Plist Forensics

Définition

Les fichiers Plist (Property List) sont des fichiers de configuration et de données utilisés par Apple dans macOS et iOS pour stocker des préférences, paramètres d'applications, et diverses données système. Ils constituent une source forensique majeure sur les systèmes Apple, équivalente en importance aux fichiers de registre sur Windows. Les plist existent en deux formats principaux. Le format XML est lisible directement dans un éditeur de texte et représente les données en balises plist. Le format binaire (bplist) est plus compact et plus courant en pratique — les applications et le système l'utilisent pour des raisons de performance. Des outils comme plistutil (Linux), plutil (macOS/iOS), ou des visualiseurs dédiés convertissent les bplist binaires en XML lisible. Les fichiers plist forensiquement significatifs sur macOS incluent les préférences utilisateur (~Library/Preferences/com.apple.*.plist), les métadonnées des applications récemment utilisées, les caches de bureau (Dock.plist), l'historique de téléchargements (Downloads.plist), les applications de démarrage automatique (~Library/LaunchAgents/), les caches de localisation, et les métadonnées des services cloud (iCloud, Dropbox). Les agents de lancement (LaunchAgents et LaunchDaemons via des fichiers plist) sont les vecteurs de persistance macOS équivalents aux clés Run du registre Windows. Sur iOS, les plist constituent la majorité des données forensiques extractibles : preferences.plist pour les préférences d'applications, consolidated.db historiquement pour la géolocalisation, com.apple.wifi.plist pour les réseaux WiFi connus, et de nombreuses bases de configuration système. L'outil iLEAPP (iOS Logs, Events and Plists Parser) parse automatiquement des centaines de fichiers plist forensiquement pertinents depuis une extraction iOS. La corrélation entre les plist et les bases SQLite (utilisées par les mêmes applications) fournit une vision complète de l'activité sur les appareils Apple. Par exemple, com.apple.springboard.plist complète l'analyse de SpringBoard.db pour reconstituer l'utilisation des applications.