Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen
På en iPhone er billedfilen kun halvdelen af beviset. Den anden halvdel ligger i Photos.sqlite, den database, som Fotos-appen bruger til at holde styr på hvert billede og hver video. Databasen kan ofte vise, om et billede er taget med telefonens kamera, gemt fra en beskedapp, importeret fra en anden enhed eller synkroniseret fra iCloud, og om det er redigeret bagefter. Den slags spørgsmål kan EXIF-data i selve filen sjældent besvare alene.
Det grundlæggende om metadata i fotos og om at gemme originalen står på hubben i Fotos og video som bevis. Her ser vi på databasen som teknisk kilde.
Hvor databasen ligger, og hvordan den sikres
Photos.sqlite ligger i telefonens mediebibliotek sammen med miniaturer, redigeringsdata og selve originalerne. Databasen og billederne kan indgå i en lokal backup, men Apple angiver, at en computerbackup ikke omfatter indhold, der allerede ligger i iCloud-fotobiblioteket. Et fuldt filsystemudtræk giver det mest komplette billede, fordi det også får de tilknyttede filer og databasens skrivejournal med. Forskellene mellem backuptyperne er beskrevet i iOS-backup: krypteret, ukrypteret og hvad den indeholder.
Sikr altid databasen sammen med dens WAL- og SHM-filer. Seneste ændringer, fx et billede, der lige er flyttet til papirkurven, kan stå i skrivejournalen og endnu ikke være skrevet ind i hovedfilen. Åbnes databasen i et almindeligt værktøj, kan journalen blive flettet ind, og så ændres både indholdet og hashværdien. Arbejd derfor på en kopi, og hash de tre filer hver for sig først; se SQLite i forensic: WAL-filer, frie sider og slettede rækker.
Opbygningen i hovedtræk
Databasen har én central tabel med en række pr. billede eller video og en række hjælpetabeller med yderligere attributter, album, personer, steder og cloudoplysninger. Tabellernes navne og felter har skiftet mellem iOS-versioner, så en forespørgsel, der virker på én version, kan give tomme eller forkerte resultater på en anden. Den centrale tabel har fx heddet ZGENERICASSET i ældre versioner og ZASSET i nyere. Apple dokumenterer ikke skemaet, så tabeller og felter aflæses i den sikrede database, og værktøjets understøttelse af versionen noteres.
Felter, der typisk er relevante:
- Oprettelsestidspunkt · Tidspunktet, Fotos tilskriver billedet, ofte hentet fra EXIF
- Tilføjet-tidspunkt · Hvornår billedet kom ind i biblioteket på denne enhed eller konto
- Ændringstidspunkt · Hvornår databaseposten senest blev ændret
- Oprindeligt filnavn · Filnavnet ved import eller optagelse
- Importkilde eller gemt-type · Kamera, anden app, synkronisering eller import
- Papirkurvsstatus og -tidspunkt · Om billedet ligger i Nyligt slettet, og siden hvornår
- Placering · Koordinater, hvis de findes i filen eller er tilføjet
- Cloud-id · Kobling til iCloud-fotobiblioteket
Tidsstemplerne er gemt i Apples format, sekunder siden 1. januar 2001 i UTC. Omregningen skal kontrolleres, også når et værktøj gør den automatisk; se Tidsstempelformater.
Oprettet eller importeret?
Det centrale spørgsmål er ofte, om billedet er taget med netop denne telefon på det tidspunkt, det påstås. Her er forskellen mellem oprettelses- og tilføjet-tidspunkt nyttig. Et billede taget med kameraet har typisk de to tidspunkter tæt på hinanden. Et billede, der er gemt fra en beskedapp, hentet fra nettet eller synkroniseret fra en anden enhed, kan have et oprettelsestidspunkt langt før tilføjet-tidspunktet.
Databasen registrerer desuden ofte, hvilken app eller proces der har lagt billedet ind, og om det er et skærmbillede. Sammen med EXIF-oplysninger om kameramodel og objektiv kan det give et ret sikkert billede af oprindelsen. Men pas på med enkeltfelter. Et billede, der er gendannet fra en ældre backup eller flyttet til en ny telefon, får nye tilføjet-tidspunkter for hele biblioteket. Kig derfor efter mønstre: Får tusindvis af billeder samme tilføjet-tidspunkt, er det en migrering, ikke tusind handlinger.
iCloud-fotobibliotek og delte album
Med iCloud-fotobibliotek slået til er telefonens database en lokal spejling af kontoens bibliotek. Billeder, der er taget med en iPad eller en anden iPhone på samme Apple-konto, optræder derfor også på telefonen. At billedet findes på telefonen, viser ikke, at det er taget med den. Kameramodellen i EXIF og importkilden i databasen er de vigtigste holdepunkter.
Delte album er en særskilt mekanisme. Billeder i et delt album er typisk nedskalerede kopier, og de kan være lagt op af andre deltagere. Databasen skelner mellem egne billeder og billeder fra delte album, men hvem der har lagt et bestemt billede op, kan være sværere at fastslå uden data fra kontoen selv. Det delte fotobibliotek, hvor flere personer deler ét bibliotek, gør spørgsmålet om ophav endnu mere relevant. Ifølge Apple kan kun den, der har lagt et billede i det delte bibliotek, slette det endeligt, og billeder slettet fra et delt album forsvinder straks.
Optimeret lagring betyder desuden, at originalen ikke nødvendigvis ligger på telefonen, men kun en mindre udgave. Notér det i rapporten, fordi en metadataanalyse af en nedskaleret fil ikke er det samme som en analyse af originalen.
Redigeringshistorik
Fotos-appen redigerer ikke-destruktivt. Originalen bevares, og redigeringen gemmes som en beskrivelse af ændringerne, fx beskæring, filter, justering af lys eller ændring af en Live Photo. Databasen markerer, at et billede har redigeringer, og de tilknyttede filer kan vise, hvilken app der lavede dem, og hvornår. Redigeringsdata ligger i separate filer, hvis format Apple ikke dokumenterer.
Det giver to fordele. Man kan ofte finde det uredigerede original side om side med den redigerede version, og man kan se, at der er redigeret, selv om den eksporterede fil ikke viser det. Til gengæld dækker mekanismen kun redigeringer i Fotos og apps, der bruger systemets redigeringsfunktion. Et billede, der er redigeret i en anden app og gemt som en ny fil, optræder som et nyt billede med egen oprindelse. Tekniske tegn på redigering i selve billeddata er behandlet i Redigerede billeder: tekniske tegn ud over metadata.
Slettede billeder
Et slettet billede flyttes først til Nyligt slettet og bliver der i en periode, før det fjernes endeligt. Apple angiver på tidspunktet for gennemgangen (oktober 2026) 30 dage, men er iCloud-lageret fyldt, fjernes slettede billeder straks uden at passere Nyligt slettet. I den periode er både filen og databaseposten typisk intakte med et papirkurvstidspunkt. Efter endelig sletning kan rester af posten findes i frie sider eller i skrivejournalen, og miniaturer kan overleve længere end originalen. Selve billedfilen er dog sjældent gendannelig på en moderne krypteret telefon.
Typiske fejlkilder
- Oprettelsestid fra EXIF: Feltet afspejler kameraets ur og tidszone, ikke nødvendigvis det faktiske tidspunkt.
- Migrering og gendannelse: Nye tilføjet-tidspunkter for hele biblioteket ligner masseimport.
- Synkronisering: Billeder fra andre enheder på samme konto ligner lokale billeder.
- Ændringstidspunkt: Ændres også af systemprocesser som ansigtsgenkendelse, analyse og cloudsynkronisering, ikke kun af brugeren.
- Versionsforskelle: Værktøjets parser kan være bygget til en anden iOS-version end telefonens.
Hvad databasen kan og ikke kan bevise
Photos.sqlite kan vise, hvordan et billede kom ind i biblioteket, hvornår, om det er redigeret i Fotos, og om det er slettet. Databasen kan ikke alene vise, hvem der holdt telefonen, og den kan ikke bekræfte, at motivet er ægte. Konklusioner om oprindelse bør bygge på flere uafhængige felter, der peger samme vej.
Sammenhold derfor med andre kilder på telefonen. En beskedapps egen database kan vise, at en fil blev modtaget på et bestemt tidspunkt, og det kan holdes op mod tilføjet-tidspunktet i Fotos. Systemets brugsartefakter kan vise, om kamera-appen var i forgrunden, da billedet angiveligt blev taget. Peger kilderne i hver sin retning, skal uoverensstemmelsen beskrives åbent frem for at blive forklaret væk.
Dokumentation
Angiv iOS-version, udtrækstype, hashværdier for databasen og dens journalfiler, de felter og tabeller, der er lagt til grund, og hvordan tidsstempler er omregnet. Vedlæg de relevante rækker som bilag, så en anden sagkyndig kan finde dem igen i den sikrede database.
Kilder og versioner
- Apple Support: Sådan gendannes slettede billeder
- Apple Support: Slet billeder på iPhone eller iPad
- Apple Support: Hvad en computerbackup af iPhone indeholder
Senest gennemgået: oktober 2026.
Næste skridt
Del af: iPhone-forensik
Læs også: iPhone-artefakter: Biome, skærmtid og placeringsdata · Android-artefakter: usage stats, Digital Wellbeing og app-databaser
→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
