Малко известна функция на базата данни на Safari може да даде на специалистите по дигитална криминалистика (DFIR) още един начин за разбиране на активността при сърфиране в macOS.
Базата данни с историята на Safari може да съхранява автоматично генерирани тематични етикети за някои уеб страници, което потенциално разкрива темите, които потребителят е изследвал, дори когато първоначалните записи за сърфиране са ограничени.
Артефактът се съхранява в SQLite базата данни с история на Safari на адрес ~/Library/Safari/History.db. Този файл вече е ключов източник на доказателства от браузъра, тъй като записва посетените URL адреси, заглавията на уеб страниците, времевите клейма (timestamps), пренасочванията и броя посещения.
Данните за историята на Safari обикновено се намират в таблиците history_items и history_visits tables, но две допълнителни таблици могат да предоставят полезен контекст: history_tags и history_items_to_tags.
Safari изглежда присвоява кратък описателен етикет на някои уеб страници, които обработва. Не всяка страница получава етикет, а точната логика, използвана за създаването на тези етикети, остава неясна.
Етикетите в базата данни с история на Safari разкриват историята
Според публикацията на Йогеш Катри (Yogesh Khatri) в SwiftForensics, наличните доказателства показват, че Safari може да извлича обща тема или обект, свързан със страницата, вместо точно описание на нейното основно съдържание.
Таблицата history_tags съхранява метаданните за етикетите. Важните полета включват заглавието на етикета, идентификатора, времевото клеймо за промяна и броя елементи.
Полето title съдържа четимия за хора етикет, докато полето identifier може да започва с „Q“, което показва връзка към обект във Wikidata. Например идентификатор на етикет би могъл да сочи към разпозната технология, организация, местоположение, софтуерен пакет или по-широко понятие.
Таблицата history_items_to_tags функционира като мост между записите от сърфирането и етикетите. Тя свързва елемент от историята с ID на етикет, позволявайки на разследващите да свържат извлечената от Safari тема с конкретен URL адрес.
Тригерите в базата данни също актуализират полето item_count при вмъкване или изтриване на връзка с етикет, което прави бройката полезна за идентифициране на етикети, свързани с множество елементи от историята.
SQL заявка може да обедини записа за посещението, URL адреса, заглавието на етикета, идентификатора на етикета и времето на промяна на етикета. Тъй като времевите клейма в Safari използват епохата Cocoa на Apple, започваща на 1 януари 2001 г., аналитиците трябва да добавят 978307200 секунди при конвертирането им към Unix време.
Стойността на артефакта е по-скоро контекстуална, отколкото заключителна. Един етикет може да се отнася до второстепенно понятие на страницата, а не до нейната основна тема.
Например фишинг сайт, представящ се за проекта Homebrew, може да получи етикет „APT“, тъй като Safari го асоциира с Advanced Package Tool, а не защото страницата е свързана с усъвършенствана постоянна заплаха (APT).
Поради това разследващите трябва да избягват да третират етикетите като доказателство за намерението на потребителя. Вместо това те трябва да ги съпоставят с URL адреси, заглавия на посещения, изтегляния, кеш на браузъра, DNS данни, телеметрия от крайни точки и други артефакти.
Въпреки това по-стари записи за етикети със стойност на item_count от нула могат да бъдат от значение, тъй като могат да останат след изтриване на свързаните relaion-и от историята.
Отворената криминалистична рамка за macOS и iOS mac_apt включва парсиране на артефакти от Safari и може да обработва интернет историята от Safari заедно с други криминалистични доказателства. нейната поддръжка за Safari улеснява прегледа на данните от етикетите по време на разследвания на крайни точки.
Етикетите в Safari не са самостоятелно неоспоримо доказателство, но могат да помогнат на DFIR екипите да идентифицират модели на сърфиране, да разследват фишинг активност и да изградят по-ясна хронология на уеб активността на потребител на macOS.