Protocol Buffers (protobuf)
| Format | Protocol Buffers (protobuf) |
|---|---|
| Kurzname | protobuf |
| Kategorie | Serialisierung |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (ProtobufParser) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Binäres Serialisierungsformat von Google, verwendet von Android-Systemdiensten, Chrome/Edge/Brave (z. B. BLOBs in der Datenbank Network Action Predictor), Google-Apps (Gmail, Maps, Drive, Photos), Jetpack DataStore (Ersatz für Android-SharedPreferences) und gRPC-Netzwerkprotokollen. Auf Apple-Plattformen erscheinen Protobuf-Nutzdaten als Datensatzinhalte in SEGB-Dateien (.segb, .biome), die von Systemdiensten unter iOS und macOS geschrieben werden (Bildschirmzeit, Health, Siri, Homekit und andere). Keine Magic Bytes, die Identifizierung beruht auf der Dateiendung (.pb, .binarypb), dem Kontext einer BLOB-Spalte in einer Datenbank (häufig in SQLite-Datenbanken von Chrome) oder heuristischer Erkennung von Tag/Length-Mustern des Wire-Formats. Nicht selbstbeschreibend: Ohne die .proto-Schemadatei sind Felder nur als Feldnummern und wire types (varint, length-delimited, fixed32, fixed64) sichtbar, die Bedeutung erfordert eine Rekonstruktion des Schemas. Für Open-Source-Apps (Chrome, Chromium) lassen sich Schemas oft im Quellcode des Projekts finden. Verschachtelte Messages, repeated-Felder und oneof-Unions sind häufige Strukturen.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
.pb, .binarypb
Referenzen
- Protocol Buffers encoding specification (Google) https://protobuf.dev/programming-guides/encoding/
- Protocol Buffers overview (Wikipedia) https://en.wikipedia.org/wiki/Protocol_Buffers
- In the protobuf: web browser artifacts using Google's data interchange format (IBM X-Force, Chris Tappin, 2025) https://www.ibm.com/think/x-force/web-browser-artifacts-using-googles-data-interchange-format
- Mobile Forensics – The File Format Handbook: Protocol Buffers (Springer, 2022) https://doi.org/10.1007/978-3-030-98467-0_9
- Reading Protobuf wire format without a map — forensic deep dive (beBinary) https://bebinary4n6.blogspot.com/2026/06/reading-wire-protobuf-without-map.html
Diesen Eintrag zitieren
Crush-Format-Referenz, „Protocol Buffers (protobuf)“. https://kalink0.github.io/crush-forensics/formats/de/protobuf/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden