Forensische tool 'kraakt' TrueCrypt, PGP en BitLocker
Een Russisch softwarebedrijf heeft een nieuwe tool gepresenteerd om versleutelde harde schijven toch te kunnen uitlezen. De Elcomsoft Forensic Disk Decryptor biedt toegang tot informatie op schijven die met BitLocker, PGP en TrueCrypt versleuteld zijn. Naast het uitvoeren van allerlei brute-force aanvallen is de voornaamste methode voor het achterhalen van de encryptiesleutels het uitlezen van geheugendumps.
"De voornaamste en enige zwakte van versleutelde containers is de menselijke factor. Naast zwakke wachtwoorden, moeten versleutelde volumes worden aangekoppeld voor de gebruiker om toegang tot de versleutelde gegevens te hebben. Niemand wil elke keer zijn lange, complexe wachtwoorden intikken als ze een bestand willen lezen of schrijven", zegt Vladimir Katalov op het Elcomsoft-blog.
Dump
Volgens het softwarebedrijf zijn de sleutels via geheugendumps te achterhalen. Voor het maken van deze dumps zijn verschillende forensische tools beschikbaar, maar zou ook een FireWire-aanval zijn te gebruiken in het geval de computer is uitgeschakeld. De Disk Decryptor kan namelijk de encryptiesleutels ook uit het hibernation-bestand halen.
"Het is belangrijk dat versleutelde volumes zijn aangekoppeld op het moment de geheugendump wordt verkregen of de computer in slaapstand gaat, anders worden de encryptiesleutels vernietigd en kan de inhoud van de versleutelde volumes niet zonder het originele wachtwoord worden ontsleuteld.
Snelheid
Is de geheugendump succesvol, dan kan de Disk Decryptor de versleutelde schijf als een schijfletter op het systeem van de onderzoeker aankoppelen. Daardoor kunnen allerlei andere forensische tools er snel en eenvoudig toegang toe krijgen.
"Dit lijkt misschien niet veilig, en mag door bepaald beleid niet worden toegestaan, maar soms is snelheid en gemak alles", stelt Katalov. De Disk Decryptor kost omgerekend 225 euro.
Verder is het volgens mij allemaal niet reuze revolutionair.
Euhm.. niemand?
Ik typ namelijk wél elke keer dat enorme lange wachtwoord!
Dus succes met de z.g. 'Disk Decryptor'.
Mijn bron voor DumpIt: https://isc.sans.edu/diary/MoonSols+Dumpit+released+for+free+/11362.
DumpIt maakt geen onderdeel uit van de Community Edition van de "MoonSols Windows Memory Toolkit" (wel van de professional/commerciële versie). Die toolkit bevat wellicht interessante tools voor forensisch onderzoekers, zie http://www.moonsols.com/windows-memory-toolkit/.
Zonder admin rechten kun je overigens het geheugen in gebruik door een proces (waar jij eigenaar van bent) eenvoudig bekijken met de freeware hexeditor HxD (zie http://mh-nexus.de/en/hxd/).
Schijven hebben allang ingebouwde encryptie.
Het probleem met encryptie is niet de encryptie zelf maar het sleutelbeheer.
Euhm.. niemand?
Ik typ namelijk wél elke keer dat enorme lange wachtwoord!
Dus succes met de z.g. 'Disk Decryptor'.
Ook hier: succes.
Euhm.. niemand?
Ik typ namelijk wél elke keer dat enorme lange wachtwoord!
Dus succes met de z.g. 'Disk Decryptor'.
Ik typ ook elke keer mijn passphrase probleemloos in. No problem!
Ik ben zeker geen expert maar het lijkt me dat er vast meerdere manieren zijn om te bepalen wat de passphrase is.
Staat deze niet op een vooraf en bekende line ? Of wordt er padding / encoding gebruikt die te onderscheiden is van de rest ?
Maar heeft men hier wel over fulldisk encryption of alleen encrypted containers?
Ik ben zeker geen expert maar het lijkt me dat er vast meerdere manieren zijn om te bepalen wat de passphrase is.
Staat deze niet op een vooraf en bekende line ? Of wordt er padding / encoding gebruikt die te onderscheiden is van de rest ?
Meerdere manier om te bepalen wat de passphrase is??? Of bedoel je meerdere manieren om te bepalen waar deze staat?
Ook als zou je 4GB ram hebben waarvan maar 1GB user space is, dan nog moet je 1GB doorspitten.
En er staat echt niet: HIER STAAT IE -->>> ;-)
Ook kunnen geheugen chips bevroren worden en dan dumps van het geheugen gemaakt en zo zijn er wel meer manieren een beveiligd systeem te 'hacken'.
Maar dat Truecrypt, PGP enzovoorts gekraakt zijn is dus loos geblaat.
En ook in typ inderdaad elke keer mijn lange key in.
Mensen die niet om encryptie geven, installeren geen TrueCrypt en mensen die dat wel doen, nemen ook de moeite om het goed te implementeren, me dunkt.
Desalniettemin is het goed dat deze tool er is: nu is er nog meer noodzaak om ook de *implementatie* van encryptie goed uit te voeren, dwz de menselijke factor.
Dat met die hibernation file is dan een gebrekje van TrueCrypt. Ik ken FDE waarbij ook het hibernation bestand versleuteld wordt, en bij het wakker maken pas na geslaagde aanmelding ontsleuteld wordt. Maar dit kon inderdaad altijd al. Ze hebben het alleen wat makkelijker gemaakt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
