Advanced Forensics Format AFF

Définition

L'Advanced Forensics Format (AFF) est un format ouvert d'images forensiques développé par Simson Garfinkel (Stanford, puis Harvard) comme alternative open source aux formats propriétaires comme E01 (Expert Witness Format d'EnCase). AFF offre la compression intégrée, les métadonnées extensibles, et la possibilité de chiffrer les images forensiques tout en maintenant la compatibilité avec un large éventail d'outils. Le format AFF existe en plusieurs variantes. AFF1 est le format original, stockant les données dans des segments compressés (zlib ou bzip2) avec des métadonnées en paires clé-valeur. AFF4 (Advanced Forensics Format 4) est la version moderne, redessinée pour corriger les limitations d'AFF1 : support des images fragmentées (une image physique peut pointer vers des fragments stockés dans plusieurs fichiers ou même des URLs distantes), meilleure intégration avec les standards du web sémantique (RDF pour les métadonnées), et support du chiffrement AES. Les métadonnées extensibles sont un avantage majeur d'AFF sur les formats concurrents. Une image AFF peut stocker : les informations de la chaîne de traçabilité (investigateur, date, cas), les hashes d'intégrité calculés lors de l'acquisition (MD5, SHA-1, SHA-256), les informations de l'équipement source (fabricant, modèle, numéro de série, capacité), les paramètres d'acquisition (outil utilisé, write-blocker, horodatage), et des notes de l'investigateur. Toutes ces informations sont stockées dans le fichier AFF lui-même, maintenant la cohérence du package forensique. La bibliothèque AFFLIB (open source, libafflib) permet l'intégration d'AFF dans des outils tiers. The Sleuth Kit, Autopsy, Volatility, et d'autres outils forensiques open source supportent AFF via libafflib. Les outils de conversion permettent de passer d'un format à l'autre : affconvert (vers/depuis AFF), ewfconvert (vers/depuis E01). AFF4 (implémenté dans pyaff4 et libaff4) est supporté par des outils modernes comme Velociraptor pour l'acquisition de mémoire et des outils de next-generation forensics. La spécification AFF4 est gérée par une organisation indépendante (aff4.org).