Wi‑Fi- og Bluetooth‑spor på enheden: netværksprofiler og parrede enheder

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

Computere og telefoner gemmer en liste over de trådløse netværk, de har forbundet sig til, og over de Bluetooth-enheder, de er parret med. Listerne har ofte tidspunkter for første og seneste forbindelse og kan underbygge, at en enhed var et bestemt sted, eller at den var koblet til et bestemt headset, en bil eller en anden computer. Det er tilstedeværelse uden GPS. Sporene er stærke som støtte i en tidslinje, men svage alene, fordi et netværksnavn ikke er en adresse, og en parring ikke er en brug.

Denne artikel handler om sporene på selve enheden. Netværkets egne logs, dvs. DHCP, Wi-Fi-controller og RADIUS, er beskrevet i DHCP, Wi-Fi og NAC.

Windows: Wi-Fi

Windows har tre centrale kilder til trådløse netværk:

WLAN-profiler gemmes som XML-filer under C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces. Hver profil indeholder netværkets navn (SSID), godkendelsestype og kryptering. Profilen viser, at netværket er kendt, men ikke hvornår det blev brugt.
Netværkslisten i registreringsdatabasen under HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList har profiler for både kablede og trådløse netværk med værdierne DateCreated og DateLastConnected og, under Signatures, oplysninger som standardgatewayens MAC-adresse. Tidspunkterne er gemt som SYSTEMTIME-strukturer. Faglitteraturen er ikke enig om, hvorvidt de er lokal tid eller UTC, så de skal kontrolleres mod andre kilder.
Hændelsesloggen Microsoft-Windows-WLAN-AutoConfig/Operational registrerer forbindelser og afbrydelser. Event 8001 angiver en vellykket forbindelse og 8003 en afbrydelse, med SSID, BSSID (adgangspunktets MAC-adresse) og forbindelsestype.

BSSID’en er værdifuld, fordi den identificerer det konkrete adgangspunkt og ikke kun netværkets navn. Mange netværk hedder det samme, men adgangspunkterne har hver deres BSSID. SRUM-databasen kan desuden vise netværksforbrug pr. program og pr. netværksforbindelse; se SRUM.

Indbyggede rapporter

Windows kan selv danne en rapport over trådløse forbindelser med kommandoen netsh wlan show wlanreport, der skriver en HTML-rapport med en tidslinje over forbindelser, afbrydelser og årsager. Som standard dækker rapporten kun de seneste tre dage. Rapporten bygger på de samme hændelseslogs og er praktisk til et overblik, men den er afledt data og dannes på den kørende computer. Den bør derfor kun køres efter, at loggene er sikret, og kun som supplement. Kørslen skal noteres som et indgreb med tidspunkt og konto, fordi den skriver filer til disken.

Windows: Bluetooth

Parrede Bluetooth-enheder registreres i registreringsdatabasen under HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices, med enhedens Bluetooth-adresse som nøgle og bl.a. navn og tidspunkter i værdierne. Nøglens senest skrevne tid kan give et tidspunkt for seneste ændring. Enhedshåndteringens poster og hændelseslogge kan supplere med, hvornår en enhed blev installeret. Se Registreringsdatabasen i en undersøgelse for, hvordan hives og transaktionslogs sikres.

macOS

macOS gemmer kendte Wi-Fi-netværk i en systemkonfigurationsfil (plist) med SSID, sikkerhedstype og tidspunkter for tilføjelse og seneste forbindelse. Parrede Bluetooth-enheder findes i Bluetooth-konfigurationen. Filnavne og strukturer har ændret sig mellem macOS-versioner, så versionen skal dokumenteres. Unified Logs kan rumme detaljerede forbindelseshændelser, men kun i en begrænset periode; se macOS-artefakter.

iPhone og Android

På telefoner findes tilsvarende lister i et filsystemudtræk: kendte netværk med tidspunkter og parrede Bluetooth-enheder. På iPhone kan Biome og andre systemdatabaser også registrere forbindelser til fx bilens Bluetooth eller CarPlay; se iPhone-artefakter. På Android ligger kendte netværk i Wi-Fi-tjenestens konfigurationsfil, og placeringen afhænger af Android-versionen.

Et logisk udtræk eller en backup indeholder ikke altid disse filer. Hvis spørgsmålet afhænger af Wi-Fi- eller Bluetooth-spor, skal udtrækstypen vælges derefter.

Private og tilfældige MAC-adresser

Moderne telefoner og computere bruger som standard en privat eller tilfældig MAC-adresse pr. netværk. Apple bruger en privat Wi-Fi-adresse, og Android tildeler som standard en tilfældig adresse pr. netværk. Det har to konsekvenser:

Den MAC-adresse, netværket så, er ikke enhedens fysiske adresse. Koblingen fra netværkets log til enheden kræver, at den private adresse findes på enheden eller kan udledes.
På enheden kan den private adresse for et netværk ofte findes i netværkets konfiguration. Det er nøglen til at forbinde enhedens spor med routerens eller controllerens log.

Sikring

Sikr enheden forensisk med en metode, der omfatter systemfiler: fuld kopi for computere, filsystemudtræk for telefoner, hvor det er muligt.
Eksportér WLAN-AutoConfig-loggen som EVTX, og notér loggens størrelse og ældste hændelse.
Sikr registreringsdatabasens hives med transaktionslogs.
Fotografér eller dokumentér enhedens tidszone og ur, fordi flere tidsstempler er lokal tid.
Hvis netværkets egne logs findes, sikres de parallelt, så BSSID og MAC kan krydstjekkes.

Undgå at forbinde enheden til nye netværk under sikringen. Det skaber nye profiler og overskriver tidspunkter for seneste forbindelse.

Fejlkilder

Samme navn, andet sted: Et SSID som et kædenavn eller et standardnavn fra en router findes mange steder. Brug BSSID, hvor den findes.
Automatisk forbindelse: Enheden kan have forbundet sig automatisk, mens den lå i en taske. Forbindelse er ikke brug.
Synkroniserede profiler: Wi-Fi-adgangskoder og netværk kan synkroniseres mellem enheder på samme konto. Et kendt netværk på en enhed betyder ikke, at netværket blev brugt fra netop den enhed.
Tidszone: Lokal tid og UTC blandes let mellem registreringsdatabase og hændelseslog.
Overskrivning: DateLastConnected og nøglernes skrivetid viser kun den seneste hændelse, ikke historikken.

Dokumentation

Gengiv for hvert relevant netværk SSID, BSSID hvis den findes, kilden og tidsstemplet med angivelse af, om det er lokal tid eller UTC, og hvordan det er afgjort. For Bluetooth gengives enhedens adresse, navn og de tidspunkter, der findes. Hvis et adgangspunkt er placeret geografisk, skal kilden til placeringen fremgå, og det skal stå, at placeringen er adgangspunktets, ikke enhedens. Beskriv også, hvilken udtrækstype der er brugt på telefoner, og om den omfattede de systemfiler, hvor netværkslisterne ligger. Det gør det muligt for en anden sagkyndig at vurdere, om fravær af et netværk skyldes enheden eller metoden.

Hvad sporene kan og ikke kan bevise

Sporene kan vise, at en enhed har været forbundet til et netværk med et bestemt navn og ofte et bestemt adgangspunkt, og hvornår første og seneste forbindelse skete. De kan vise, at en Bluetooth-enhed har været parret. Sammen med geografiske oplysninger om adgangspunktet kan de underbygge, hvor enheden var. De kan ikke alene vise, hvem der havde enheden, eller hvad den blev brugt til. I en tidslinje er de bedst som ankre, der bekræfter eller udfordrer andre kilder; se Tidslinjeanalyse.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: Sådan læses en mobiludtræksrapport · Leveret og læst: hvor status gemmes i WhatsApp, iMessage og Teams

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik