msgstore.db.crypt14 — формат базы WhatsApp¶

msgstore.db.crypt14 — зашифрованный файл резервной копии переписки мессенджера WhatsApp (продукт Meta, признанной экстремистской и запрещённой в РФ), используемый в версиях приложения начиная с 2015 года. Файл содержит локальную базу данных сообщений (в формате SQLite) и метаданные диалогов, защищённые криптографическим алгоритмом AES-256-CBC с ключом, производным от номера телефона и криптографического ключа устройства. Расширение .crypt14 указывает на поколение шифрования, пришедшее на смену форматам crypt5, crypt7, crypt8 и crypt12.

¶Структура файла

Файл msgstore.db.crypt14 имеет бинарную структуру, включающую:

• заголовок с номером версии шифрования (14) и служебными флагами;
• зашифрованный ключ сессии, в свою очередь зашифрованный ключом, выведенным из номера телефона и стабильного идентификатора устройства;
• зашифрованное содержимое — распакованный и зашифрованный архив с базой msgstore.db внутри;
• контрольную сумму (HMAC), обеспечивающую целостность данных.

Для расшифровки требуется не только сам файл, но и дополнительные данные: номер телефона, привязанный к аккаунту, а также файлы key (или wa.db с криптографическими материалами), хранящиеся в защищённом каталоге приложения /data/data/com.whatsapp/. Без этих данных расшифровка практически невозможна, что является основной защитой от несанкционированного доступа к переписке.

¶История формата

WhatsApp использовал несколько поколений шифрования резервных копий:

Формат crypt14 был внедрён в обновлениях WhatsApp в 2019 году. Основное отличие от crypt12 — изменённая структура заголовка и иной способ хранения зашифрованного ключа сессии, что сделало устаревшие инструменты расшифровки непригодными без обновления.

¶Где хранится

На устройствах под управлением Android файлы резервных копий располагаются в каталоге:

/storage/emulated/0/WhatsApp/Databases/

Типичные имена файлов:

• msgstore.db.crypt14 — актуальная резервная копия;
• msgstore.db.crypt14.backup1, .backup2 — предыдущие версии;
• msgstore-2023-01-15.1.db.crypt14 — датированные копии.

При резервном копировании в облачное хранилище Google Drive файл также передаётся в формате crypt14, однако ключ шифрования не загружается в облако — он хранится только локально.

¶Расшифровка

Расшифровка msgstore.db.crypt14 выполняется сторонними инструментам, например WhatsApp-Key-DB-Extractor (для извлечения ключа из устройства) и crypt14-decrypt или wa-crypt-tools (для непосредственной расшифровки). Процесс требует root-доступа к устройству для извлечения файла key из защищённого каталога приложения, либо доступа к резервной копии ADB.

После расшифровки получается файл msgstore.db — стандартная база SQLite, содержащая таблицы messages, chat_list, jid, media и другие. Данные могут быть изучены с помощью любого SQLite-браузера или специализированных инструментов цифровой криминалистики.

¶Применение

Основные сценарии работы с форматом:

1. Восстановление переписки — при замене устройства или потере доступа к аккаунту.
2. Цифровая криминалистика — извлечение сообщений в ходе расследований (при наличии законных оснований и доступа к устройству).
3. Перенос данных — между устройствами без использования облачного резервного копирования.

¶Ограничения

Файл msgstore.db.crypt14 не является самостоятельным — без соответствующего ключа расшифровка невозможна. Ключ привязан к конкретному номеру телефона и устройству, поэтому перенос файла на другое устройство без ключа не позволяет получить доступ к содержимому. Кроме того, формат не поддерживает межплатформенное восстановление: копии iOS (в формате .sqlite.crypt14 или через iCloud) несовместимы с Android-версией.

Источники:

• Документация WhatsApp Help Center (официальный сайт)
• Исследования форматов шифрования WhatsApp, опубликованные в блогах цифровой криминалистики (ElcomSoft, Oxygen Forensics)
• Открытый исходный код инструментов wa-crypt-tools (GitHub)