AFF Acquisition
| Format | AFF Acquisition |
|---|---|
| Kurzname | AFF |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Advanced Forensic Format (AFF): ein offenes Sicherungsformat für Datenträger aus AFFLIB, geschrieben von Tools wie affconvert und FTK Imager. Der Datenträger wird in komprimierten Pages neben benannten Metadaten-Segmenten gespeichert, die den eigenen MD5/SHA1 der Sicherung über den Datenträger und eine Anzahl defekter Sektoren enthalten können. AFF kann verschlüsselt sein. Ein AFD ist dieselbe Sicherung, aufgeteilt auf mehrere .aff-Dateien in einem Ordner, dessen Name auf .afd endet. Ein AFM speichert die Metadaten in einer AFF-Datei und die Datenträgerdaten in einer separaten Raw-Datei. Eine Page, die die Sicherung deklariert, aber nicht enthält, wird als Markierung des Images für defekte Sektoren gelesen, nicht als Daten vom Gerät. AFF4, der spätere Nachfolger, ist ein anderes Format.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 41 46 46 31 30 0D 0A 00 | AFF10... | AFF-Signatur ('AFF10' + Steuerbytes), in jeder Datei eines AFD |
Bekannte Dateiendungen
.aff, .afm
Referenzen
- Advanced Forensics Format (Forensics Wiki) https://forensics.wiki/aff/
- AFFLIB — the reference implementation https://github.com/sshock/AFFLIBv3
- abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „AFF Acquisition“. https://kalink0.github.io/crush-forensics/formats/de/aff/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden