Glossaire
knowledgeC.db
knowledgeC.db est la base SQLite de CoreDuet où macOS consigne les habitudes d'usage : application au premier plan, écran allumé, verrouillage.
knowledgeC.db est une base SQLite écrite par le framework CoreDuet d'Apple. Elle enregistre les « habitudes d'usage » (pattern of life) sous forme d'intervalles, chacun rattaché à un flux (stream) comme /app/usage, /app/inFocus, /display/isBacklit ou /device/isLocked, et stocké comme une ligne de la table ZOBJECT.
Un Mac en possède deux exemplaires : la base système /private/var/db/CoreDuet/Knowledge/knowledgeC.db (propriété de root, restreinte par SIP) et une base par utilisateur ~/Library/Application Support/Knowledge/knowledgeC.db (protégée par TCC : le processus de collecte doit disposer de l'Accès complet au disque). Les deux fonctionnent en mode WAL : collectez knowledgeC.db-wal et knowledgeC.db-shm avec le fichier principal, sinon les événements les plus récents peuvent manquer.
La rétention est d'environ quatre semaines, et les versions récentes de macOS ont déplacé plusieurs flux, dont le premier plan des applications, vers Biome. Voir le guide d'analyse forensique de knowledgeC.db.