암호화 된 하드 디스크 유형 찾기

암호화 된 임의의 하드 디스크를 손에 넣습니다. 데이터 레이아웃에서 어떤 종류의 암호화가 사용되었는지 확인할 수 있습니까?

즉 Bitlocker, Truecrypt, dcrypt?

— 집게
소스

이 질문의 목적 상 부팅 드라이브의 디스크입니까 아니면 보조 하드 드라이브입니까?

— lzam

로 이동 한 경우이 질문은 아마도 더 나은 응답을받을 것입니다 security.stackexchange.com

— Vinayak

답변:

Bitlocker 또는 dcrypt에 대해서는 잘 모르지만 (사용한 적이 없음) 16 Systems의 TCHunt 는 컴퓨터에서 TrueCrypt 볼륨을 매우 빠르게 감지 할 수있었습니다.

16 Systems의 또 다른 유틸리티 인 TCHead 는 TrueCrypt 헤더를 해독 할 수 있었으며 (물론 암호를 사용하여) 의심되는 TrueCrypt 볼륨에 대해 강제 암호를 무차별 처리하는 데 사용할 수 있습니다.

TCHunt 작동 방식 (16 Systems 웹 사이트에서) :

TCHunt는 매우 간단한 제거 프로세스를 사용합니다.
프로그램은 파일 속성을보고 파일 바이트를 검사합니다.
파일이 충분히 큰 경우 (기본 15MB이지만 조정할 수 있음)
그런 다음 파일 크기 모듈로 512가 0과 같은지 확인하기 위해 해당 파일을 테스트합니다.

파일이 해당 테스트를 통과하면 다른 테스트를 수행하여
파일 내용이 무작위 인 경우 그리고 최종 테스트로 프로그램은 파일을 확인합니다
몇 가지 일반적인 파일 헤더. 그게 전부 TCHunt입니다.

기본적으로 TCHunt는 크기가 15MB 이상인 파일 만 찾습니다 (위에서 언급 한 것처럼). 이 값은 프로그램의 소스 코드 에서 쉽게 변경 하고 사용자가 제공 한 최소 파일 크기 값으로 작동하도록 다시 컴파일 할 수 있습니다.

— 비나 야크
소스

TCHunt는 오탐 (false positive)을 생성 할 수 있으며 생성합니다.

— Vinayak

Windows 명령 줄 도구 인 Magnet Forensics에서 무료로 암호화 된 디스크 감지기 를 사용할 수 있습니다.

암호화 디스크 탐지기 (2013 년 4 월 22 일 릴리스 된 v2)는 사고 대응 중에 컴퓨터 시스템에서 암호화 된 볼륨을 신속하고 비침 해적으로 확인할 수있는 명령 줄 도구입니다.

현재 암호화 된 디스크 탐지기는 TrueCrypt, PGP, Safeboot 및 Bitlocker 암호화 된 볼륨을 감지하며 새로운 릴리스마다이 목록에 추가됩니다.

— 해리
소스

Encrypted Disk Detector는 전체 디스크 암호화 또는 이미 마운트 된 볼륨 만 검색 하므로 HDD 파티션에 TrueCrypt 볼륨이 저장된 경우 EDD가이 를 감지 할 수 없음 을 추가하고 싶습니다 . 그들의 웹 사이트에서 :[EDD] checks for full disk encryption or mounted encrypted volumes

— Vinayak

@Vinayak :이 텍스트는 도구 설명에서 찾을 수 없으며 그러한 제한 이있는 법의학 도구 는 아닙니다 . OP가 시도하면 답을 알 수 있습니다.

— harrymc

텍스트는 실제로 도구에 대한 블로그 게시물에서 가져 왔습니다. 여기에서 찾을 수 있습니다 : magnetforensics.com/…

— Vinayak

그리고 나는 TCHunt보다 낫거나 더 빠를 것으로 기대하면서 이미 그것을 사용해 보았습니다. 부팅 섹터가 손상되어 공장 (복구?) 파티션을 암호화 된 것으로 탐지하는 오 탐지를 생성했습니다.

— Vinayak