LZFSE Compressed Data
| Format | LZFSE Compressed Data |
|---|---|
| Kurzname | LZFSE |
| Kategorie | Archiv |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Proprietärer, verlustfreier Kompressionsalgorithmus von Apple, eingeführt mit iOS 9 und macOS 10.11 (El Capitan). Verwendet in OTA-Softwareupdates, Firmware-Nutzdaten in IPSW-Dateien, im Dyld Shared Cache (DSC), im Kernelcache, in einigen System-Binaries und in App-Daten. Dateien müssen vor der Inhaltsanalyse dekomprimiert werden. Erkennbar an der Magic 'bvx2' (0x62767832). Apple verwendet außerdem eine einfachere Variante namens LZVN (für Eingaben unter 4096 Bytes und grundsätzlich in komprimierten Mach-O-Segmenten). Auch die transparente Dateikompression von HFS+ und APFS nutzt LZFSE/LZVN. Der Dateiinhalt liegt dann komprimiert in einem Resource Fork oder Extended Attribute, nicht im Data Stream. Wird seit macOS Big Sur außerdem im Format Apple Archive (.aar) verwendet.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 62 76 78 32 | bvx2 | LZFSE-Magic ('bvx2', komprimierter Block mit komprimierten Tabellen) |
| Offset 0 (0x0) | 62 76 78 31 | bvx1 | LZFSE-Magic ('bvx1', komprimierter Block mit unkomprimierten Tabellen) |
| Offset 0 (0x0) | 62 76 78 6E | bvxn | LZVN-komprimierter Block ('bvxn') |
| Offset 0 (0x0) | 62 76 78 2D | bvx- | Unkomprimierter Block ('bvx-') |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- LZFSE reference implementation (Apple/GitHub) https://github.com/lzfse/lzfse
- Apple developer docs — Compression framework https://developer.apple.com/documentation/compression/algorithm/lzfse
- LZFSE overview (Wikipedia) https://en.wikipedia.org/wiki/LZFSE
Diesen Eintrag zitieren
Crush-Format-Referenz, „LZFSE Compressed Data“. https://kalink0.github.io/crush-forensics/formats/de/lzfse/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden