exFATにおける分解能

exFATの作成日時については、分解能が 10ms になっているので、DOS タイムスタンプとしては 5バイト長になっています。（奇数秒まで取り扱えるようになっている）

これまた EnCase の話になりますが、EnCase で exFAT の作成日時は 4バイト長の DOS タイムスタンプしか確認していないようで、5バイト目を扱っていません（偶数秒しか表示しない）。
この為、Windows 7 のエクスプローラからファイルのプロパティで確認した作成日時と EnCase 上で表示した時では作成日時に差異が発生します。
作成日時の 5バイト目は CWA タイムスタンプのバイト列の続きに、作成日時と更新日時の順に1バイトずつ 10ms 値（0-199）が保存されています。(SANS資料のTable 15 Layout for File Directory Entry）
例えば 0x8B の場合には10進数に戻すと 139 になるので、1.39秒を 4バイトの DOS タイムスタンプ値にプラスする形になります。タイムスタンプ関連については、いずれまた Forensicist(http://www.kazamiya.net/)のサイトで詳しい解説があるのではないかと密かに期待しています。

更新日時もここに1バイト分の 10ms の領域を持っていますが、Windows 7 上で試した限りでは、更新日時に 10ms の値が保存されることはなく、常に 0x00 が保存されているようです。（従来と同じく偶数秒までの精度）いずれ使うのかもしれませんが、少なくとも現在の Windows 7 の実装では使ってないようです。

exFATではアクセス（Atime）についても分解能が、従来の「日付」単位から、2秒まで精度が向上しています。Windows 7 などの場合には、デフォルトのレジストリ設定によりファイル更新などのタイミングで Atime が変化することになりますが、exFAT では偶数秒レベルまでは記録されるようになったということのようです。