EWF Acquisition
| Format | EWF Acquisition |
|---|---|
| Kurzname | EWF |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Expert Witness Format (EWF): das forensische Disk-Image-Format .E01, das viele Sicherungstools schreiben und lesen (EnCase, FTK Imager, ewfacquire/libewf, X-Ways und andere). EWF-E01 (Version 1) basiert Berichten zufolge auf dem früheren Expert Witness Compression Format von ASR Data. EnCase selbst hieß ursprünglich 'Expert Witness', bis es mit ASR Data einen Markenrechtsstreit um diesen Namen gab. Meist die primäre Beweisdatei in einem Fall: eine bitgenaue physische oder logische Sicherung eines Datenträgers, gespeichert in einem oder mehreren nummerierten Segmenten (.E01, .E02, ...), optional komprimiert und bei der Sicherung gehasht. Dieses Format EWF-E01 (Version 1) schreiben EnCase 6/7 und FTK Imager, und es ist in der Praxis mit Abstand am häufigsten. SMART-Sicherungen (.s01) tragen dieselbe Signatur und werden genauso gelesen. Das neuere EWF2 (.Ex01) und die logische Variante .L01 haben eigene Einträge. Die Sicherung speichert in einem eigenen Hash-Abschnitt einen MD5/SHA1 des Datenträgers, den das Sicherungstool schreibt. Ihn neu zu berechnen und zu vergleichen belegt, dass die Sicherung seit ihrer Erstellung nicht verändert wurde, unabhängig von jeder Dokumentation der Beweismittelkette.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 45 56 46 09 0D 0A FF 00 | EVF..... | Signatur von EWF-E01 / SMART ('EVF' + Steuerbytes) |
Bekannte Dateiendungen
.e01, .s01
Referenzen
- EnCase image file format — history and format versions (Forensics Wiki) https://forensics.wiki/encase_image_file_format/
- Expert Witness Compression Format (EWF) — libewf project https://github.com/libyal/libewf/blob/main/documentation/Expert%20Witness%20Compression%20Format%20(EWF).asciidoc
- abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe
- abrignoni/qnxprobe — filesystem reader (QNX, ext, F2FS, FAT, exFAT, NTFS, HFS+, APFS) used alongside ewfprobe https://github.com/abrignoni/qnxprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „EWF Acquisition“. https://kalink0.github.io/crush-forensics/formats/de/ewf/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden