Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
Filsystemet bestemmer, hvilke tidsstempler der findes, hvor præcise de er, hvilken tidszone de står i, og hvad der sker med en fil, når den slettes. Det samme spørgsmål, fx “hvornår blev filen oprettet?” eller “kan den slettede fil gendannes?”, har derfor forskellige svar på en Windows-pc, en Mac, en Linux-server og et USB-drev. Denne artikel samler forskellene og linker til dybdeartiklerne for hvert filsystem.
Den almindelige betydning af oprettet, ændret og åbnet er forklaret i hvad fildatoerne betyder. Her er det filsystemernes tekniske egenskaber, der sammenlignes.
Overblik
- NTFS · Typisk brug: Windows-systemdiske, eksterne diske · Tidsstempler og opløsning: Oprettet, ændret, metadata ændret, tilgået. To sæt ($SI og $FN). 100 nanosekunder, UTC
- APFS · Typisk brug: macOS, iOS · Tidsstempler og opløsning: Oprettet, ændret, metadata ændret, tilgået, tilføjet. Nanosekunder, UTC
- ext4 · Typisk brug: Linux-servere, Android-partitioner · Tidsstempler og opløsning: Tilgået, ændret, metadata ændret, oprettet (hvis inode-størrelsen tillader). Nanosekunder, UTC
- exFAT · Typisk brug: USB-nøgler, SD-kort, kameraer · Tidsstempler og opløsning: Oprettet, ændret, tilgået. Lav opløsning, lokal tid med valgfri tidszoneforskydning
- ReFS · Typisk brug: Windows-servere, lagerløsninger · Tidsstempler og opløsning: Svarer i princippet til NTFS’ standardtider, men uden MFT. 100 nanosekunder
Tidsstempler
Fire eller fem tider, ikke tre
Brugeren ser typisk tre datoer i Stifinder eller Finder. Filsystemerne gemmer flere. Den vigtigste ekstra er “metadata ændret” (ctime på Linux og macOS, MFT-ændret på NTFS), der opdateres, når filens egenskaber ændres, fx ved omdøbning eller ændrede rettigheder. Den kan normalt ikke sættes af brugerprogrammer og er derfor nyttig, når andre tider er manipuleret.
APFS gemmer også et “tilføjet”-tidspunkt for, hvornår filen kom ind i en mappe. Det kan afvige fra oprettelsestiden, fx når en fil er kopieret ind med bevaret oprettelsestid.
NTFS: to sæt
NTFS har tider både i $STANDARD_INFORMATION ($SI) og i $FILE_NAME ($FN). $SI kan ændres af programmer via almindelige systemkald, mens $FN normalt kun opdateres af styresystemet ved bestemte handlinger som oprettelse, omdøbning og flytning. En uoverensstemmelse mellem de to sæt kan være tegn på tidsmanipulation, men har også mange uskyldige forklaringer. Dybden står i NTFS i dybden: MFT, $UsnJrnl og $LogFile.
exFAT: grov og lokal
exFAT gemmer tider i lokal tid med en grundopløsning på to sekunder og et tillæg i 10-millisekunders trin for oprettet og ændret. Tilgået-tiden har intet tillæg og står derfor kun med to sekunders opløsning. Specifikationen har felter til forskydning i forhold til UTC i kvarters trin, men om de er udfyldt og gyldige, afhænger af den enhed eller det styresystem, der skrev filen, og skal kontrolleres i det konkrete materiale. Et kamera med forkert indstillet ur skriver forkerte tider, og der er ingen central kilde at korrigere efter.
Senest tilgået er upålidelig
På alle filsystemerne kan opdatering af tilgået-tiden være slået fra eller begrænset af ydelseshensyn. Windows har i mange versioner udskudt eller deaktiveret opdateringen, Linux bruger typisk relatime, der kun opdaterer under bestemte betingelser, og macOS opdaterer heller ikke altid. I nyere Windows er indstillingen som standard “systemstyret”, så Windows selv afgør, om tiden opdateres; den aktuelle tilstand kan aflæses med fsutil behavior query disablelastaccess på maskinen eller i registreringsdatabasen i en kopi. Tilgået-tiden bør derfor aldrig bære en konklusion alene.
Sletning og gendannelse
- NTFS · Hvad der sker ved sletning: MFT-posten markeres som fri, klyngerne frigives. Journalerne registrerer handlingen · Typisk gendannelsesmulighed: God for metadata, så længe posten ikke er genbrugt. Små filer kan ligge inde i MFT-posten
- APFS · Hvad der sker ved sletning: Copy-on-write og pladsdeling; blokke frigives, ofte TRIM på SSD · Typisk gendannelsesmulighed: Lav for indhold på SSD. Snapshots kan rumme tidligere versioner
- ext4 · Hvad der sker ved sletning: Inodens udstrækningsoplysninger nulstilles i vid udstrækning · Typisk gendannelsesmulighed: Lav via filsystemet; journalen kan rumme ældre kopier af metadata; carving
- exFAT · Hvad der sker ved sletning: Katalogposten markeres som ikke i brug, allokeringen frigives · Typisk gendannelsesmulighed: Ofte god, særligt for sammenhængende filer, indtil pladsen genbruges
- ReFS · Hvad der sker ved sletning: Allocate-on-write for metadata; værktøjsunderstøttelsen er mere begrænset · Typisk gendannelsesmulighed: Afhænger af værktøj; mindre afprøvet end NTFS
Fælles for alle er, at SSD’er med TRIM kan gøre gendannelse af indhold umulig kort efter sletning, uanset filsystem. Se SSD, TRIM og gendannelse.
Journaler og ændringslogs
NTFS har to journaler, $LogFile og $UsnJrnl, der kan vise oprettelse, omdøbning og sletning, også efter at filen er væk. ReFS understøtter også en USN-journal, men om den er aktiv på det konkrete volumen, skal kontrolleres. ext4 har en metadatajournal, der kan rumme ældre kopier af inoder. APFS har ingen tilsvarende ændringsjournal i filsystemet, men macOS fører FSEvents, som er en kilde på styresystemniveau. exFAT har ingen journal. Hvad der kan rekonstrueres efter en sletning, afhænger derfor i høj grad af filsystemet.
Snapshots
APFS, ReFS (volumensnapshots og fra Windows Server 2022 også snapshots af enkelte filer), Btrfs og LVM på Linux samt Volume Shadow Copies på NTFS kan bevare tidligere tilstande. Snapshots er ofte den bedste kilde til en slettet fil. På Mac er de beskrevet i APFS: snapshots, kloner og betydningen for sikringen, på Linux i ext4, XFS, Btrfs og LVM.
Kryptering under og i filsystemet
Kryptering ligger forskellige steder. På Windows krypterer BitLocker hele volumen under NTFS eller ReFS, så filsystemet først kan læses, når volumen er låst op. APFS har kryptering indbygget pr. volumen, og på Mac med Apple silicon eller T2-chip er data altid krypteret i hardware. På Linux ligger kryptering typisk under filsystemet med LUKS, men ext4 kan også kryptere enkelte mapper med fscrypt. exFAT har ingen egen kryptering; et USB-drev kan være beskyttet med BitLocker To Go eller være helt ukrypteret.
Det har betydning for både sikring og gendannelse. Er volumen krypteret, kræver en fysisk kopi en lovlig adgang til nøglen, og ikke-allokeret plads (unallocated) indeholder kun krypterede data, som ikke kan carves uden nøglen. De lovlige veje er beskrevet i BitLocker og FileVault i bevissikring.
Kopiering mellem filsystemer
Når en fil flyttes mellem filsystemer, oversættes tidsstemplerne. Opløsningen kan gå tabt, fx fra NTFS’ 100 nanosekunder til exFAT’s to sekunder, og tidszonen kan blive tolket forkert, når exFAT’s lokale tid læses på en maskine i en anden tidszone. Oprettelsestiden sættes ofte til kopieringstidspunktet, mens ændret-tiden bevares. Det giver det velkendte mønster, hvor en fil tilsyneladende er ændret, før den blev oprettet. Det er ikke manipulation, men et tegn på kopiering. Se tidsstempler ved kopiering, zip, upload og mail.
Hvad det betyder for analysen
- Identificér filsystemet først. Rapporten bør angive filsystem og version for hvert medie.
- Angiv tidszone pr. kilde. NTFS, APFS og ext4 gemmer UTC; exFAT gemmer lokal tid.
- Brug flere tider sammen. En enkelt tid er sjældent nok. Sammenhold standardtider, journal, metadata i selve filen og eksterne logs.
- Beskriv opløsningen. To sekunders opløsning på et USB-drev kan ikke bære en konklusion om rækkefølgen af to handlinger inden for samme sekund.
- Undgå at slutte for meget fra sletning. At en fil ikke kan gendannes, siger mere om filsystem og lagertype end om, hvad brugeren gjorde.
Dokumentation
For hvert medie bør rapporten indeholde filsystem, version, klyngestørrelse, eventuel kryptering, om TRIM var aktiv, hvilke journaler og snapshots der fandtes, og hvilket værktøj og hvilken version der er brugt til at fortolke strukturerne. Uden de oplysninger kan en modpart ikke efterprøve, om tidsstempler og gendannelsesresultater er læst korrekt.
Kilder og versioner
- Microsoft: fsutil behavior
- Microsoft: exFAT file system specification
- Microsoft: Resilient File System (ReFS) overview
- Apple File System Reference
- Linux kernel documentation: ext4 Data Structures and Algorithms
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Sikring: metoderne samlet
Læs også: Når nøglen mangler: dokumentation af utilgængelige data · exFAT og FAT32: tidsstempler og sletning på flytbare medier
→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
