Apple SEGB (Biome store)
| Format | Apple SEGB (Biome store) |
|---|---|
| Kurzname | SEGB |
| Kategorie | Log |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Unterstützt (SegbParser) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Segmented Binary von Apple: der Speichercontainer auf dem Datenträger für Biome-Daten unter iOS und macOS, der ab iOS 16 große Teile von KnowledgeC abgelöst hat. Zwei Versionen: SEGB v1 (iOS 14-16, 56-Byte-Header, der mit 'SEGB' in ASCII endet, 32-Byte-Datensatz-Header mit zwei Zeitstempeln in Mac Absolute Time) und SEGB v2 (iOS 17+, 32-Byte-Header, Einträge + Trailer-Abschnitt). Die Nutzdaten jedes Datensatzes sind Protobuf, für die vollständige Dekodierung ist Kenntnis des Schemas nötig. Aktuelle Geräte haben 300+ Ordner für Biome-Streams, Dutzende davon forensisch relevant, darunter: App-Fokus/-Nutzung (ersetzt KnowledgeC), App-Installationen, Safari-Verlauf, Siri/AppIntent-Interaktionen (können gelöschte iMessages und Snapchat-Aktivität enthalten), CarPlay-Verbindungen, Mitteilungen, Standortereignisse und Bildschirmaktivität. Abgelegt unter /private/var/mobile/Library/Biome/streams/ und /private/var/db/biome/streams/. Jeder Stream hat die Unterverzeichnisse 'local/' (Gerät) und 'remote/' (per iCloud von anderen Geräten synchronisiert). Der Ordner Tombstone/ enthält abgelaufene/gelöschte Datensätze, teilweise wiederherstellbar. Dateinamen sind Floats in Mac Absolute Time (Dezimalpunkt 6 Stellen vor dem Ende einfügen). Die Daten überdauern das Löschen der App und können länger erhalten bleiben als primäre Datenbanken.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 53 45 47 42 | SEGB | SEGB-v2-Signatur an Offset 0 (32-Byte-Header) |
| Offset 52 (0x34) | 53 45 47 42 | SEGB | SEGB-v1-Signatur an Offset 52 (im 56-Byte-Header) |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- ccl_segb — CCL parser for SEGB v1 and v2 https://github.com/cclgroupltd/ccl-segb
- iOS 16 Biome breakdown Part 1 — SEGB format (D20 Forensics, 2022) https://blog.d204n6.com/2022/09/ios-16-now-you-c-it-now-you-dont.html
- Understanding and decoding the newest iOS SEGB format (Cellebrite, 2023) https://cellebrite.com/en/blog/understanding-and-decoding-the-newest-ios-segb-format/
- Analyzing iOS Biome AppIntent files (Blue Crew Forensics, John Hyla, 2022) https://bluecrewforensics.com/2022/03/07/ios-app-intents/
- Bringing it back with Biome data (Magnet Forensics, 2023) https://www.magnetforensics.com/blog/bringing-it-back-with-biome-data/
- 84 Streams Later: Exploring the Evolution of Apple Biome in iOS (Mattia Epifani, 2026) https://blog.digital-forensics.it/2026/07/84-streams-later-exploring-evolution-of.html
- Beyond the C — SEGB and Biome Forensics with crush (beBinary) https://bebinary4n6.blogspot.com/2026/05/beyond-c-segb-and-biome-forensics-with.html
Diesen Eintrag zitieren
Crush-Format-Referenz, „Apple SEGB (Biome store)“. https://kalink0.github.io/crush-forensics/formats/de/segb/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden