Attacks on VeraCrypt, RAM Encryption. Computer Forensics.
HTML-код
- Опубликовано: 6 июл 2024
- Telegram Channel: t.me/TorZireael1
My Mini Research on Attacks on VeraCrypt, TrueCrypt, and Bitlocker
Text Version of the Video, Especially Useful for Those Who Don't Understand Russian. Use Auto-Translation in Your Browser: t.me/TorZireael1/234
В связи с полученными новыми знаниями, а также потому мне натыкали уже, чтоб не вводить Вас заблуждение:
После записи видео уже понял свои ошибки. Суть аппаратного шифрования ОЗУ в том, что это спасает от дампа вне сессии, например в случае извлечения ОЗУ холодным методом и дампа ее, или при помощи перезагрузки.
Я же делал дамп внутри сессии, и соответственно для операционной системы этот дамп не был шифрованным. Однако, я не знаю будет ли на виртуальных машинах шифрованная память относительно хостовой машины, например в случае виртуализации KVM, виртуальная машина имеет доступ напрямую к железу.
Буду признателен за разъяснения этой темы и любую интересную информацию.
Последний аргумент криптоанализа, ректальный термостимулятор долговременной памяти
Главное на хакера-БДСМщика не попасть, а то вместо "ААААА ПАМАГИТИ ВОТ ВАМ МОЙ ПАРОЛЬ" он будет кричать "О ДА ТОВАРИЩ МАЙОР НАКАЖИ МЕНЯ СИЛЬНЕЕ"
криптоанализатор это называется
Про Vera Crypt интересно будет послушать, да и про ОЗУ тоже
Есть программки которые очищают ОЗУ (например AnonYou) Могут ли такие программы помочь от дампа памяти?
А сама VeraCrypt кстати умеет шифровать ключи в ОЗУ, можно включить в меню, настройка называется "Шифровать ключи и пароли в ОЗУ" это как раз от случаев считывания паролей с ОЗУ спецсредствами форензики.
Да, я так и хотел проверить, эту функцию, но как видишь даже и без нее спец. софт не может найти в дампе ключ. Я хотел найти ключ в нешифрованной ОЗУ, а потом включить это шифрование и проверить с этой галочкой, но софт не нашел даже без нее.
Как я понимаю, скрамбл оперативки помогает именно от физического вмешательства, то есть заморозки. Оно работает как драйвер - шифрует, но предоставляет операционной системе номальное адресное пространство поверх физического (зашифрованного).
Лайк авансом!
огонь
Почему на SSD M2 нельзя зашифровать полностью системный диск Верой ? Считаю это большая недоработка у них. Приходится с отдельным контейнером работать и Битлокером системный шифровать 🔒
Как я понял, оно не может шифровать диск с GPT разметкой
Почему нельзя, я шифровал m2 верой, все работает
@@TorZireael1 проверь, скорее всего у тебя разметка диска mbr, поэтому получилось. Я тоже, как ни старался, целиком диск не шифрует с GPT разметкой, этот пункт в вере просто неактивен
@@Booroondook1 Ты скорее всего что-то не так делаешь, я много системных накопителей шифровал верой, и много среди них было M2 SSD nvme, и все рабатало. Не знаю в чем конкретно у тебя проблема из-за которой ты не можешь включить шифрование, но это проблема не у всех
@@TorZireael1 там по сути трудно что-то не так сделать, даже и не знаю куда копать тогда (
Блин, мы не бандиты, мы просто очень не любим когда наше государство творит ерунду и судит нас за слова.
Не вижу ничего обидного в этом слове)
@@TorZireael1 Нет, я не про это. А про то что сегодня все эти механизмы используются не для того чтобы ловить преступников, а для того чтобы ловить диссидентов и политически проактивных граждан. Меня удручает что весь наш мир катится в Паноптикум и всеобщий КНДР.
РИЛ
VeraCrypt отличная вещь, у неё есть только одна огромная проблема - очень сильно снижает производительность SSD, даже на каком нибудь ультрабыстром NVMe SSD со скоростью чтения под 7000 мб c VeraCrypt будет 1000 мб и катастрофические просадки по рандомному чтению и записи.
Это пока неисправимо из-за архитектуры того же VeraCrypt. Тот же Bitlocker даже если настроить шифрование XTS-AES 256 бит почти не влияет на скорость, но там уже проблемы другого рода - с закрытостью исходного кода и вероятными закладками от АНБ.
Это не проблема. Тоже самое что назвать проблемой необходимость заправлять машину, чтоб ездить на ней. От этого никуда не уйдешь, шифрование замедляет скорость SSD, шифрование ОЗУ - скорость ОЗУ и тд. Абсолютно любое шифрование так работает, не нравится - не шифруй.
@@TorZireael1 ну это понятно. Скорость работы это ничто по сравнению с теми проблемами которые могут возникнуть если уважаемый *тщ. майор* получит доступ к чувствительным файлам.
@@mihay8899 а если не получит то подкинет запрещённых mp3'шек)
а зачем делать дамп памяти, если контейнер уже примонтирован и можно просто скопировать оттуда все файлы?
как с LUKS справляется было бы интересно посмотреть
да тоже интересно было бы посмотреть
Может ли дамп оперативной памяти дать доступ к воулту пасворд-менеджеров? Вообще насколько пасворд менеджеры можно считать надежным хранилищем? Я нуб если что, палками не бейте)
Swap с жестокого диска? Или эти контейнеры с ключами умеют просить ОС не сохранять в swap некоторые страницы ОЗУ?
какие книги посоветуешь читать про хакинг и кибербезопасность
Бро можно видео про айклауд ?
А если у Веры есть файл-ключ (может даже не один), и он на левой флешке, которая спрятана. Таким образом, даже если атакующий получит дамп оперативки с паролем, то контейнер не расшифрует?
Смотри, файл ключ используется для генерации мастер-ключа, который храниться в ОЗУ после расшифровки. Т.е. имея дамп ОЗУ, ты имеешь этот ключ и можешь имея его расшифровать контейнер уже не имея ни пароля, ни файл ключа, но на практике как видно даже имея дамп ОЗУ не получается найти в нем ключ. Касательно файл-ключа, его не сложно найти, даже если он будет на флешке, которая спрятана и тд.
Классное видео! Спасибо!
Попробуйте ломануть Secret Disk от Aladdin
а чего его ломать его уже поломали) на варезе активатор лежит)
нафлешку все и прятать флешку. или жестк диск прятать постоянно
смотрю вот, смотрю, и не могу понять ... если в оперативной памяти лежит ключ, скорее всего - контейнер примонтирован, битлокер подключен, да и веракрипт - тоже примонтирован.. зачем всё это?
я бы, если честно, послушал про аппаратное шифрование дисков - при подключении спрашивающее пароль но производящее все действия по шифрованию - внутри себя ...
"и веракрипт - тоже примонтирован.. зачем всё это?"
ну ты же не будешь сидеть всё время у кого-то дома перед компом и молиться что бы свет не пропал?
Вы смотрели новое интервью на Люди PRO с полицейским из отдела "К"?
нет, не смотрел
@@TorZireael1 в целом довольно интересное, если время будет, гляньте.
Но там без технических подробностей.
чуваки говорящие про терморектальный анализ..
что вы такое должны были сделать.. чтобы в рядовой ситуации ее к вам применили?)
необходимая, базовая возможность скрыть важные файлы от проходимцев или вирусни это весьма важно
так шифрование памяти - это как раз на случай заморозки и перестановки памяти в другую мать ..... а так то оно конечно всё найдется на той же машине где шифруется )
Знаю устройство достаточно эффективное по расшифровке любых крипто контейнеров, терморектальный крипто анализатор называется. По опыту, часто полиция прибегает к таким устройствам или подобным методам воздействия в вашем регионе?
Именно в киберполиции при моей практике никто пытки не применял
@@TorZireael1 ruclips.net/video/pSyHNd7D-kU/видео.htmlsi=Fa9Bsz8dOv5mogSm&t=1200 . Фраза "В кавычках" - я как раз подумал что ты хотел сказать о возможных пытках.
ruclips.net/video/pSyHNd7D-kU/видео.htmlsi=B2gSTPW-tWVE4Kdn&t=1281 и здесь тоже намекаешь на "Мероприятия" которые могут быть применены в отношении преступника.
Все выше я понял как пытки :)
@@olegkyzymenko2993 Смотри, конкретно на моей практике не применялись пытки, это 100% правда, но это не значит что их не будут применять другие, это тоже нужно правильно понимать.
@@TorZireael1 просто уводили в др. комнату и через некоторое время клиент чудесным образом все рассказывал, а так нее, ну какие пытки в 21 веке)
Против терморектального метода и насаживания на бутылку у VeraCrypt есть режим шифрования криптоконтейнеров с двойным дном, вводишь один пароль и открывается что-то не очень наказуемое, серого оттенка, а при вводе второго открывается вся чернуха. Т-щу майору при пытках сообщаете первый пароль и все, он увидит что там нет ничего наказуемого уголовно и усё... выламывание пальцев дверью, выдергивание ногтей, пытки паяльником или насаживание на бутылку прекратятся
Когда нужно быстро -пальцы в двери..любые пароли и от VeraCrypt и от TrueCrypt,и прочие.
Сам так делал? или тебя так пытали? ))
@@TorZireael1 Ты хочешь сказать не пытают и всё происходить согласно кодексам?)) P.S.Задумайся почему люди себя оговаривали и попадали под расстрел,а потом спустя время находили настоящих убийц. (Витебское дело и масса других,это и в СССР было и сейчас и по-сути во многих странах..)
смысл аппаратного шифрования в том, что жидкий азот уже не поможет. а вот удивляться, что в дампе расшифрованной памяти нашлись ключи - это странно. она аппаратно зашифрована, на уровне физического хранения в микросхемах, но винда-то работает уже с расшифрованной.
к такому выводу тоже сегодня пришел, что как раз от прямого снятия ОЗУ с системы это не спасет, спасет как раз от двух других описанных методах
bios от linux но не на всех ноутбуках работает
Файл-контейнер ещё найти нужно на диске, если конечно вы его не храните с очевидным расширением файла и позволяете тому же VeraCrypt сохранять путь к контейнеру. А про TrueCrypt услышать спустя лет 10, как инструмент был скомпрометирован, это даже забавно.
практически любой криминалистический софт способен их обнаружить, я про сами файлы, их по сути бесполезно прятать
@@TorZireael1 интересно, как он их может обнаружить, если никаких сигнатур. Даже метаданных о последних изменениях нет, только дата создания самого файла-контейнера. Если маскировать файл под какой-то тип известный - может быть ещё можно распознать. Что это, скажем, совсем не .AVI. Но если како-нибудь произвольный файл, который может быть просто похож на служебный файл какой-то программы (типа свопа какого-то)... что, криминалист будет код каждой программы изучать, что там и как пишется в файлы? Вы очень теоретически рассуждаете. Для фильмов художественных сюжет, конечно, сгодится, но если пользователь предусмотрел сценарий поиска файла и принял меры необходимые, то вероятность обнаружения очень низка. К тому же, в VeraCrypt даже предусмотрены скрытые разделы в контейнерах, что уж точно совсем никак не обнаружить в мешанине данных. Неужели этого не знаете? Вы прямо начинаете сами себя разоблачать
Откройте в HEX .avi фильм и откройте криптоконтейнер веракрипт тем же HEX и сравните то, что видите. Криптоконтейнеры имеют свою сигнатуру, очень отличную от других файлов, и по этой сигнатуре и работает специальный парсеры, EnCase, Magnet Axiom, Oxygen и множество других производителей форензик софта с этим отлично справляется. Или вы реально думали что это все вручную делается экспертами, каждый файл открывается и проверяется?
И я не заявлял что я эксперт криминалист в области форензике, и достаточно четко об этом в конце видео сказал.
Не понимаю почему вы вообще лезете спорить в теме, в которой не понимаете базовых вещей, если недостаточно разбираетесь в теме?
@@TorZireael1 [рукалицо] о чём я вам и толкую, что поиск и сравнение с "другими известными" типами файлов даст только предположения, что "странные" файлы могут быть контейнерами. Никаких особенных для Veracrypt сигнатур нет. Похоже, это вы вопрос не до конца знаете, полагаясь только на свои "базовые знания". Скорее наоборот - индикатором может быть наличие большого числа случайных данных, энтропия, отсутствие заголовка и вообще структур.
ты можешь предположить только, что это контейнер, но чей это контейнер - сиди гадай. И таких претендентов на анализ может быть не один десяток. Чуете, как с ростом числа вариантов растет сложность? Задача неподъемная. Это первый момент.
ваше предположение, что я якобы думаю про "ручную работу" экспертов - это только ваше предположение, говорящее само за себя. Слабая тактика защиты позиций, когда помакали носом в элементарные упущения.
документацию по веракрипту хотя бы почитайте, там для таких "не экспертов", клепающих свои "экспертные" ролики, довольно доступно описано решение этой уязвимости с вычислением контейнеров. Есть такой термин в профессиональной среде безопасников "Plausible deniability". В документации к веракрипт тоже найдете соответствующий раздел и ознакомитесь.
Суть сей басни такова, что такие носители "базовых знаний", не обладая реальным опытом и знаниями специальными, разносят по Сети байки о всесильности и "высоком потенциале атакующего" в лице госструктур. Если бы это было так, то им бы не приходилось прибегать к насильственным методам и манипуляциям в делах определенных.
Наличие скрытой части контейнера вы уж точно никак и никогда не докажете, даже смонтировав и расшифровав сам контейнер. Даже тупой записью данных на смонтированный диск с целью достичь отказа записи при заполнении основного раздела - не добьетесь.
Так что, иногда лучше просто документации продуктов читать, а не нех-редакторы советовать для анализа (детский сад)). Ещё у нас раньше говорили: "иногда лучше жевать, чем говорить". А если кто-то тебе бесплатно доп информацию даёт по теме интересующей, то берешь и прибавляешь свой багаж... ну, или выделываешься со своими "базовыми вещами".
Я, например, на канал подписался. Есть много годного. Я не выпендриваюсь, что меня для аудита безопасности нанимают организации, работающие в условиях повышенных рисков, Просто, как уже сказал много раз выше, постоянно апдейты знаний провожу.
успехов и с уважением!
Аппаратное шифрование ОЗУ сработает, если попытаться заморозить мозги и считать их на другом устройстве.
Мммм... линупсы как там поживают? Так же печально, или получше им?:)
шифрованные лвм например, и т.д. )
провода мшки с вирусами что заражают биос тож ставят. аппратнїе закладки назвается. хрен увидиш шо за тобои следят
Классный ролик, спасибо за роботу
Vera Crypt bezpolezna, esli primeniajut pytki
Ещё, как юрист-безопасник уже добавлю: сотрудники полиции не лезут исследовать носители информации, им это ни УПК, ни другие нормы не позволяют.... да и знания тоже. Изъятые носители отвозят экспертам. Видно, что автор канала - теоретик в некоторых вопросах.
Как юрист вы должны понимать, что есть де-юре, и де-факто. и как юристу я не буду приводить 100-тни примеров как де-юре и де-факто, потому что и сами видите происходящее и можете сопоставить. Касательно теоретика, я как раз практик, я был оперативным сотрудником киберполиции, и описанные в видео действия в рамках осмотра техники в ходе обыска выполнял.
замкИ и законы для честных людей... а такие вещи делают против безчестного отродья
@@TpoJioJio47 это да, в некоторых наших СНГшных странах (не будем показывать пальцем, это не одна только страна) закон как дышло - куда повернул, так и вышло.
флеху с удаленнм доступом ставят уборщиц
чо
Оу, пардон, вы ж с Украины. А я тут сравниваю с правозащитным опытом в РФ....
Не нужно сравнивать опыт правозащитный и опыт полицейских, одни пытаются доказать вину, вторые невиновность, разные цели, задачи и методы. Хотя конечно УПК и УК один. Да нельзя по УПК и флешку вставлять в ходе осмотра / обыска, но если не сделаешь то можно технику и вообще не забирать, смысл если она зашифрована или переписку будут удалены? Поэтому ищется золотая середина, когда все действия подробно протоколируются, флешка вкладывается к протоколу, + понятые, + эксперта можно взять на мероприятия и тд.
@@TorZireael1 на деле, никаких экспертов, протокол следователь ведет, как ему вздумается, адвоката держат за дверью. Флешки и другие носители - в мешочек складывают и всё. Хотя, по УПК можно ходатайствовать о копировании данных с изымаемых носителей. В Украине, видимо, по-другому
до одного места єто все. стааят апарпную закладку в виде мїшки или провода к монитору или клавіатура
Я виндой не пользуюсь. И контейнеры не храню локально.
я чего взор такой растерянный? )))))))))))))))))))
Лайк авансом!