Crush — Format Referenz

macOS Keychain (file-based)

Forensische Relevanz

Das dateibasierte Legacy-Keychain-Format von macOS, verwendet von Dateien wie login.keychain-db und System.keychain. Die Datei beginnt mit der ASCII-Signatur 'kych' und enthält eine Datenbank im CSSM-Stil mit Tabellen für Keychain-Elemente wie generische und Internet-Passwörter, Zertifikate und kryptografische Schlüssel. Viele Attribute der Elemente, darunter Konto, Dienst-/Server-Informationen und Metadaten, werden getrennt von den geschützten geheimen Daten gespeichert. Die geheimen Daten sind verschlüsselt (3DES-CBC), mit Element-Schlüsseln, die von einem Datenbankschlüssel gewrappt sind. Dieser ist durch einen Master Key geschützt, der aus dem Keychain-Passwort abgeleitet wird (PBKDF2-HMAC-SHA1); System.keychain wird über /var/db/SystemKey entsperrt. Für die forensische Analyse kann die Datenbank Zugangsdaten, Zertifikate, private Schlüssel und anderes Authentifizierungsmaterial enthalten, während Metadaten auch dann nützlich bleiben können, wenn sich die Geheimnisse nicht entschlüsseln lassen. Dieses dateibasierte Format unterscheidet sich von der SQLite-basierten Data-Protection-Keychain (z. B. keychain-2.db), die eine andere Implementierung und ein anderes Format verwendet.

Signaturen

Bekannte Dateiendungen

.keychain, .keychain-db

Referenzen

• MacOS keychain database file format (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/MacOS%20keychain%20database%20file%20format.asciidoc
• chainbreaker — macOS keychain forensic tool (n0fate) https://github.com/n0fate/chainbreaker

Diesen Eintrag zitieren

Crush-Format-Referenz, „macOS Keychain (file-based)“. https://kalink0.github.io/crush-forensics/formats/de/kych/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden