NSKeyedArchiver
| Format | NSKeyedArchiver |
|---|---|
| Kurzname | NSKeyedArchiver |
| Kategorie | Serialisierung |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Unterstützt (PlistParser) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Apples Format zur Serialisierung von Objektgraphen, gespeichert als binäre plist (bplist00) mit einer bestimmten internen Struktur. Erkennbar an den Keys des Root-Dictionarys: '$archiver' = 'NSKeyedArchiver', '$top' (Einstiegspunkt), '$objects' (Array der Objekttabelle) und '$version'. Objekte werden über UID-Zeiger in die Tabelle $objects referenziert, zirkuläre Referenzen und komplexe Graphen werden unterstützt. In iOS und macOS sehr verbreitet für: Wiederherstellung des App-Zustands, UserDefaults (komplexe Objektwerte), CoreData-Metadaten, Nutzdaten der Zwischenablage, Siri-Intent-Donations (INInteraction), einige Biome-Streams (z. B. App Intents, eingebettet in Protobuf-Datensätze) und viele app-spezifische Datendateien. Eigene Dateiendungen sind üblich (.sfl, .db, .archive). Ein bplist-Header schließt eine NSKeyedArchiver-Kodierung nicht aus. Das Parsen erfolgt in zwei Schritten: zuerst die bplist-Struktur parsen, dann die UID-Referenzen auflösen, um den Objektgraphen zu rekonstruieren.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 24 61 72 63 68 69 76 65 72 | $archiver | Key '$archiver' innerhalb einer binären plist (bplist00), nicht am Header erkennbar |
Bekannte Dateiendungen
.plist, .sfl, .archive
Referenzen
- NSKeyedArchiver files — what are they, and how can I use them? (CCL, Alex Caithness, 2012) https://digitalinvestigation.wordpress.com/2012/04/04/geek-post-nskeyedarchiver-files-what-are-they-and-how-can-i-use-them/
- Manual analysis of NSKeyedArchiver plist files (Sarah Edwards / mac4n6) http://www.mac4n6.com/blog/2016/1/1/manual-analysis-of-nskeyedarchiver-formatted-plist-files-a-review-of-the-new-os-x-1011-recent-items
- ccl_bplist — Python parser with NSKeyedArchiver support (CCL) https://github.com/cclgroupltd/ccl-bplist
- Analyzing iOS Biome AppIntent files — NSKeyedArchiver in practice (Blue Crew Forensics, John Hyla, 2022) https://bluecrewforensics.com/2022/03/07/ios-app-intents/
Diesen Eintrag zitieren
Crush-Format-Referenz, „NSKeyedArchiver“. https://kalink0.github.io/crush-forensics/formats/de/nskeyedarchiver/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden