AppleDouble / AppleSingle
| Format | AppleDouble / AppleSingle |
|---|---|
| Kurzname | AppleDouble |
| Kategorie | Archiv |
| Plattformen | macOS |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Container für Metadaten und Resource Forks von Macintosh-Dateien, wenn das zugrunde liegende Dateisystem oder der Übertragungsweg sie nicht nativ erhalten kann. AppleDouble speichert die Metadaten in einer separaten Header-Datei, meist '._<filename>' genannt, neben der Datendatei; AppleSingle speichert Data Fork und Metadaten in einem einzigen Container. AppleDouble-Dateien können Finder-Informationen, einen Resource Fork und Extended Attributes enthalten; macOS speichert Extended Attributes in einer Apple-spezifischen 'ATTR'-Struktur nach dem Finder-Info-Eintrag. Moderne AppleDouble-Dateien von macOS können daher forensische Metadaten wie com.apple.quarantine, Finder-Tags und andere Extended Attributes bewahren, einschließlich Download- oder Herkunftsinformationen, sofern vorhanden. Sie kommen häufig auf Dateisystemen und Übertragungswegen außerhalb des Macs vor und in ZIP-Archiven, wo vom Finder erzeugte AppleDouble-Dateien unter __MACOSX/ liegen können. Die Container können Metadaten bewahren, die in der zugehörigen Datendatei fehlen, und daher wertvolle Belege zur Herkunft von Dateien, zum Finder-Zustand und zu historischen Dateiattributen liefern.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 00 05 16 07 | .... | AppleDouble-Magic 0x00051607 |
| Offset 0 (0x0) | 00 05 16 00 | .... | AppleSingle-Magic 0x00051600 |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- MIME Encapsulation of Macintosh Files — MacMIME (RFC 1740) https://www.rfc-editor.org/rfc/rfc1740.html
- copyfile.c — AppleDouble '._' layout with ATTR extended attributes (Apple OSS) https://github.com/apple-oss-distributions/copyfile/blob/main/copyfile.c
Diesen Eintrag zitieren
Crush-Format-Referenz, „AppleDouble / AppleSingle“. https://kalink0.github.io/crush-forensics/formats/de/appledouble/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden