerne for den periode, sagen drejer sig om, før fravær af hændelser tolkes. Loggen kan søges i konsollen og hentes via Reports API, og eksporten bør ske med det samme, fordi opbevaringen er begrænset.
Konsollen har også en enhedsoversigt med serienummer, tilmeldingsdato, seneste synkronisering, seneste bruger og OS-version. Tag et udtræk af enhedens side som dokumentation for dens tilstand på sikringstidspunktet.
Lokale spor, når enheden er tilgængelig
Hvis enheden findes, og en bruger med lovlig adgang kan logge ind, kan der være lokale data, der ikke er synkroniseret: filer i mappen Downloads, lokale app-data fra Android-apps og Linux-miljøet, hvis det er aktiveret, samt Chrome-profilens lokale databaser. Disse data er kun læsbare i en indlogget session. Metoderne er derfor logiske: målrettet kopi af filer og en eksport af profildata, dokumenteret med video eller skærmbilleder og hashværdier af det kopierede.
Det er ikke en fysisk kopi, og det skal stå i rapporten. Den indloggede session ændrer i sig selv data, fx tidspunkt for seneste login, synkroniseringsstatus og eventuelt browserdata. Notér tidspunktet for login og hver handling.
Faldgruber, der sletter data
ChromeOS er bygget til let nulstilling, og flere almindelige handlinger sletter de lokale brugerdata:
- Powerwash: fabriksnulstilling, der fjerner alle lokale brugerdata.
- Skift til udviklertilstand: sletter de lokale data som sikkerhedsforanstaltning.
- Fjernelse af en bruger fra enheden: sletter den brugers lokale hjemmemappe.
- Politikker, der rydder brugerdata ved logud: almindeligt på delte enheder.
- Fjernsletning eller afmelding fra administrationskonsollen.
Den vigtigste instruks til den, der har enheden, er derfor: lad være med at nulstille den, fjerne brugere eller ændre tilstand. Hvis enheden skal genbruges, bør den først sikres. Overvejelserne om at slukke eller lade enheden køre er beskrevet i sluk eller lad køre. For en Chromebook er der sjældent noget at vinde ved at holde den kørende, medmindre en bruger er logget ind, og den indloggede session er den eneste vej til lokale data.
Android-apps og Linux-miljøet
Mange Chromebooks kan køre Android-apps, og nogle har et Linux-udviklingsmiljø aktiveret. Begge kører i adskilte containere med deres egne data. Beskedapps, kontorapps og notatapps installeret fra Google Play kan derfor have lokale data, der ikke findes i Google-kontoen. Linux-miljøet kan indeholde shellhistorik, scripts og kopierede filer. Om de er relevante, afhænger af sagen, men de bør kortlægges, så de ikke overses.
Delte enheder i skoler og virksomheder
På delte Chromebooks logger mange forskellige brugere ind på den samme enhed, og ofte er enheden sat op til at slette brugerdata ved logud eller til kun at tillade administrerede gæstesessioner. Her er enheden selv næsten uden betydning som datakilde, og spørgsmålet bliver, hvilken konto der var logget ind på et bestemt tidspunkt. Det besvares af Admin-konsollens login- og logudhændelser holdt op mod kontoens egne loginlogs i Google Workspace. Er der tale om et skolemiljø, skal det også vurderes, hvem der lovligt kan give adgang til elevkonti, og at dataminimering er særligt vigtig, når de berørte er børn. Notér altid, om enheden var udlånt til én fast bruger eller indgik i en fælles pulje.
Hvad der kan og ikke kan bevises
Kombinationen af Admin-konsollens hændelser og kontoens data kan typisk vise, hvilke konti der loggede ind på en bestemt enhed hvornår, om enheden blev nulstillet eller sat i udviklertilstand, og hvilke USB-enheder der blev tilsluttet, forudsat at rapporteringen var slået til. Browserhistorik og Drive-aktivitet viser brugerens handlinger i kontoen, men ikke nødvendigvis hvilken enhed de blev udført fra, medmindre det fremgår af aktivitetsdata eller loginlog. Uden administration og uden adgang til kontoen er der meget lidt at hente.
Dokumentation
Notér enhedens serienummer, OS-version, tilmeldingsstatus og politikker på sikringstidspunktet, hvem der loggede ind, og hvilke data der blev hentet hvorfra. Eksportér Admin-konsollens hændelser med filter og periode angivet, og hash alle filer. Beskriv i rapporten, at ChromeOS-krypteringen forhindrer en fysisk kopi, så læseren forstår, hvorfor metoden afviger fra en almindelig computerundersøgelse. Angiv også, hvilke datakilder der ikke kunne sikres, fx fordi en bruger var fjernet fra enheden, eller fordi rapporteringen var slået fra i perioden.
Kilder og versioner
- Google Workspace Admin Help: Chrome log events
- Google Admin SDK: Chrome Audit Activity Events (Reports API)
- Chromium: Protecting cached user data
Senest gennemgået: oktober 2026.
Næste skridt
Del af: macOS- og Linux-forensik
Læs også: Ældre medier og båndbackup i sager · Hostlogs i VMware ESXi, vCenter og Hyper-V
→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
