Cellebrite UFD
| Format | Cellebrite UFD |
|---|---|
| Kurzname | UFD |
| Kategorie | logisches Image |
| Plattformen | iOS, Android |
| Crush Unterstützung | Unterstützt (UFDVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-06 |
Forensische Relevanz
INI-Datei im Klartext, die Cellebrite-Produkte neben einer Extraktion eines Mobilgeräts schreiben, ebenso andere Tools mit demselben Layout (UfdVer=1.2 in den gesehenen Dateien). [Dumps] nennt die Dumps der Extraktion und die Datei, in der jeder liegt, meist ein ZIP: FileDump für das Dateisystem und weitere wie KeyStore oder KeyChain. Je Dump gibt ein Abschnitt dessen Type (z. B. ZIPfolder) und den ZIP-Ordner an, der ihn enthält (ZIPLogicalPath, z. B. Dump, iPhoneDump). Weitere Abschnitte halten unter anderem das Gerät fest (Modell, Betriebssystem, IMEIs), die Sicherung (Tool, Extraktionsart, Beginn und Ende als Ortszeit mit nachgestelltem UTC-Offset, Fallfelder), einen SHA-256 jeder Datei ([SHA256]) und einen HMAC ([Hash]), dessen Schlüssel vom Hersteller stammt. Eine Extraktion mit einem verschlüsselten iTunes-Backup kann dessen Passwort enthalten (BackupPassword, IsEncrypted).
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 5B | [ | INI-Text: beginnt mit einem [section]-Header, dessen Name variiert (z. B. [DeviceInfo], [Crime Case]) -- keine feste Signatur |
Bekannte Dateiendungen
.ufd
Referenzen
- prosch88/UFADE — source that writes a UFED-layout .ufd for an iOS extraction https://github.com/prosch88/UFADE/blob/50fd711d651aa3113dccb98755e5e6ccb7c3d48c/ufade.py
Diesen Eintrag zitieren
Crush-Format-Referenz, „Cellebrite UFD“. https://kalink0.github.io/crush-forensics/formats/de/ufd/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden