Forensisches Tool zum Entschlüsseln von freigegebenen TrueCrypt-, Bitlocker- und PGP-Containern und -Disketten
- Kategorie: Sicherheit
Zum Schutz Ihrer Daten können Sie unter anderem die Verschlüsselung verwenden. Sie können entweder einzelne Dateien verschlüsseln, Erstellen Sie einen Container, in den Dateien verschoben werden sollen oder verschlüsseln Sie eine Partition oder Festplatte . Der Hauptvorteil der Verschlüsselung besteht darin, dass für den Zugriff auf die Daten ein Schlüssel, normalerweise ein Kennwort, benötigt wird. Eine grundlegende Form der Verschlüsselung besteht darin, dass eine erweiterte Verschlüsselung das gesamte System schützen kann, wenn Sie eine Zip-Datei mit einem Kennwort schützen einschließlich der Betriebssystempartition von nicht autorisierten Benutzern.
Während es wichtig ist, während des Setups ein sicheres Kennwort auszuwählen, um zu verhindern, dass Dritte das Kennwort erfolgreich erraten oder brutal erzwingen, ist es wichtig zu beachten, dass es möglicherweise andere Möglichkeiten gibt, um Zugriff auf die Daten zu erhalten.
Elcomsoft hat gerade sein Forensic Disk Decryptor-Tool veröffentlicht. Das Unternehmen gibt an, dass es die auf PGP-, Bitlocker- und TrueCrypt-Datenträgern und -Containern gespeicherten Informationen entschlüsseln kann. Es ist zu beachten, dass ein lokaler Zugriff auf das System erforderlich ist, damit eine der vom Programm verwendeten Methoden funktioniert. Verschlüsselungsschlüssel können auf drei Arten erworben werden:
- Durch Analysieren der Ruhezustandsdatei
- Durch Analyse einer Speicherauszugsdatei
- Durch Ausführen eines FireWire-Angriffs
Der Verschlüsselungsschlüssel kann nur aus der Ruhezustandsdatei oder dem Speicherauszug extrahiert werden, wenn der Container oder die Festplatte vom Benutzer bereitgestellt wurde. Wenn Sie die Speicherauszugsdatei oder die Ruhezustandsdatei erhalten haben, können Sie die Schlüsselsuche einfach und jederzeit starten. Beachten Sie, dass Sie dabei die richtige Partition oder den richtigen verschlüsselten Container auswählen müssen.
Wenn Sie keinen Zugriff auf eine Ruhezustandsdatei haben, können Sie mit dem einfach einen Speicherauszug erstellen Windows Memory Toolkit . Laden Sie einfach die kostenlose Community Edition herunter und führen Sie die folgenden Befehle aus:
- Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten. Tippen Sie dazu auf die Windows-Taste, geben Sie cmd ein, klicken Sie mit der rechten Maustaste auf das Ergebnis und wählen Sie, ob Sie als Administrator ausgeführt werden möchten.
- Navigieren Sie zu dem Verzeichnis, in das Sie das Speicherauszugstool extrahiert haben.
- Führen Sie den Befehl win64dd / m 0 / r / f x: dump mem.bin aus
- Wenn Ihr Betriebssystem 32-Bit ist, ersetzen Sie win64dd durch win32dd. Möglicherweise müssen Sie am Ende auch den Pfad ändern. Beachten Sie, dass die Datei so groß ist wie der auf dem Computer installierte Speicher.
Führen Sie anschließend das forensische Tool aus und wählen Sie die Option zur Schlüsselextraktion aus. Zeigen Sie auf die erstellte Speicherauszugsdatei und warten Sie, bis sie verarbeitet wurde. Anschließend sollten Sie sehen, welche Tasten Ihnen vom Programm angezeigt werden.
Urteil
Der Forensic Disk Decryptor von Elcomsoft funktioniert gut, wenn Sie einen Speicherauszug oder eine Ruhezustandsdatei in die Hände bekommen können. Alle Angriffsformen erfordern lokalen Zugriff auf das System. Es kann ein nützliches Werkzeug sein, wenn Sie den Hauptschlüssel vergessen haben und dringend Zugriff auf Ihre Daten benötigen. Es ist zwar recht teuer, kostet aber 299 Euro. Es ist jedoch möglicherweise die beste Hoffnung, den Schlüssel abzurufen, vorausgesetzt, Sie verwenden den Ruhezustand oder verfügen über eine Speicherauszugsdatei, die Sie erstellt haben, während der Container oder die Festplatte auf dem System bereitgestellt wurden. Führen Sie vor dem Kauf die Testversion aus, um festzustellen, ob die Schlüssel erkannt werden können.
Sie können die Erstellung einer Ruhezustandsdatei deaktivieren, um Ihr System vor solchen Angriffen zu schützen. Sie müssen zwar weiterhin sicherstellen, dass niemand eine Speicherauszugsdatei erstellen oder das System mit einem Firewire-Angriff angreifen kann, es stellt jedoch sicher, dass niemand die Informationen extrahieren kann, wenn der PC nicht gestartet wird.