VeraCrypt / TrueCrypt Volume
| Format | VeraCrypt / TrueCrypt Volume |
|---|---|
| Kurzname | VeraCrypt |
| Kategorie | Dateisystem |
| Plattformen | Windows, macOS, Linux |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Verschlüsselte Container und Partitionen von VeraCrypt und dessen Vorgänger TrueCrypt. Der Volume-Header ist selbst mit einem aus dem Passwort (und optionalen Schlüsseldateien/PIM) abgeleiteten Schlüssel verschlüsselt, daher hat ein Volume keine Signatur und ist nicht von Zufallsdaten zu unterscheiden; ein verstecktes Volume kann im freien Speicher eines äußeren Volumes liegen. Die ersten 64 Bytes enthalten das Salt; der Header eines versteckten Volumes liegt bei Byte 65536, und mit einem anderen Salt verschlüsselte Backup-Header liegen am Ende des Volumes. Hinweise sind eine durch 512 teilbare Größe, durchgehend hohe Entropie und das Fehlen jeder Dateisignatur.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
.hc, .tc
Referenzen
- VeraCrypt Volume Format Specification (VeraCrypt) https://veracrypt.io/en/VeraCrypt%20Volume%20Format%20Specification.html
- ForensicsWiki — TrueCrypt https://forensics.wiki/truecrypt/
Diesen Eintrag zitieren
Crush-Format-Referenz, „VeraCrypt / TrueCrypt Volume“. https://kalink0.github.io/crush-forensics/formats/de/veracrypt/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden