◆吴 彬 郭 帅



BITLOCKER解密技术在取证中的研究与应用

◆吴 彬1郭 帅2

(1.上海市公安局 上海 200025；2.盘石软件（上海）有限公司 上海 200333)

针对BitLocker加密技术对磁盘的数据保护使电子取证无法进行离线分析，使案件调查人员无法获取磁盘上的调查信息的问题，本文对BitLocker加密技术原理进行调查研究，提出了一种可以脱离Windows操作系统独立对BitLocker加密卷或磁盘镜像进行解密的离线解密方法以获取磁盘中存放的原始数据。本文分析了BitLocker加密技术的原理，并从物理磁盘中存放的数据中找出相应密码的存放位置以及加密算法标志，之后通过用户密码或恢复秘钥进行解密得到相应的全卷秘钥并对磁盘进行解密。实验证明了该种方法在电子取证中的可行性。

BitLocker；电子取证；数据安全；VMK秘钥；FVEK秘钥

0 引言

BitLocker驱动器加密功能是微软开发的最早应用在Vista系统上的一种磁盘加密技术，这种加密算法给用户数据的安全性和可靠性带来了有效的保障。微软在之后推出的新版本的操作系统中都对BitLocker功能以及安全性进行了改进，BitLocker已经成为了用户日常生活中常见的加密技术之一。BitLocker最初的设计是针对用户笔记本电脑丢失会造成机密信息泄露而设计的，这些重要信息的泄露往往会造成比笔记本丢失更大的损失[1]。当电脑丢失时，作案人员可以很轻松地把磁盘驱动器从笔记本电脑中取出，并把它作为辅助驱动器连接到第二台机器上，之后就可以使用管理员权限访问所有数据。为解决……