Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen
En iPhone registrerer løbende, hvordan den bruges: hvilken app der er i forgrunden, hvornår skærmen er tændt og låst op, hvornår den lades, og hvor den har været. Disse oplysninger ligger i systemets egne databaser, især Biome og i ældre versioner KnowledgeC, i skærmtidsdata, i strømloggen PowerLog og i placeringstjenesternes databaser. De kan give en tæt tidslinje over brug, men de kræver et fuldt filsystemudtræk, formaterne ændrer sig med hver iOS-version, og flere af dem kan forveksles med brugerens bevidste handlinger. Placeringsdata har desuden en præcision, der skal vurderes for hver enkelt post.
Hvorfor artefakterne kræver et fuldt udtræk
De fleste brugsartefakter ligger i systemområder, som ikke indgår i en lokal backup. Et logisk udtræk giver derfor beskeder, billeder og appdata, men næsten ingen oplysninger om, hvornår og hvordan telefonen blev brugt. Et fuldt filsystemudtræk kræver understøttelse af den konkrete model og iOS-version og må kun ske med ejerens kode eller samtykke. → Udtræk fra mobiltelefoner: logisk, filsystem og fysisk
Biome og KnowledgeC
KnowledgeC var i mange år den centrale database over brugsmønstre på iPhone og Mac. Den registrerede blandt andet app i forgrunden, skærmens tilstand, låsning og oplåsning, afspilning af medier og tilslutning af enheder. I nyere iOS-versioner er en stor del af disse data flyttet til Biome, som gemmer hændelser i en række strømme (streams) i et binært segmentformat i stedet for én SQLite-database. Apple dokumenterer hverken KnowledgeC eller Biome, så viden om strømmenes navne og indhold stammer fra forensisk forskning og værktøjsleverandører. Hvilke strømme der findes, og hvad der stadig ligger i KnowledgeC, skifter mellem iOS-versioner og skal derfor fastslås for den konkrete telefon.
Typiske strømme og poster kan vise:
- App i forgrunden: hvilken app der var aktiv, med start- og sluttidspunkt.
- Skærm og lås: hvornår skærmen var tændt, og hvornår telefonen blev låst op eller låst.
- Medier: afspilning af lyd og video med app og titel.
- Notifikationer og interaktioner: i nogle versioner, at en notifikation blev vist eller brugt.
- Tilsluttet tilbehør: fx hovedtelefoner, bil og opladning.
Biome rydder op efter en periode, der varierer pr. strøm. Ældre hændelser kan derfor mangle, selv om telefonen har været i brug. Formatet kræver forensiske værktøjer, der understøtter den konkrete iOS-version, og afgørende fund bør kontrolleres i mere end ét værktøj. Den tilsvarende kilde på Mac er beskrevet her: → macOS-artefakter
Skærmtid
Skærmtid samler brugstid pr. app og kategori, antal oplåsninger og notifikationer. Data ligger i egne databaser og kan, når funktionen er slået til, give et overblik pr. time eller dag.
Et vigtigt forbehold: Skærmtid kan deles på tværs af enheder med samme Apple-konto. Er deling slået til, kan tal og poster stamme fra en iPad eller Mac og ikke fra telefonen. Indstillingen hedder Del på tværs af enheder i Skærmtid. Kontrollér den og eventuelle enhedsidentifikatorer i dataene, før skærmtid bruges til at sige noget om netop denne telefon. Hvordan den enkelte enhed fremgår af databaserne, er ikke dokumenteret af Apple og skal efterprøves i den konkrete version.
PowerLog
PowerLog er systemets strømlog. Den registrerer blandt andet opladning, batteriniveau, skærmens lysstyrke og tilstand samt apps’ strømforbrug, med tæt tidsopløsning. Den kan bekræfte, at skærmen var tændt, eller at telefonen blev ladet på et bestemt tidspunkt, og den kan udfylde huller i andre kilder. Den dækker typisk kun en kort periode, og ældre data arkiveres eller fjernes løbende. Perioden er ikke fastsat i Apples dokumentation og varierer med version og brug, så den faktiske dækning aflæses af de ældste og nyeste poster i de sikrede filer.
Placeringsdata
En iPhone kan rumme placeringsoplysninger fra flere kilder:
- Vigtige steder (significant locations) · Steder, telefonen ofte besøger, og besøg med tidsrum. Krypteret og kun tilgængelig ved fuldt udtræk.
- Placeringscache og systemlogs · Enkeltpunkter med tid og præcision fra GPS, Wi-Fi eller mobilnet
- Billeder · GPS-koordinater i billedets metadata
- Apps · Kort-, trænings- og transportapps med egne logs
- Wi-Fi-netværk · Kendte netværk med tidspunkt for seneste forbindelse
Apple oplyser, at vigtige steder synkroniseres mellem brugerens enheder med end-to-end-kryptering og ikke kan læses af Apple. Brugeren kan kun rydde historikken, ikke eksportere den, og rydningen slår igennem på alle enheder med samme Apple-konto. Et besøg i dataene kan derfor i princippet stamme fra en anden enhed på kontoen, hvilket skal vurderes, før det tilskrives telefonen.
Hver placeringspost bør have en angivelse af præcision, typisk en horisontal usikkerhed i meter. En post baseret på mobilmaster kan have en usikkerhed på hundreder eller tusinder af meter, mens GPS udendørs kan være meget præcis. En placering uden præcisionsangivelse skal bruges med stor forsigtighed. → Lokationsdata på telefonen: præcision og fejlkilder
Vigtige steder er en afledning: Systemet har vurderet, at telefonen var et sted i et tidsrum. Det er ikke en række målinger, og start- og sluttider er estimater.
Fejlkilder i fortolkningen
- Forgrund er ikke opmærksomhed. En app kan stå åben på en ulåst telefon, mens ingen kigger. Afspilning kan ske i lommen.
- Oplåsning er ikke identifikation. Oplåsning med kode eller Face ID viser, at telefonen blev låst op, ikke af hvem. Delte koder og flere registrerede ansigter forekommer. → Hvem sad ved tastaturet? Attribution af brugerhandlinger
- Synkronisering mellem enheder. Skærmtid og visse aktivitetsdata kan komme fra andre enheder på kontoen.
- Tid og tidszone. Tidsstempler er typisk i Apples format eller Unix-tid og i UTC. Tidszonen på telefonen kan have skiftet ved rejser.
- Huller. Oprydning, genstart, opdateringer og lav strøm kan give huller. Fravær af en hændelse viser ikke, at telefonen ikke var i brug.
- Værktøjets tolkning. Navnene på strømme og felter er udokumenterede, og værktøjer kan tolke dem forskelligt.
Sikring og analyse i praksis
Fordi flere af kilderne rydder op efter kort tid, er tidspunktet for udtrækket afgørende. Hver dag, telefonen bruges efter hændelsen, kan skubbe relevante poster ud. Fremgangsmåden er:
- Isolér telefonen fra netværket og lad den være tændt og ladet, hvis det er muligt, så den ikke genstarter og låser data.
- Notér iOS-version, tidszone og placeringsindstillinger ved modtagelsen.
- Lav et fuldt filsystemudtræk med et værktøj, der understøtter versionen, og hash resultatet.
- Udtræk de relevante databaser og strømme som filer, så de kan analyseres i mere end ét værktøj.
- Afgræns analysen til det tidsrum og de spørgsmål, opdraget omfatter. Brugsdata og placeringer er stærkt personhenførbare og afslører ofte mere end nødvendigt.
- Kontrollér omregningen af tidsstempler stikprøvevis mod rå værdier. → Tidsstempelformater: FILETIME, Unix, Apple og WebKit
Billeders placering hører med i samme analyse, men vurderes ud fra billedets egne metadata og fotobibliotekets database, som er en særskilt kilde.
Sammenhæng med andre kilder
Artefakterne bliver stærke, når de bekræfter hinanden: En oplåsning i Biome, skærmen tændt i PowerLog og en sendt besked i appens database inden for samme minut er langt stærkere end hver for sig. Kombinér altid brugsartefakter med de konkrete handlinger, sagen handler om, i en samlet tidslinje. Modsatrettede spor, fx en placering langt fra det sted, hvor en anden kilde placerer telefonen, skal forklares og ikke bare udelades.
Hvad artefakterne kan og ikke kan bevise
De kan vise, at telefonen var tændt, låst op og havde en bestemt app i forgrunden i et tidsrum, og med en angivet præcision, hvor den var. De kan ikke alene vise, hvem der brugte telefonen, eller hvad personen så og forstod.
Dokumentation
Angiv model, iOS-version, udtrækstype, værktøj og version, hvilke databaser og strømme der er analyseret med hash, tidsformat og tidszone, og for placeringer præcisionen for hver anvendt post. Indstillinger som delt skærmtid og placeringstjenester skal fremgå.
Kilder og versioner
- Apple: Placeringstjenester og anonymitet
- Apple Support: Konfigurer Skærmtid for dig selv på iPhone
- Apple Platform Security: Databeskyttelse
Senest gennemgået: oktober 2026.
Næste skridt
Del af: iPhone-forensik
Læs også: Signal og Telegram teknisk: lokale data og forsvindende beskeder · Billeder på iPhone: Photos.sqlite, metadata og redigeringer
→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
