Apple Disk Image (DMG)
| Format | Apple Disk Image (DMG) |
|---|---|
| Kurzname | DMG |
| Kategorie | Datenträgerabbild |
| Plattformen | macOS |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Disk-Image-Format von Apple. Ein UDIF-Image besteht aus Datenblöcken (roh oder komprimiert mit ADC, zlib, bzip2, LZFSE oder LZMA), einer XML-Property-List mit der Block-Map und einem 512-Byte-'koly'-Trailer am Dateiende statt eines Datei-Headers; rohe Images können ohne Trailer sein. Enthält typischerweise ein HFS+-, APFS-, FAT32- oder ExFAT-Dateisystem. Kann mit Passwort oder Zertifikat per AES-128 oder AES-256 verschlüsselt sein; ein verschlüsseltes Image beginnt mit 'encrcdsa' (Version 2) oder endet mit 'cdsaencr' (Version 1), und der 'koly'-Trailer liegt dann innerhalb der verschlüsselten Daten. Varianten: segmentiertes UDIF (.dmgpart), Sparse Image (.sparseimage, Header 'sprs', Blöcke werden beim Schreiben belegt), Sparse Bundle (.sparsebundle, ein Ordner aus Band-Dateien). Verbreitet als Software-Installer (Downloads-Ordner), als vom Benutzer erstellter verschlüsselter Container, als Speicher von Time-Machine-Backups auf Netzwerkzielen (Sparse Bundle) und als bevorzugtes Sicherungsformat für macOS-Geräte (SWGDE).
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 6B 6F 6C 79 | koly | UDIF-'koly'-Trailer-Block bei EOF-512 (keine Magic im Datei-Header) |
| Offset 0 (0x0) | 65 6E 63 72 63 64 73 61 | encrcdsa | Verschlüsseltes Disk-Image, Header der Version 2 |
| Offset unbekannt | 63 64 73 61 65 6E 63 72 | cdsaencr | Verschlüsseltes Disk-Image, Markierung der Version 1 in den letzten 8 Bytes |
| Offset 0 (0x0) | 73 70 72 73 | sprs | Sparse-Image-Header (.sparseimage) |
Bekannte Dateiendungen
.dmg, .sparseimage, .sparsebundle
Referenzen
- Mac OS disk image types — format documentation (libyal/libmodi) https://github.com/libyal/libmodi/blob/main/documentation/Mac%20OS%20disk%20image%20types.asciidoc
- DMG format reverse-engineered (newosxbook.com) https://newosxbook.com/DMG.html
- Encrypted DMG header versions — dmg2john (John the Ripper) https://github.com/openwall/john/blob/bleeding-jumbo/run/dmg2john.py
- Apple Disk Image (Wikipedia — UDIF structure) https://en.wikipedia.org/wiki/Apple_Disk_Image
- ForensicsWiki — DMG https://forensics.wiki/dmg/
- SWGDE Best Practices macOS Forensic Acquisition https://www.swgde.org/documents/published-complete-listing/23-f-005-swgde-best-practices-apple-macos-forensic-acquisition/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Apple Disk Image (DMG)“. https://kalink0.github.io/crush-forensics/formats/de/dmg/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden