徐志强加密磁盘取证技术

《徐志强加密磁盘取证技术》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、电子取证技术分论坛加密磁盘取证技术Forensicanalysisofencrypteddrives演讲人：徐志强个人简介徐志强(HenryTsui)中国政法大学,法务会计研究中心特聘研究员江西警察学院,计算机犯罪中心特聘研究员中华全国律师协会信息网络与高新技术专委会特邀委员南昌大学,工程硕士专业学位研究生导师中国刑事警察学院，客座讲师_______________________________________________•美国EnCase认证调查员(EnCE)—中国大陆首位获得•美国EnCase认证

2、讲师•美国ISC2认证电子取证专家(CCFP)—中国大陆首位获得•中国电子数据取证调查员(MCE)•美国高科技犯罪调查协会会员(HTCIA)•美国注册舞弊审查师协会会员(ACFE)物理安保大厦大门房门抽屉电子数据安保硬件：生物特征/数字密码软件：全盘加密/加密容器应用：文件加密加密磁盘类型及应用磁盘加密类型–硬件级加密•磁盘固件•加密芯片–软件级加密•全盘/卷加密•加密容器加密磁盘类型及应用1.磁盘固件加密–1997年发布ATA-3规范，开始支持硬盘数据安全保护。–硬盘可通过BIOS或第三方软件设置

3、硬盘保护密码特性–支持两种密码：Master(主密码)和User(用户密码)–支持两种安全级别：High和Maximum参考：FileSystemForensicAnalysis,BrianCarrier,2005加密磁盘类型及应用BIOS设置硬盘密码–多数商务型笔记本（如Thinkpad、DellLatitude）均支持在BIOS直接设置硬盘密码)ATA加密硬盘取证方法取证方法–获取磁盘固件信息直接提取硬盘密码–采用固件替换法绕过硬盘密码保护取证工具–ATOLAInsight–PC-3000UDM

4、AATA加密硬盘取证方法使用ATOLAInsight提取硬盘密码或直接解密加密磁盘类型及应用2.加密芯片–基于独立加密芯片的磁盘加密，可采用工业级加密算法（如AES）实现数据真正加密。–符合美国FIPS197信息处理标准http://www.intel.com/content/dam/www/public/us/en/documents/technology-briefs/ssd-320-series-data-security-features-brief.pdf加密磁盘类型及应用2.加密芯片–越来越多

5、的硬盘厂商提供支持加密的移动硬盘，内置硬盘加密管理工具。西部数据WDDriveUnlock工具芯片加密磁盘取证提取生物特征进行解密提取相关密码辅劣解密加密磁盘类型及应用3.全盘/卷加密–常见的加密软件BitLocker、SafeBoot、PGP、CheckPoint等特点–基于软件的磁盘加密部署起来更灵活简单，适用性强。–支持对操作系统所在分区也加密，大大提升系统分区的数据安全性。常见全盘加密软件McAfeeSafeboot/McAfeeEndpointEncryptionBitlocker/Bi

6、tLockerToGoCheckPointPointSecPC/EndpointFullDiskEncryptionPGPWDE/SymantecEncryptionUtimacoSafeGuardEasyWinMagicSecureDocGuardianEdgeSophosSafeGuardFileVault(MacintoshOSX)LUKS(Linux)全盘加密的模式特征存储类型偏移量特征字符位置VBRHex：EB52902D4656452D46532DBitLocker(Vista)

7、Offset0扇区ASCII:ëR

8、¬-FVE-¬FS-VBRHex：EB58902D4656452D46532DBitLocker(Win7/Win8)Offset0扇区ASCII:ëX¬

9、-FVE-FS-MBRHex:53616665426F6F74SafeBootOffset3扇区ASCII:SafeBootVBRHex:50726F74656374CheckPointFDEOffset90扇区ASCII:ProtectGuardianEdgeEncryptionMBRHex:5043474DOffs

10、et6Plus/Anywhere扇区ASCII:PCGMSymantecEndpointMBRHex:5043474DOffset6Encryption扇区ASCII:PCGMSophosSafeguardMBROffsetHex:53474D3430303AEnterprise扇区119ASCII:SGM400MBROffsetHex:5347453430303ASafeguardEasy扇区144ASCII: