Apple File System (APFS)

Format	Apple File System (APFS)
Kurzname	APFS
Kategorie	Dateisystem
Plattformen	macOS, iOS
Crush Unterstützung	Unterstützt `(RawImageVFS)`
Status	Überprüft
Zuletzt überprüft	2026-10-04

Forensische Relevanz

Apples Copy-on-Write-Dateisystem ab iOS 10.3 und macOS 10.13. Ein Container enthält mehrere Volumes, die sich einen Speicherpool teilen. Metadaten liegen in B-Trees, die über eine Object Map adressiert werden, und jede Änderung wird unter einer neuen Transaktions-ID in neue Blöcke geschrieben. Ältere Checkpoints und ersetzte Baumknoten können daher auf dem Datenträger erhalten bleiben. Volumes können pro Volume oder pro Datei verschlüsselt sein (Data Protection unter iOS) und Snapshots enthalten. Zeitstempel sind Nanosekunden seit 1970 UTC.

Signaturen

Offset	Hex	ASCII (nicht druckbar als .)	Beschreibung
Offset 32 (0x20)	4E 58 53 42	NXSB	Magic des Container-Superblocks 'NXSB' (Block 0)

Bekannte Dateiendungen

Nicht erfasst

Referenzen

Apple File System Reference (Apple, 2020-06-22) https://developer.apple.com/support/downloads/Apple-File-System-Reference.pdf
Apple File System (APFS) — format documentation (libyal/libfsapfs) https://github.com/libyal/libfsapfs/blob/main/documentation/Apple%20File%20System%20(APFS).asciidoc
Mobile Forensics – The File Format Handbook: APFS (Rune Nordvik, Springer, 2022) https://doi.org/10.1007/978-3-030-98467-0_1
abrignoni/qnxprobe — MBR/GPT, LVM2 and filesystem reader for raw images (QNX6/QNX4, ETFS, EFS, ext2/3/4, F2FS, FAT32/16/12, exFAT, NTFS, HFS+, APFS, QNX IFS, SquashFS, JFFS2, UBI/UBIFS, YAFFS) https://github.com/abrignoni/qnxprobe

Diesen Eintrag zitieren

Crush-Format-Referenz, „Apple File System (APFS)“. https://kalink0.github.io/crush-forensics/formats/de/apfs/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden