[发明专利]一种APFS文件系统数据恢复方法、装置及电子设备

说明书

本说明书一个或多个实施例提供一种APFS文件系统数据恢复方法、装置及电子设备，所述方法包括判断容器是否加密；若所述容器加密，对所述容器的keybag进行解密，获得所述容器内的各个分区对应的分区的keybag；判断分区是否加密；若所述分区加密，对该分区的keybag进行解密，获得key；对该加密分区内的块使用key进行解密；查找解密后的分区内的已删除文件，并恢复所述已删除文件。本发明中，首先对加密容器的keybag进行解密，获得分区的keybag，然后再对分区的keybag进行解密，获得key，然后使用key对加密分区进行解密，查找解密后的分区内的已删除文件，并恢复所述已删除文件，从而实现已删除文件的恢复与提取。

技术领域

本说明书一个或多个实施例涉及APFS文件系统数据恢复技术领域，尤其涉及一种APFS文件系统数据恢复方法、装置及电子设备。

背景技术

APFS是Apple File System的简称，是苹果公司为苹果设备创建的下一代的文件系统，用以替代旧的HFS+文件系统，其特征是“优化闪存/SSD存储，并以加密为主要功能”。该系统的核心为加密功能，可以在iOS、macOS、tvOS、watchOS全平台运行。该系统包含有多密钥加密功能，内置有针对每个文件的密钥，其针对敏感元数据也都有独立的密钥。

发明人发现，由于APFS的独特文件格式及高度的加密功能，目前缺乏一种快速恢复并提取APFS中删除文件的方法。

发明内容

有鉴于此，本说明书一个或多个实施例的目的在于提出APFS文件系统数据恢复方法、装置及电子设备，以解决现有技术中的技术问题。

基于上述目的，本说明书一个或多个实施例提供了一种APFS文件系统数据恢复方法，包括：

判断容器是否加密；

若所述容器加密，对所述容器的keybag进行解密，获得所述容器内的各个分区对应的分区的keybag；

判断分区是否加密；

若所述分区加密，对该分区的keybag进行解密，获得key；

对该加密分区内的块使用key进行解密；

查找解密后的分区内的已删除文件，并恢复所述已删除文件。

作为一种可选的实施方式，所述判断容器是否加密包括

从头开始遍历磁盘找到第一带有“NXSB”标志的超级块；

若所述超级块中keybag的起始id和大小均不为0，则所述容器加密。

作为一种可选的实施方式，所述判断分区是否加密，包括

从所述超级块中找到带有“APSB”标志的块；

若所述带有“APSB”标志的块中keybag的起始id和大小均不为0，则所述分区加密。

作为一种可选的实施方式，所述对所述容器的keybag进行解密，获得所述容器内的各个分区对应的分区的keybag，包括

根据容器的keybag的起始id和大小读取容器的keybag数据；

将容器的uuid作为key，对读取到的keybag数据，使用AES-XTS算法进行解密，获得所述容器内的各个分区对应的分区的keybag。

作为一种可选的实施方式，所述对该分区的keybag进行解密，获得key，包括

根据该分区的uuid，找到对应的分区的keybag；

根据分区的keybag的起始id和大小读取分区的keybag数据；