Quelltext der Seite Fork (Dateisystem)

{{lückenhaft}}

'''Forks''' sind eine [[Datenstruktur]] zur Aufnahme zusätzlicher strukturierter Daten innerhalb einer Datei neben den Hauptdaten – ein Konzept, um zu einer Datei mehrere Datenströme zu speichern.

Obwohl auch jenseits verwendet und ursprünglich aus anderer Umgebung kommend, ist das Konzept heute besonders aus dem Bereich des [[Apple Macintosh]] mit den sogenannten ''Resource forks'' bekannt.

Im HPFS-Dateisystem von [[OS/2]] heißen diese Daten ''erweiterte Attribute'' (EA), im NTFS-Dateisystem von Windows heißen diese ''Alternate Data Streams'' (alternative Datenströme).

== Apple Macintosh ==
Beim [[Apple]] [[Macintosh]] können Dateien neben dem sogenannten ''{{lang|en|data fork}}'' mit den Hauptdaten einen sogenannten '''{{lang|en|resource fork}}''' enthalten. Diese Datenstruktur wird in Apples Dateisystemen ([[Macintosh File System|MFS]], [[HFS (Dateisystem)|HFS]], [[HFS Plus|HFS+]]) eingesetzt, um [[Metadaten]] von beliebigem Umfang aufnehmen zu können, und hält zum Beispiel in älteren Programmdateien Ressourcen wie Icons, Menüinhalte oder auch Programmcode vor oder die Nutzdaten einer [[Schriftart]]endatei. Solche Programme ließen sich daher durch Editieren der {{lang|en|Resource Fork}} mittels eines ''Resource Editors'' [[Lokalisierung (Softwareentwicklung)|lokalisieren]], d.&nbsp;h. z.&nbsp;B. in eine andere Sprache übersetzen.

Gebräuchliche Editor-Software für den Zugriff auf die Inhalte von {{lang|en|Resource Forks}} und deren Bearbeitung waren:
* [[ResEdit]]: eine kostenlose Software von Apple mit graphischer Darstellung der Datenstruktur und ihrer Inhalte (veraltet),
* [[Resorcerer]]: eine beliebte, wenngleich teure, kommerzielle Anwendung, die mehr Datentypen kennt als ResEdit,
* [[ResKnife]]: eine [[freie Software]] für Mac&nbsp;OS&nbsp;X
* Rezycle: ein Mac-OS-X-Werkzeug, das {{lang|en|Resource-Fork}}-Inhalte in separate Dateien extrahieren und teils dabei in brauchbarere, modernere Formate wandeln kann.

Seit der Einführung von Mac&nbsp;OS&nbsp;X im Jahr 2000 werden die ''{{lang|en|resource forks}}'' nicht mehr für Programme verwendet, stattdessen befinden sich alle zum Programm benötigten Daten in einzelnen Dateien eines Pakets ({{enS|package}}), welcher tatsächlich ein Unterverzeichnis ist, dem Anwender aber als Programm angezeigt wird.

== Solaris ==
Wenn ein [[ZFS (Dateisystem)|ZFS]]-basiertes Dateisystem unter [[Solaris (Betriebssystem)|Solaris]] mit dem Kernel-basierten SMB-Dienst exportiert wird, dann werden ''Alternate Data Streams'' auf Dateien gleichen Namens in der zugeordneten ''Extended Attribute Directory'' der jeweiligen Basis-Dateien abgebildet.

== Windows ==

Das Windows-[[Dateisystem]] ''[[NTFS]]'' ermöglicht sogenannte ''Alternate Data Streams'' (''ADS''). Mit dieser Funktion können Daten vom Benutzer unsichtbar fest an eine [[Datei]] gebunden gespeichert werden. Dieses Merkmal ist weniger bekannt und die Datenströme sind problematischer aufzufinden als die Resource Forks des Apple Macintosh.
Alternate Data Streams sind eine vereinfachte Implementierung des unter [[Solaris (Betriebssystem)|Solaris]] und [[Network File System|NFSv4]] verfügbaren ''Extended-Attribute-Namensraums'', der auf den Dateisystemen ''[[Unix File System|UFS]]'' und ''[[ZFS (Dateisystem)|ZFS]]'' implementiert ist.

=== Verwendung ===
[[Microsoft Windows 2000]] und [[Microsoft Windows XP|Windows XP]] verwenden ADS-Unterdatenströme zur Speicherung der in der Eigenschaftsseite jeder Datei verfügbaren Metadaten und je nach Anwendung noch deutlich mehr. Unter Windows XP (ab Service Pack 2) wird außerdem ein sogenannter ''Zone Identifier'' gespeichert, der es ermöglicht, auch nachträglich Dateien zu erkennen, die aus dem Internet heruntergeladen wurden. Beim Herunterladen fügt der [[Internet Explorer]] und ab Version 3 auch der [[Mozilla Firefox]] die entsprechenden Informationen hinzu.

=== Konzept ===
Zu jeder Datei können beliebig viele Unter-Streams gespeichert werden. In der Praxis heißt das, dass man jeder Datei beliebig viele andere Dateien zuweisen kann, die nicht sichtbar sind, aber – solange der Vorgang innerhalb von [[NTFS]]-Laufwerken stattfindet – zusammen mit der Datei verschoben und kopiert werden. Der Zugriff auf die versteckten Dateifragmente findet mit einem Doppelpunkt statt: ''beispiel.txt:meinedatei.txt'' kennzeichnet einen zu der Datei ''beispiel.txt'' gehörigen Datenstrom namens ''meinedatei.txt''. Neben Dateien können auch Ordner zusätzliche Datenströme enthalten, was das Auffinden von ungewollten ADS erschwert.

=== Sicherheit ===

* Da die ADS-Ströme für den Benutzer unsichtbar sind und noch nicht alle [[Antivirenprogramm]]e die ADS durchsuchen können, können Viren diese Funktion ausnutzen.
* Daten in ADS sind genau wie normale Dateien ausführbar. Im Autostart können solche ausführbaren Daten mit einem ''start''-Kommando ausgeführt werden.
* Beim Berechnen von Ordnergrößen, z.&nbsp;B. in den Eigenschaften eines Ordners im Windows Explorer, geht der durch ADS-Ströme belegte Platz nicht mit in die Berechnung ein. Es können so große Datenmengen „versteckt“ werden, die nur schwer zu finden sind.

Beim Übergang zum [[Betriebssystem]] [[Microsoft Windows Vista|Windows Vista]] hat [[Microsoft]] aus Sicherheitsgründen die Verwendung von ADS-Strömen stark eingeschränkt.

=== Beispiel ===
==== Erzeugung eines ADS ====
Im [[Kommandozeileninterpreter]] erzeugt folgende [[Kommandozeile]] eine [[Datei]] ''myfile.txt'' mit einem ADS mit dem Namen ''myads.txt'' und dem Inhalt "Wikipedia":
 echo "Wikipedia" > myfile.txt:myads.txt

Auch ausführbare Dateien (hier der Windows-Taschenrechner) lassen sich in ein ADS schreiben (hier in den ADS des [[Dateiverzeichnis]]ses ''Windows''):
 type C:\Windows\system32\calc.exe > C:\Windows:bad.exe

==== Anzeige eines ADS ====
Der Inhalt kann folgendermaßen angezeigt werden:<ref>{{Internetquelle |autor= |url=https://docs.microsoft.com/en-us/windows/win32/fileio/using-streams |titel=Using Streams |werk=Windows Dev Center, win32 |hrsg=Microsoft |datum= |abruf=2020-02-19 |sprache=en-us}}</ref>
 more < myfile.txt:myads.txt

==== Auflisten eines ADS ====
In der [[cmd.exe|Eingabeaufforderung cmd.exe]] können ab Windows Vista die Namen von alternativen Datenströmen mit folgender Eingabe angezeigt werden:
 dir /r
In der [[PowerShell|Windows PowerShell]] hingegen können die Namen von alternativen Datenströmen mit folgender Eingabe angezeigt werden:<ref>{{Internetquelle |autor=262588213843476 |url=https://gist.github.com/chriselgee/bf41951d0b51d0ef9d2504a36921cd13 |titel=Finding and reading alternate data streams (ADS) with PowerShell on an NTFS partition |sprache=en |abruf=2024-12-09}}</ref><ref>{{Internetquelle |url=https://blog.ironmansoftware.com/daily-powershell/powershell-alternate-data-streams/ |titel=Read Alternate Data Streams on Windows with PowerShell |abruf=2024-12-09}}</ref>
 Get-Item .\* -Stream *

==== Ausführen eines ADS ====
Um die Datei zu starten, genügt die folgende Eingabe:
 start C:\Windows:bad.exe

==== Entfernen eines ADS ====
Das Entfernen eines ADS ist umständlich, weil der delete-Befehl (del) für ADS nicht funktioniert. Daher können auf einfache Weise auch nicht einzelne, sondern nur alle ADS, die zu einer Datei gehören, entfernt werden:
 type myfile.txt > myfile.bak
 del myfile.txt
 ren myfile.bak myfile.txt

Eine Datei mit ADS kann zu einem anderen Dateisystem, das ADS nicht unterstützt (zum Beispiel [[FAT32]]), kopiert und zurückkopiert werden. Dabei gehen allerdings jegliche ADS verloren.

Einfacher geht es mit dem streams-Kommando aus der [[Windows Sysinternals]] Suite:

 streams -d -s *.*

entfernt rekursiv im Dateisystem alle ADS-Streams. Die Option -d steht für Delete, die Option -s für rekursiv. Ohne -d werden die Streams nur aufgelistet.

== Siehe auch ==
* [[Dateiattribut]]

== Weblinks ==
'''NTFS-ADS'''
* [https://www.heise.de/security/artikel/Gefahr-aus-der-Schattenwelt-270584.html Gefahr aus der Schattenwelt: Alternate Data Streams als Versteck für Schädlinge] auf den Seiten von [[heise Security]]
* [https://www.heise.de/security/artikel/Schwachstellen-der-neuen-SP2-Sicherheitsfunktionen-270546.html Schwachstellen der neuen SP2-Sicherheitsfunktionen] – Artikel zum Zone Identifier auf [[heise Security]]
* {{Webarchiv |url=http://www.infosecwriters.com/texts.php?op=display&id=53 |wayback=20141120120529 |text=The Dark Side of NTFS (Microsoft's Scarlet Letter)}}
* [http://technet.microsoft.com/en-us/sysinternals/bb897440.aspx Streams, ein offizielles Microsoft-Tool zum Anzeigen und Entfernen von ADS] auf der [[Kommandozeile]]

'''Mac resource forks'''
* [http://www.ambrosiasw.com/forums/?showtopic=20693 Informationen zu Details des Formates]

== Einzelnachweise ==
<references />

[[Kategorie:Dateiverwaltung]]