SQLCipher Encrypted Database
| Format | SQLCipher Encrypted Database |
|---|---|
| Kurzname | SQLCipher |
| Kategorie | Datenbank |
| Plattformen | Windows, macOS, Linux, iOS, Android |
| Crush Unterstützung | Unterstützt (SQLiteParser) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Eine SQLite-Datenbank, deren Pages alle mit AES-256 verschlüsselt sind, verwendet von Messengern und anderen Apps (Signal, WeChat, viele Android-Apps). Die ersten 16 Bytes enthalten anstelle des SQLite-Headers das zufällige Salt für die Schlüsselableitung, daher wirkt die Datei zufällig und hat keine Signatur. Jede Page trägt einen IV und einen HMAC. Mit dem richtigen Schlüssel und den richtigen Einstellungen (Standardwerte von SQLCipher 4: AES-256-CBC, HMAC-SHA512, PBKDF2-HMAC-SHA512 mit 256,000 Iterationen) lässt sie sich zu einer normalen SQLite-Datenbank entschlüsseln. Apps können stattdessen einen Klartext-Header behalten (cipher_plaintext_header_size, vor allem für WAL-Datenbanken in Shared Containers unter iOS): Die Datei beginnt dann mit 'SQLite format 3', lässt sich aber nicht als normales SQLite öffnen, und das Salt wird außerhalb der Datei gespeichert.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
.db, .sqlite
Referenzen
- SQLCipher design — security approach and features (Zetetic) https://www.zetetic.net/sqlcipher/design/
- SQLCipher source (Zetetic) https://github.com/sqlcipher/sqlcipher
- SQLCipher 4, plaintext header and key salt (Zetetic discussion forum) https://discuss.zetetic.net/t/sqlcipher-4-plaintext-header-and-key-salt-problem/3282
Diesen Eintrag zitieren
Crush-Format-Referenz, „SQLCipher Encrypted Database“. https://kalink0.github.io/crush-forensics/formats/de/sqlcipher/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden