release: 1.2.0

Versões, changelog e roadmap: discos virtuais (QCOW2, VMDK, VHD, VHDX, DMG), trilha de auditoria encadeada por hash, relatório em PDF e mapa de espaço livre do APFS. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
2026-10-22 16:10:23 -03:00
1 parent 58940965bb
commit cde0dd45f8
@@ -4,6 +4,24 @@

 Format based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/); versions follow SemVer.

+## [1.2.0] - 2026-10-22
+
+### Added
+- **Virtual disk containers (read-only):** QCOW2 (v2 and v3, compressed clusters with deflate or zstd), VMDK (sparse, `streamOptimized`, and text descriptors with flat and zero extents), VHD and VHDX (fixed, dynamic and differencing, following the parent chain) and DMG (UDIF with zero, raw, ADC, zlib and bzip2 chunks). They open through the same path as E01 and AFF4, so partitions, file systems and encrypted volumes work inside them. Images that would read wrong are refused with the reason: QCOW2 with a backing file or encryption, VMDK with a parent or in SEsparse, password-protected DMG, DMG with LZFSE chunks. The VHDX log is not replayed.
+- **Audit trail** (`auditoria.jsonl`, `guara audit`): every action on evidence (`inspect`, `scan`, `recover`, `image`, `hash`, `search`, `verify`, exports and sessions) is recorded with UTC time, system user, host, version and details, chained by SHA-256. `guara audit --verify` reports the entry where the chain breaks. Set `GUARA_EXAMINER` to record the examiner; passwords and keys are never written.
+- **PDF report:** `guara report out.pdf` (and the interface's report button, by file extension) writes an A4 PDF with the same sections as the HTML, using a built-in writer with the standard fonts and no new dependency. Both formats now show the audit trail status and the hash of its last entry.
+- **APFS free-space map:** the container's space manager (spaceman), chunk-info blocks and bitmaps are read, so deep scans of an APFS volume cover only unallocated blocks. Containers that use chunk-info address blocks fall back to the whole volume, with a warning.
+- `scripts/fetch-testdata.sh` also downloads the dfvfs virtual disk images used by the container tests.
+
+### Changed
+- The APFS partition warning no longer says metadata is unsupported; it says the free-space map is read and that encrypted (FileVault) volumes need the key.
+- The interface's report dialog explains that the file extension chooses PDF or HTML.
+
+### Notes
+- Containers were checked by hash against an independent reader (7-Zip) on real images from dfvfs and VirtualBox, including differencing VHD and VHDX; the small fixtures in `tests/fixtures/vdisk` run in CI.
+- APFS deletion is still tested only in simulation, so APFS stays 🟡 in the roadmap.
+- CLI output remains in Portuguese.
+
 ## [1.1.0] - 2026-10-20

 ### Added
@@ -4,6 +4,24 @@

 Formato baseado em [Keep a Changelog](https://keepachangelog.com/pt-BR/1.1.0/); versões seguem SemVer.

+## [1.2.0] - 2026-10-22
+
+### Adicionado
+- **Contêineres de disco virtual (somente leitura):** QCOW2 (v2 e v3, clusters comprimidos com deflate ou zstd), VMDK (esparso, `streamOptimized` e descritores de texto com extensões flat e zero), VHD e VHDX (fixo, dinâmico e diferencial, seguindo a cadeia de pais) e DMG (UDIF com chunks zerados, brutos, ADC, zlib e bzip2). Abrem pelo mesmo caminho do E01 e do AFF4, então partições, sistemas de arquivos e volumes cifrados funcionam dentro deles. Imagens que seriam lidas errado são recusadas com o motivo: QCOW2 com arquivo de apoio ou cifrado, VMDK com pai ou em SEsparse, DMG protegido por senha, DMG com chunks LZFSE. O log do VHDX não é reproduzido.
+- **Trilha de auditoria** (`auditoria.jsonl`, `guara audit`): toda ação sobre a evidência (`inspect`, `scan`, `recover`, `image`, `hash`, `search`, `verify`, exportações e sessões) é registrada com hora UTC, usuário do sistema, máquina, versão e detalhes, encadeada por SHA-256. `guara audit --verify` aponta a entrada onde a cadeia quebra. Defina `GUARA_EXAMINER` para registrar o perito; senhas e chaves nunca são gravadas.
+- **Relatório em PDF:** `guara report saida.pdf` (e o botão de relatório da interface, pela extensão do arquivo) gera um PDF A4 com as mesmas seções do HTML, com gerador próprio, fontes padrão e nenhuma dependência nova. Os dois formatos passam a mostrar a situação da trilha de auditoria e o hash da última entrada.
+- **Mapa de espaço livre do APFS:** o gerenciador de espaço do contêiner (spaceman), os chunk-info blocks e os bitmaps são lidos, e a varredura profunda de um volume APFS cobre só os blocos não alocados. Contêineres que usam blocos de endereço de chunk-info voltam a varrer o volume todo, com aviso.
+- `scripts/fetch-testdata.sh` também baixa as imagens de disco virtual do dfvfs usadas nos testes dos contêineres.
+
+### Alterado
+- O aviso da partição APFS deixa de dizer que não há suporte a metadados; informa que o mapa de espaço livre é lido e que volumes cifrados (FileVault) precisam da chave.
+- O diálogo de relatório da interface explica que a extensão do arquivo escolhe PDF ou HTML.
+
+### Notas
+- Os contêineres foram conferidos por hash contra um leitor independente (7-Zip) em imagens reais do dfvfs e do VirtualBox, inclusive VHD e VHDX diferenciais; os fixtures pequenos de `tests/fixtures/vdisk` rodam no CI.
+- A exclusão no APFS continua testada só em simulação, por isso o APFS segue 🟡 no roadmap.
+- A saída da CLI continua em português.
+
 ## [1.1.0] - 2026-10-20

 ### Adicionado
@@ -405,7 +405,7 @@ dependencies = [

 [[package]]
 name = "guara-cli"
-version = "1.1.0"
+version = "1.2.0"
 dependencies = [
 "clap",
 "ctrlc",
@@ -418,7 +418,7 @@ dependencies = [

 [[package]]
 name = "guara-core"
-version = "1.1.0"
+version = "1.2.0"
 dependencies = [
 "aes",
 "argon2",
@@ -3,7 +3,7 @@ resolver = "2"
 members = ["crates/guara-core", "crates/guara-cli"]

 [workspace.package]
-version = "1.1.0"
+version = "1.2.0"
 edition = "2021"
 license = "MIT OR Apache-2.0"
 repository = "https://github.com/lucasrguerra/guara"
@@ -26,10 +26,11 @@ Legend: ✅ done · 🟡 partial · 🔜 planned · 🔭 long-term idea · ⛔ o
 | 1.0.0 | 2026-10-19 | ext4, HFS+, Btrfs, XFS, APFS; BitLocker, LUKS, FileVault 2; RAID and LVM; E01, Ex01, AFF4; fragmented JPEG; MP4 without moov |
 | 1.0.1 | 2026-10-20 | Documentation in English with Portuguese translations, complete English interface, screenshots, Docker image of the CLI |
 | 1.1.0 | 2026-10-20 | Core messages and dates in English, automated translation check, RustCrypto on digest 0.11, verified Docker device access and Superset workspaces |
+| 1.2.0 | 2026-10-22 | QCOW2, VMDK, VHD, VHDX and DMG virtual disks, hash-chained audit trail, PDF report, APFS free-space map |

 Details of each version in the [CHANGELOG](CHANGELOG.md).

-## Current status (1.1.0) against what is expected from a forensic suite
+## Current status (1.2.0) against what is expected from a forensic suite

 ### 1. File systems with metadata

@@ -40,7 +41,7 @@ Details of each version in the [CHANGELOG](CHANGELOG.md).
 | HFS+ | ✅ | Tree node leftovers and journal |
 | Btrfs | ✅ | Old versions of the trees; zlib, zstd and lzo extents |
 | XFS | ✅ | Freed inodes and names of freed entries. Tested only with simulated deletion |
-| APFS | 🟡 | Container, object map, snapshots and old nodes. **Free-space map is missing**; deletion tested only in simulation |
+| APFS | 🟡 | Container, object map, free-space map (spaceman and bitmaps), snapshots and old nodes. Deletion tested only in simulation; containers with chunk-info address blocks (large ones) fall back to scanning the whole volume |
 | ReFS | 🔜 | Only detected today; recovery depends on carving. Reference image missing |
 | Storage Spaces | 🔜 | Not done. Reference image missing |
 | NTFS: compressed attributes, EFS, attribute list | 🔜 | Marked as incomplete today |
@@ -66,7 +67,8 @@ Today Guará opens volumes when you **already have** the password or key. Passwo
 | Raw image (dd) tolerant of bad sectors, with an error map | ✅ |
 | E01 and Ex01: read, write and `guara verify` | ✅ |
 | AFF4: read and write | ✅ |
-| Other containers (VMDK, VHD/VHDX, QCOW2, DMG) | 🔜 |
+| Virtual disk containers: QCOW2, VMDK, VHD, VHDX and DMG (read) | ✅ |
+| QCOW2 with a backing file, VMDK snapshots, DMG with LZFSE or a password | 🔜 |
 | Mobile device image (see item 7) | 🔭 |

 ### 4. Assembling loose disks
@@ -126,10 +128,10 @@ Physical access is the differentiator of commercial tools like Cellebrite. It de
 | `guara-manifesto.json` manifest in every recovery | ✅ |
 | HTML report with case, examiner, source, partitions, summary and hashes | ✅ |
 | Verification of an E01/Ex01 image against the stored hash | ✅ |
-| **Audit log** of every examiner action (who, when, what) | 🔜 |
+| **Audit trail** of every examiner action (who, when, what), chained by hash, with `guara audit --verify` | ✅ |
 | **Digitally signed reports** and a timestamped manifest | 🔜 |
 | **Reproducibility:** replay the recorded procedure and get the same result | 🔜 |
-| PDF report | 🔜 |
+| PDF report (A4, built in) | ✅ |
 | **External validation:** NIST CFTT (Computer Forensic Tool Testing) tests and publication of the results | 🔭 |
 | Signed binaries (Windows and macOS) | 🔜 |

@@ -163,7 +165,7 @@ External validation is what makes a report accepted. Without it, Guará is good
 No dates, in the order that makes the most sense.

 **1.1: trust and custody**
-Audit log, PDF report, signed manifest, APFS free-space map, XFS and APFS validation with real deletions, tests with real images on Windows and macOS.
+Signed manifest, XFS and APFS validation with real deletions, tests with real images on Windows and macOS.

 **1.2: analysis**
 NSRL and hash lists, search in file content, unified timeline.
@@ -26,10 +26,11 @@ Legenda: ✅ feito · 🟡 parcial · 🔜 planejado · 🔭 ideia a longo prazo
 | 1.0.0 | 2026-10-19 | ext4, HFS+, Btrfs, XFS, APFS; BitLocker, LUKS, FileVault 2; RAID e LVM; E01, Ex01, AFF4; JPEG fragmentado; MP4 sem moov |
 | 1.0.1 | 2026-10-20 | Documentação em inglês com tradução em português, interface completa em inglês, telas, imagem Docker do terminal |
 | 1.1.0 | 2026-10-20 | Mensagens do núcleo e datas em inglês, verificação automática da tradução, RustCrypto em digest 0.11, acesso a dispositivo no Docker e workspaces do Superset verificados |
+| 1.2.0 | 2026-10-22 | Discos virtuais QCOW2, VMDK, VHD, VHDX e DMG, trilha de auditoria encadeada por hash, relatório em PDF, mapa de espaço livre do APFS |

 Detalhes de cada versão no [CHANGELOG](CHANGELOG.pt-BR.md).

-## Situação atual (1.1.0) contra o que se espera de uma suíte forense
+## Situação atual (1.2.0) contra o que se espera de uma suíte forense

 ### 1. Sistemas de arquivos com metadados

@@ -40,7 +41,7 @@ Detalhes de cada versão no [CHANGELOG](CHANGELOG.pt-BR.md).
 | HFS+ | ✅ | Sobras de nós da árvore e diário |
 | Btrfs | ✅ | Versões antigas das árvores; extensões zlib, zstd e lzo |
 | XFS | ✅ | Inodes liberados e nomes de entradas liberadas. Testado só com exclusão simulada |
-| APFS | 🟡 | Contêiner, mapa de objetos, instantâneos e nós antigos. **Falta o mapa de espaço livre**; exclusão testada só em simulação |
+| APFS | 🟡 | Contêiner, mapa de objetos, mapa de espaço livre (spaceman e bitmaps), instantâneos e nós antigos. Exclusão testada só em simulação; contêineres com blocos de endereço de chunk-info (grandes) voltam a varrer o volume inteiro |
 | ReFS | 🔜 | Hoje só é detectado; a recuperação depende do carving. Falta imagem de referência |
 | Storage Spaces | 🔜 | Não feito. Falta imagem de referência |
 | NTFS: atributos comprimidos, EFS, lista de atributos | 🔜 | Hoje marcados como incompletos |
@@ -66,7 +67,8 @@ Hoje o Guará abre volumes quando você **já tem** a senha ou a chave. Recupera
 | Imagem bruta (dd) tolerante a setores ruins, com mapa de erros | ✅ |
 | E01 e Ex01: leitura, gravação e `guara verify` | ✅ |
 | AFF4: leitura e gravação | ✅ |
-| Outros contêineres (VMDK, VHD/VHDX, QCOW2, DMG) | 🔜 |
+| Contêineres de disco virtual: QCOW2, VMDK, VHD, VHDX e DMG (leitura) | ✅ |
+| QCOW2 com arquivo de apoio, snapshots de VMDK, DMG com LZFSE ou com senha | 🔜 |
 | Imagem de dispositivo móvel (ver item 7) | 🔭 |

 ### 4. Montagem de discos soltos
@@ -126,10 +128,10 @@ O acesso físico é o diferencial de ferramentas comerciais como a Cellebrite. D
 | Manifesto `guara-manifesto.json` em toda recuperação | ✅ |
 | Relatório HTML com caso, examinador, origem, partições, resumo e hashes | ✅ |
 | Verificação de imagem E01/Ex01 contra o hash gravado | ✅ |
-| **Registro de auditoria** de cada ação do perito (quem, quando, o quê) | 🔜 |
+| **Trilha de auditoria** de cada ação do perito (quem, quando, o quê), encadeada por hash, com `guara audit --verify` | ✅ |
 | **Relatórios assinados** digitalmente e manifesto com carimbo de tempo | 🔜 |
 | **Reprodutibilidade:** repetir o procedimento gravado e obter o mesmo resultado | 🔜 |
-| Relatório em PDF | 🔜 |
+| Relatório em PDF (A4, próprio) | ✅ |
 | **Validação externa:** testes do NIST CFTT (Computer Forensic Tool Testing) e publicação dos resultados | 🔭 |
 | Binários assinados (Windows e macOS) | 🔜 |

@@ -163,7 +165,7 @@ A validação externa é o que faz um laudo ser aceito. Sem ela, o Guará serve
 Sem datas, na ordem em que fazem mais sentido.

 **1.1: confiança e custódia**
-Registro de auditoria, relatório em PDF, manifesto assinado, mapa de espaço livre do APFS, validação de XFS e APFS com exclusões reais, testes com imagens reais no Windows e macOS.
+Manifesto assinado, validação de XFS e APFS com exclusões reais, testes com imagens reais no Windows e macOS.

 **1.2: análise**
 NSRL e listas de hashes, busca em conteúdo de arquivos, linha do tempo unificada.
@@ -3,7 +3,7 @@
 [package]
 name = "guara-gui"
 description = "Guará: interface gráfica de recuperação de arquivos"
-version = "1.1.0"
+version = "1.2.0"
 edition = "2021"
 license = "MIT OR Apache-2.0"
 repository = "https://github.com/lucasrguerra/guara"
@@ -1,7 +1,7 @@
 {
  "$schema": "https://schema.tauri.app/config/2",
  "productName": "Guara",
-  "version": "1.1.0",
+  "version": "1.2.0",
  "identifier": "dev.guara.app",
  "build": {
    "frontendDist": "../ui"