Меню

Как обойти битлокер жесткого диска



Как обойти защиту BitLocker в Windows 10

Финский IT-специалист Сами Лайхо обнаружил простой способ обхода системы шифрования данных BitLocker в Windows 10. Описанный им способ позволяет получить неавторизованный доступ к зашифрованным файлам на накопителе.

Для обхода защиты BitLocker требуется дождаться, когда компьютер обнаружит обновление операционной системы и начнёт устанавливать его. В ходе подготовки к инсталляции апдейта нужно нажать Shift + F10, после чего запустится командная строка. С помощью этой утилиты можно получить доступ к расшифрованным данным на накопителе устройства. Взлом может быть осуществлён практически любым человеком, каких-либо хакерских знаний для этого не требуется.

Весь процесс взлома описан в видеоролике:

По словам Лайхо, описанной уязвимости подвержены все компьютеры и планшеты, работающие на релизных сборках Windows 10 (1511 — November Update и 1607 — Anniversary Update). Кроме того, этот баг также присутствует во всех инсайдерских сборках, выпущенных до октября 2016 года в рамках подготовки к релизу следующего крупного обновления ОС — Creators Update. В сборках, вышедших в ноябре, этого бага уже нет, так что их можно считать наиболее безопасными. Скорее всего, в ближайшее время Microsoft выпустит патчи для своих операционных систем, которые закроют уязвимость, найденную Лайхо.

Конечно, эту уязвимость вряд ли можно считать очень опасной. Осуществление взлома требует физического доступа хакеру к компьютеру или планшету жертвы. Удалённый взлом невозможен.

BitLocker — криптографическая защита, реализованная в Windows 7, 8 и 10. Оно позволяет зашифровать данные накопителя компьютера или планшета так, что даже если он будет установлен в другое устройство, файлы, хранящиеся на нём, будут недоступны до тех пор, пока вы не введёте пароль, установленный для дешифровки. О том, как установить защиту BitLocker, вы можете прочитать в нашей статье.

Источник

Information Security Squad

stay tune stay secure

Взломщик паролей BitLocker с открытым исходным кодом: BitCracker

BitCracker является первым инструментом с открытым исходным кодом для взлома паролей BitLocker.

BitLocker — это функция шифрования диска, доступная в последних версиях Windows (Vista, 7, 8.1 и 10) Pro и Enterprise.

BitCracker — это инструмент для взлома паролей с mono-GPU для блоков памяти, зашифрованных с помощью режима проверки подлинности пароля BitLocker (см. Рисунок ниже).

Требования

Для реализации CUDA вам нужно, по крайней мере, CUDA 7.5 и графический процессор NVIDIA с минимальным значением cc3.5.

How To

Используйте скрипт build.sh для создания 3 исполняемых файлов:

хэш-экстрактор
Версия CUDA для BitCracker
Версия BitCracker OpenCL

Исполняемые файлы хранятся в каталоге сборки.

Перед началом атаки вам нужно запустить bitcracker_hash, чтобы извлечь хэш из зашифрованного блока памяти.

Выделенный хеш полностью совместим с форматом John The Ripper.

Затем вы можете использовать выходной хэш-файл для запуска атаки BitCracker.

В случае ложных срабатываний вы можете использовать опцию -s, которая является более ограничительной проверкой правильности конечного результата.

Несмотря на то, что эта проверка проверена эмпирически, и она работает с изображениями этого репо, зашифрованными с помощью Windows 7, 8.1 и 10, мы не можем гарантировать, что оно не приведет к ложным результатам.

Читайте также:  Аудио системы с жестким диском

Используйте параметр -s, только если BitCracker возвращает несколько ложных срабатываний.

В сценарии run_test.sh имеется несколько примеров атак с использованием зашифрованных изображений, предоставленных в этом репо:

imgWin7: блок памяти, зашифрованный с помощью BitLocker, с использованием операционной системы Windows 7 Enteprise
imgWin8: блок памяти, зашифрованный с помощью BitLocker, с операционной системой Windows 8 Enteprise
imgWin10Compatible.vhd: блок памяти, зашифрованный с помощью BitLocker (совместимый режим) с использованием операционной системы Windows 10 Enteprise,
imgWin10NonCompatible.vhd: блок памяти, зашифрованный с помощью BitLocker (режим совместимости с NON) с использованием операционной системы Windows 10 Enteprise,
imgWin10CompatibleLong27.vhd: блок памяти, зашифрованный с помощью BitLocker (совместимый режим) с использованием операционной системы Windows 10 Enteprise с использованием максимально возможного пароля (27 символов)

В настоящее время BitCracker может оценивать пароли длиной 8 (минимальная длина пароля) и 27 символов (причины внедрения).

BitCracker не обеспечивает маскировку, механизм кэширования или создание интеллектуального словаря; поэтому вам необходимо предоставить свой собственный словарь ввода.

Выполнение скрипта

Здесь показано лучшая производительность реализаций BitCracker, протестированных на разных графических процессорах

GPU Acronim GPU Arch CC # SM Clock CUDA
GFT GeForce Titan Kepler 3.5 14 835 7.0
GTK80 Tesla K80 Kepler 3.5 13 875 7.5
GFTX GeForce Titan X Maxwell 5.2 24 1001 7.5
GTP100 Telsa P100 Pascal 6.1 56 1328 8.0
AMDM Radedon Malta
Version GPU -t -b Passwords x kernel Passwords/sec Hash/sec
CUDA GFT 8 13 106.496 303 635 MH/s
CUDA GTK80 8 14 114.688 370 775 MH/s
CUDA GFTX 8 24 106.608 933 1.957 MH/s
CUDA GTP100 8 56 458.752 1.363 2.858 MH/s
OpenCL AMDM 32 64 524.288 241 505 MH/s
OpenCL GFTX 8 24 196.608 884 1.853 MH/s

John The Ripper

Выпущена версия OpenCL в качестве плагина комплекта John The Ripper (bleeding jumbo):

Страница Wiki: http://openwall.info/wiki/john/OpenCL-BitLocker
Исходный код JtR: https://github.com/magnumripper/JohnTheRipper

Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.

Источник

Восстановление данных с поврежденного диска, зашифрованного BitLocker

Сегодня мы опишем процедуру восстановления данных с диска, зашифрованного с помощью Bitlocker. Рассмотрим простой сценарий и сценарий с поврежденным диском Bitlocker. Такая проблема может возникнуть вследствие повреждения файловой системы на зашифрованном диске (например, повреждения области жесткого диска, в которой BitLocker хранит важную информацию, вызванного неожиданным завершением работы системы), невозможности загрузки ОС или консоли восстановления BitLocker, и подобных ошибок, которые препятствуют нормальному открытию зашифрованного диска. Описанные проблемы могут возникнуть как с системным диском, так и со съёмным внешним или USB диском.

Для восстановления данных мы воспользуемся утилитой Repair-bde (BitLocker Repair Tool). Эта утилита командной строки, которая появилась еще в Windows 7 / 2008 R2 и используется для доступа и восстановления зашифрованных данных на поврежденном диске, зашифрованным BitLocker-ом.

Требования для восстановления данных с тома BitLocker

Для восстановления данных с диска, зашифрованного BitLocker нужно иметь хотя один из следующих элементов системы защиты BitLocker:

  • Пароль BitLocker (тот самый, который вы вводите в графическом интерфейсе Windows при разблокировке зашифрованного диска);
  • Ключ восстановления BitLocker;
  • Ключ запуска системы (Startup key — .bek) – ключ на USB флешке, который позволяет автоматически расшифровывать загрузочный раздел, не требуя ввода пароля от пользователя.

Ключ восстановления BitLocker (BitLocker Recovery Key) представляет собой уникальную последовательность из 48 символов. Ключ восстановления генерируется при создании тома Bitlocker, его можно распечатать (и хранить в безопасном месте, например, в сейфе), сохранить в виде текстового файла на локальный (это не рекомендуется, т.к. при повреждении диска вы не сможете расшифровать свои данные) или внешний диск, или сохранить в свою учетную запись Microsoft.

Ключ восстановления Bitlocker можно найти в своем аккаунте на сайте Microsoft по ссылке https://onedrive.live.com/recoverykey .

Несколько нюансов касательно восстановления данных с диска BitLocker. Данные нужно восстанавливать на отдельный диск, размер которого должен быть не меньше, чем размер поврежденного диска. В процессе восстановления все содержимое этого диска будет удалено и заменено расшифрованными данными с тома BitLocker.
В нашем примере диск F: (размер 2 Гб) это USB флешка, содержимое которой зашифровано с помощью BitLocker. Данная флешка по какой-то причине не открывается. Для восстановления данных мы установили дополнительный внешний диск Data (G:), емкостью (10 Гб).

Разблокировать диск, зашифрованный BitLocker, в среде Windows

Самая простая ситуация, когда вам нужно разблокировать зашифрованный BitLocker диск в самой Windows. Вероятно, у вас есть внешний диск или USB флешка, защищенная с помощью BitLocker, которая не открывается, или вы хотите открыть зашифрованный диск на другом компьютере.

Подключите диск к компьютеру и перейдите в раздел Панель управления -> Система и безопасность -> Шифрование диска BitLocker (доступно в Professional и выше редакциях Windows).

В списке дисков выберите зашифрованный BitLocker диск и нажмите кнопку Разблокировать диск.

В зависимости от способа зажиты укажите пароль, PIN ключ восстановления и подключите смарт-карту. Если вы не знаете пароль, но сохранился ключ восстановления, выберите Дополнительные параметры —> Введите ключ восстановления.

Если у вас несколько ключей восстановления, вы можете определить нужный ключ восстановления с помощью идентификатора, который отображается в окне. Если вы указали правильный ключ, диск разблокируется и сможете получить доступ к данным на нем.

Как разблокировать зашифрованный Bitlocker диск, если Windows не загружается

Рассмотрим ситуацию, когда ваш системный диск зашифрован с помощью Bitlocker и по какой-то причине ваша Windows перестала загружаться (синий экран смерти, зависает при загрузке, некорректные обновления и т.д.)

Попробуйте запустить среду восстановления Windows (она автоматически запуститься, если 3 раза подряд Windows не смогла загрузиться). Если среда WinRE не работает, вы можете загрузить компьютер установочного диска с Windows 10, диска восстановления MsDaRT или другого загрузочного диска. Чтобы запустить командную строку, выберите пункт Troubleshoot -> Advanced options -> Command Prompt, или нажмите клавиши Shift+F10.

В окне командной строки проверьте состояние всех дисков компьютера (так мы найдем зашифрованный Bitlocker диск):

В результат команды у одного (или нескольких) из дисков должен содержаться такой текст: “BitLocker Drive Encryption: Volume D”. Значит у вас зашифрован диск D.

Разблокируем его, выполнив команду:

manage-bde -unlock D: -pw

Команда попросит указать пароль BitLocker:

Enter the password to unlock this volume:

Если пароль правильный, появится сообщение:

The password successfully unlocked volume D:.

Ваш диск расшифрован, и вы можете приступать к восстановлению ОС.

Если вы хотите совсем отключить защиту диска BitLocker, выполните:

manage-bde -protectors -disable D:

Выполните перезагрузку компьютера. Теперь загрузочный диск не зашифрован.

Восстановление данных с помощью пароля BitLocker

В первую очередь попробуйте восстановить данные по этой методике (она будет работать в Windows 10, 8.1 / Server 2012 /R2/2016 и выше):

  1. Запустите командную строку с правами администратора:
  2. Выполните команду:
    repair-bde F: G: -pw –Force
    , где F: — диск с данными Bitlocker, G: — диск на который необходимо извлечь расшифрованные данные;
  3. В процессе выполнения команды нужно будет указать пароль Bitlocker (тот самый, который вводится пользователем в графическом интерфейсе Windows для получения доступа к зашифрованному тому).

Расшифровка тома Bitlocker с помощью ключа восстановления

Для расшифровки данных, находящихся на поврежденном томе, содержимое которого зашифровано Bitlocker нам понадобится ключ восстановления или ключ загрузки системы (если зашифрован системный раздел).

Запустите восстановление данных с помощью ключа восстановления:

repair-bde F: G: -rp 288409-515086-417208-646712-162954-590172-127512-667568 –Force

Если Bitlocker используется для шифрования системного раздела с Windows, а для загрузки системы используется специальный ключ запуска на USB флешке, зашифрованный том можно расшифровать так:

где, файл 3F558473-943D-4330-8449-62C36BA53345.BEK – ключ запуска шифрования диска BitLocker на USB флешке I:\ (по умолчанию этот файл скрыт).

После выполнения процедуры восстановления и расшифровки данных, прежде чем открыть диск, на который было извлечено содержимое тома Bitlocker , необходимо обязательно выполнить его проверку. Для этого выполните следующую команду и дождитесь ее завершения:
Chkdsk G: /f

Как открыть зашифрованный BitLocker диск в Linux

Вы можете открыть зашифрованный BitLocker диск и из-под Linux. Для этого понадобятся утилита DisLocker и ключ восстановления BitLocker .

В некоторых дистрибутивах (например, Ubuntu) утилита dislocker уже имеется. Если утилита не установлена, скачайте и скомпилируйте ее вручную.
tar -xvjf dislocker.tar.gz
В файле INSTALL.TXT указано, что необходимо установить пакет libfuse-dev:
sudo apt-get install libfuse-dev
Теперь соберите пакет.
cd src/make make install
Перейдите в каталоге mnt и создайте две директории (для зашифрованного и расшифрованного раздела):
cd /mntmkdir Encr-partmkdir Decr-part
Найдите зашифрованный раздел (команда fdisk –l) и расшифруйте его с помощью ключа восстановления во второй каталог.

dislocker -r -V /dev/sdb1 -p your_bitlocker_recovery_key /mnt/Encr-part

В этом примере мы используем утилиту DisLocker в режиме FUSE (Filesystem in Userspace, позволяющем пользователям без привилегий создавать собственные файловые системы. В режиме FUSE расшифровывается только тот блок, к которому обращается система (“на лету”). При этом возрастает время доступа к данным, но этот режим гораздо безопаснее.

Смонтируйте раздел:
mount -o loop Driveq/dislocker-file /mnt/Decr-part
Теперь вы должны увидеть все файлы на зашифрованном разделе.

Источник