Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
FAT32 og exFAT gemmer filernes tidspunkter i lokal tid, med to sekunders grundopløsning for ændringstidspunktet og kun en dato for seneste adgang. FAT32 har ingen oplysning om tidszone. exFAT har et felt til forskydning i forhold til UTC, men det er ikke sikkert, at det er udfyldt korrekt. Det gør tidsstemplerne på USB-nøgler, SD-kort og eksterne diske sværere at bruge i en tidslinje end tidsstemplerne på en NTFS-disk, og det er en hyppig kilde til fejl, når en USB-tidslinje skal sammenholdes med Windows’ egne spor.
En oversigt over, hvordan de forskellige filsystemer gemmer tid, findes i filsystemer sammenlignet. Her går vi i dybden med de to FAT-varianter, som næsten alle flytbare medier bruger.
FAT32: tre tider med forskellig præcision
En FAT32-mappepost har tre tidsfelter:
- Oprettet · 10 millisekunder (via et ekstra felt med hundrededele)
- Ændret (skrevet) · 2 sekunder
- Seneste adgang · Kun dato
Microsoft beskriver det samme i dokumentationen for filtider i Windows: oprettelsestiden på FAT har en opløsning på 10 millisekunder, skrivetiden 2 sekunder, og adgangstiden er reelt kun en dato. Årstallet tælles fra 1980.
Konsekvensen er, at et ændringstidspunkt på FAT32 altid står med et lige antal sekunder. Når en fil kopieres fra NTFS til FAT32, bliver ændringstidspunktet derfor afrundet, og det kan afvige op til to sekunder fra kildefilen. Det er ikke tegn på manipulation, men det skal man vide, når tidspunkter sammenlignes præcist.
exFAT: finere, men stadig lokal
exFAT er standard på SD-kort over 32 GB og bruges på mange USB-nøgler og eksterne diske. Ifølge Microsofts exFAT-specifikation har hver filpost:
- Oprettet og ændret med to sekunders grundopløsning plus et tillæg i trin af 10 millisekunder, så den reelle opløsning er 10 millisekunder.
- Seneste adgang med to sekunders opløsning og intet tillæg.
- For hvert af de tre tidspunkter et felt med forskydning fra UTC i trin af 15 minutter og en bit, der angiver, om forskydningen er gyldig.
Forskydningsfeltet er den store forbedring i forhold til FAT32, men det er kun nyttigt, når det er udfyldt. Om det sker, afhænger af det styresystem eller den enhed, der skrev filen. Et kamera, en bilradio eller et ældre system kan skrive lokal tid uden gyldig forskydning. Kontrollér gyldighedsbitten for de konkrete filer, før tidspunkterne omregnes.
Hvorfor lokal tid giver fejl
NTFS gemmer tid i UTC. FAT gemmer tid i den lokale tid på den maskine eller enhed, der skrev filen. Det har tre praktiske følger:
- Tidszonen er ukendt. En fil skrevet på en computer indstillet til en anden tidszone har tider, der ser rigtige ud, men er forskudt.
- Sommertid er indbygget. En fil skrevet i juli har dansk sommertid, en fil skrevet i januar har normaltid. Omregning til UTC kræver, at man kender reglerne for hver dato.
- Visningen kan snyde. Microsoft beskriver, at Windows omregner FAT-tider ved hjælp af de aktuelle indstillinger for tidszone og sommertid. En fil kan derfor blive vist med en times forskel, alt efter om den ses om sommeren eller vinteren.
Kameraer, droner, dashcams og optagere skriver filtider ud fra deres eget ur, som ofte aldrig er stillet efter nogen tidskilde. Uret kan være stillet til fabrikkens tidszone, være gået i stå efter et batteriskift eller blot gå forkert. For sådanne medier bør urets afvigelse måles, fx ved at tage et billede af et kendt ur med enheden og sammenligne. Brug derfor et forensisk værktøj, der viser de rå værdier, og angiv i rapporten, at FAT-tiderne er lokal tid, og hvilken tidszone der er lagt til grund. Om tidszoner og sommertid i rapporten generelt, se UTC og sommertid i rapporten.
Kopiering ændrer tiderne
Når en fil kopieres til et FAT-medie i Windows, beholder den typisk sit ændringstidspunkt, mens oprettelsestidspunktet bliver tidspunktet for kopieringen. Det gør oprettelsestiden på mediet nyttig: den kan vise, hvornår filen kom over på USB-nøglen. Ændringstidspunktet siger derimod noget om, hvornår indholdet sidst blev ændret, uanset hvor. Mønstret, hvor ændret ligger før oprettet, er derfor normalt for kopierede filer. Andre programmer og styresystemer opfører sig anderledes, og arkivprogrammer kan sætte tiderne ud fra arkivets egne værdier. Se tidsstempler ved kopiering og zip.
Sammenhold med Windows’ USB-spor
På den computer, mediet var tilsluttet, registrerer Windows tilslutningen med tider i UTC: første og seneste tilslutning, serienummer og drevbogstav. Genvejsfiler og jump lists kan desuden indeholde mediets volumenserienummer og den sti, en fil blev åbnet fra. Når mediets egne filtider sammenholdes med disse spor, skal FAT-tiderne først omregnes fra lokal tid til UTC. Ellers kan en fil se ud til at være kopieret en time før eller efter, at mediet overhovedet var tilsluttet. Windows-siden er beskrevet i USB-tidslinjen i Windows.
Sletning på FAT32
Når en fil slettes på FAT32, ændres første byte i mappeposten til en sletmarkering, og filens kæde i allokeringstabellen frigives. Mappeposten med resten af filnavnet, størrelse, tider og første klynge står tilbage, indtil den genbruges. Lange filnavne ligger i separate poster foran, som også markeres som slettede, men ofte kan læses. Det giver mulighed for at finde slettede filer med navn og tider, og for at gendanne filer, der lå sammenhængende. Fragmenterede filer kræver file carving eller antagelser om rækkefølgen.
Sletning på exFAT
På exFAT markeres en slettet fil ved, at en bit i posttypen nulstilles, så filposten går fra at være i brug til at være ubrugt. Specifikationen siger, at øvrige felter derefter er udefinerede, men i praksis står de ofte uændrede, indtil posten genbruges. exFAT markerer desuden filer, der ligger sammenhængende, så de ikke bruger allokeringstabellen. For dem kan placering og længde læses direkte af den slettede post, og filen kan ofte gendannes helt, så længe klyngerne ikke er overskrevet. Flashmediets controller og TRIM kan dog have tømt blokkene, som beskrevet i gendannelse fra USB-nøgler og SD-kort.
Formatering og volumenoplysninger
Ved formatering skrives et nyt volumenserienummer og en ny volumenetiket. Serienummeret kan genfindes i Windows’ genvejsfiler og i registreringsdatabasen, så det er muligt at vise, at et bestemt medie var det samme, som blev brugt på en bestemt computer, eller at mediet er formateret siden. En hurtig formatering lader dataområdet stå, så tidligere filer ofte kan findes med carving.
Dokumentation
Notér filsystemtypen, volumenserienummer, klyngestørrelse og om exFAT-filernes UTC-forskydning var gyldig. Angiv for hvert tidspunkt i rapporten, om det er lokal tid fra mediet eller UTC fra en anden kilde, og hvilken omregning der er brugt. Angiv opløsningen, så læseren ikke tillægger et ændringstidspunkt større præcision, end filsystemet kan bære.
Kilder og versioner
Senest gennemgået: oktober 2026.
Næste skridt
- SSD, TRIM og gendannelse af slettede filer
- BitLocker og FileVault i bevissikring: nøgler og lovlig adgang
Del af: Sikring: metoderne samlet
Læs også: Filsystemer sammenlignet: NTFS, APFS, ext4, exFAT og ReFS · Oprydningsprogrammer og sletteværktøjer: spor efter brug
→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
