Forside › macOS- og Linux-forensik · Gennemgået oktober 2026 · Af John Nielsen
En Mac med Apple silicon (M-serien) eller T2-sikkerhedschip kan i praksis ikke sikres med en klassisk bit-for-bit kopi af den fysiske disk. Lageret er loddet fast, altid hardwarekrypteret med nøgler, der er bundet til den konkrete maskine, og dataene er kun læsbare gennem maskinen selv efter godkendelse. Den realistiske metode er derfor en logisk sikring af den tændte, oplåste maskine, udført med brugerens adgangskode, en gendannelsesnøgle eller administratoradgang på et lovligt grundlag. Det kræver planlægning, før maskinen slukkes, og omhyggelig dokumentation af, at metoden afviger fra en fysisk kopi.
Det generelle overblik over sikring af Mac findes på hub-sitet: → Bevissikring af Mac. Her handler det om de tekniske årsager og valgene undervejs.
Hvorfor den klassiske kopi ikke virker
På ældre Mac-computere med Intel-processor og udtagelig disk kunne disken tages ud og kopieres med en skrivebeskytter som enhver anden. Med T2-chippen og senere Apple silicon er tre forhold ændret:
- Kryptering i hardware. Al data på det interne lager krypteres af sikkerhedschippen (Secure Enclave), også når FileVault ikke er slået til. Nøglerne forlader aldrig chippen.
- Fastloddet lager. Lagerchippene sidder på bundkortet og er parret med netop denne chip. Selv en læsning direkte fra chippene giver kun krypterede data.
- Godkendt adgang. Uden FileVault låses data op ved opstart. Med FileVault kræves brugerens adgangskode, en gendannelsesnøgle eller en institutionel løsning. → BitLocker og FileVault i bevissikring
Den kopi, der er mulig, er derfor en kopi af de dekrypterede data, som maskinen udleverer, ikke af de rå sektorer. Det er en logisk kopi, uanset hvor fuldstændig den er.
De mulige veje
- Logisk indsamling på den tændte, oplåste Mac · Filer og mapper med metadata fra de valgte volumener
- Opstart i en tilstand, hvor disken deles med en anden Mac · Adgang på filniveau via netværksdeling efter godkendelse
- Diskimage af det monterede datavolumen med systemets egne værktøjer · Et logisk image af volumenets indhold
- Målrettet indsamling af bestemte mapper og logs · Kun det udvalgte, hurtigt
På Apple silicon erstatter funktionen Del disk i macOS-gendannelse den tidligere måldisktilstand. Den startes fra opstartsindstillingerne, kan kræve adgangskoden til en administratorkonto og deler det valgte volumen som en netværksdeling over et USB-, USB-C- eller Thunderbolt-kabel. Den anden Mac får adgang til filer, ikke til rå sektorer. Tidspunktet og de valgte trin noteres.
Valget afhænger af, hvad maskinen er i, når man ankommer, hvilke nøgler der findes, og hvad sagen kræver. Den generelle vejledning i valg mellem fysisk, logisk og målrettet sikring findes her: → Fysisk, logisk eller målrettet sikring
Den tændte Mac er den vigtigste tilstand
Er Macen tændt og logget ind, er det ofte det bedste udgangspunkt, man får. Slukkes den, kræver næste opstart adgangskode eller nøgle, og en del flygtige spor er væk. Overvej derfor i denne rækkefølge:
- Forhindr låsning og dvale uden at ændre mere end nødvendigt, og dokumentér tidspunktet.
- Notér tilstanden: model, chiptype, macOS-version, FileVault-status, indloggede brugere, tilsluttede volumener og netværk.
- Sikr det mest flygtige: kørende processer, netværksforbindelser og om nødvendigt hukommelse. → Live response
- Sikr unified logs som et logarkiv, før de roterer.
- Gennemfør den logiske indsamling af datavolumenet eller de relevante mapper.
Værktøjer, der læser hele brugerens data, kræver typisk særlige rettigheder i systemets privatlivskontrol (fuld diskadgang). Tildeling af rettigheder ændrer systemets konfiguration og efterlader spor. Det er en kendt og accepteret påvirkning, der skal noteres med tidspunkt.
Nøgler, konti og administration
Lovlige adgangsveje til en virksomheds-Mac er typisk:
- Brugerens adgangskode med samtykke eller efter aftale.
- FileVault-gendannelsesnøgle deponeret i virksomhedens MDM-løsning.
- Administratorkonto oprettet af virksomheden, hvis kontoen har en secure token og dermed selv kan låse FileVault op. MDM’s bootstrap-token låser ikke volumenet op, men kan på styrede maskiner give konti, der logger ind, en secure token.
- Aktiveringslås: Er Macen knyttet til en privat Apple-konto, kan det blokere for gendannelse og genopsætning. Det løses gennem kontoens ejer eller virksomhedens administrationsværktøjer, ikke ved omgåelse.
Ved deponering i MDM krypterer Macen den personlige gendannelsesnøgle med et certifikat fra administrationsløsningen, og løsningen kan være sat op til at skifte nøglen, efter at den er brugt. Notér derfor, hvilken nøgle der blev brugt, og om den efterfølgende blev skiftet.
Når en nøgle bruges, skal det i bevisloggen stå, hvilken nøgle, hvorfra den kom, og hvem der udleverede den. Selve nøglen opbevares adskilt fra kopien.
Hvad der ikke kommer med
En logisk kopi indeholder ikke ikke-allokeret plads, og dermed heller ikke slettede filer, der kun findes i frie blokke. På en SSD med TRIM og hardwarekryptering ville de i forvejen sjældent kunne gendannes. Andre forhold:
- Systemvolumenet er forseglet og skrivebeskyttet og har sjældent værdi ud over versionsoplysninger.
- APFS-snapshots, fx lokale Time Machine-snapshots, kommer kun med, hvis de sikres særskilt. → APFS: snapshots og kloner
- Beskyttede programdata, fx visse databaser, kan kræve, at indsamlingsværktøjet har de rette rettigheder.
- iCloud-indhold, der ikke er hentet ned, ligger kun som pladsholdere lokalt.
Verifikation
Fordi kilden ikke kan hashes som en fysisk enhed, kan verifikationen ikke vise, at kopien er identisk med disken. Den kan vise:
- at kopien er uændret siden indsamlingen, ved hash af image eller filsamling,
- at de enkelte filer svarer til kilden, ved hash pr. fil under indsamlingen,
- at indsamlingen er fuldstændig for det valgte omfang, ved sammenligning af antal filer og størrelser.
Beskriv dette præcist. “Logisk kopi af datavolumenet, hash pr. fil, verificeret efter indsamling” er korrekt. “Forensisk kopi af disken” er ikke.
Når Macen er slukket ved ankomst
Er Macen slukket, og FileVault slået til, kan data kun låses op med brugerens adgangskode, en gendannelsesnøgle eller en institutionel løsning via MDM. Uden en af dem er der ingen lovlig vej til indholdet, og det skal dokumenteres i stedet for at forsøges omgået. Hvad der kan sikres uden oplåsning, er begrænset til oplysninger om maskinen selv: model, serienummer, tilstand og eventuelt hvilke konti der fremgår af loginskærmen. Supplerende kilder uden for maskinen bliver så vigtigere: iCloud-data via kontoejeren, MDM-løsningens inventar og logs, netværkslogs og cloudtjenester, brugeren har haft adgang til.
Er FileVault ikke slået til, låses data op ved opstart, men adgang til brugerens filer kræver stadig en konto på maskinen eller en anden godkendt metode. Notér FileVault-status, så snart den kan konstateres, fordi den bestemmer, hvilke veje der er åbne.
Ældre Mac-computere
Intel-Mac-computere uden T2-chip med udtagelig disk kan stadig sikres som en almindelig computer med skrivebeskytter og fuld kopi, eventuelt efterfulgt af oplåsning af FileVault med nøgle. Det er derfor vigtigt at fastslå model og chip, før metoden vælges. Modelidentifikationen kan aflæses på kabinettet, i systemoplysningerne eller ud fra serienummeret.
Flere brugere og volumener
En Mac kan have flere brugerkonti, flere APFS-volumener i samme container og eksterne volumener, der er krypteret særskilt. Hver konto med FileVault-adgang kan låse datavolumenet op, men brugerens egne nøgleringe og beskyttede data er knyttet til den enkelte konto. Registrér alle konti og volumener ved sikringen, og angiv, hvilke der indgår i indsamlingen, og hvilke der ikke gør.
Typiske fejl
- Macen slukkes eller genstartes for at “gøre den klar”, og adgangen går tabt.
- Lågen lukkes, maskinen går i dvale og låser.
- Indsamlingsværktøjet mangler rettigheder, så hele mapper er tomme uden fejlmelding.
- Rapporten kalder en logisk kopi for et fysisk image.
I rapporten
Angiv model, chip, macOS-version, tilstand ved ankomst, nøgle eller adgangsvej, værktøj og version, omfang, hashværdier og de systemændringer, indsamlingen selv medførte. Begrund, hvorfor en fysisk kopi ikke var mulig, så det står klart, at begrænsningen er teknisk og ikke et fravalg.
Kilder og versioner
- Apple Support: Brug Del disk til at overføre filer mellem to Mac-computere
- Apple Platform Deployment: Administrer FileVault med MDM
- Apple Platform Security: Secure token, bootstrap token og volumenejerskab
Senest gennemgået: oktober 2026.
Næste skridt
Del af: macOS- og Linux-forensik
Læs også: Virtuelle maskiner og servere: forensisk sikring uden nedetid · Unified Logs på macOS: sikring af logarkivet, før det roterer
→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
