EWF2 Acquisition
| Format | EWF2 Acquisition |
|---|---|
| Kurzname | Ex01 |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
EWF2 (.Ex01): die zweite Version des Expert Witness Format, eingeführt mit EnCase 7. Wie EWF-E01 enthält es eine bitgenaue Sicherung eines Datenträgers in nummerierten Segmenten (.Ex01, .Ex02, ...), in Chunks komprimiert, zusammen mit dem MD5/SHA1, den das Sicherungstool berechnet hat. Ihn neu zu berechnen und zu vergleichen belegt, dass die Sicherung seit ihrer Erstellung nicht verändert wurde. EnCase kann eine Ex01 auch verschlüsseln (AES-256). Das Verschlüsselungsverfahren ist nicht öffentlich dokumentiert.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 45 56 46 32 0D 0A 81 00 | EVF2.... | EWF2-Signatur ('EVF2' + Steuerbytes) |
Bekannte Dateiendungen
.ex01
Referenzen
- EWF2 format specification — libewf project https://github.com/libyal/libewf/blob/main/documentation/Expert%20Witness%20Compression%20Format%202%20(EWF2).asciidoc
- abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „EWF2 Acquisition“. https://kalink0.github.io/crush-forensics/formats/de/ex01/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden