Elcomsoft Forensic Disk Decryptor

Мгновенная расшифровка или монтирование криптоконтейнеров BitLocker, FileVault 2, PGP Disk, TrueCrypt и VeraCrypt с помощью паролей, депонированных ключей и ключей шифрования, извлечённых из образа оперативной памяти, файла подкачки или гибернации.

  • Расшифровка томов BitLocker (в том числе To Go), FileVault 2, PGP Disk, TrueCrypt и VeraCrypt
  • Извлечение ключей шифрования из образа оперативной памяти, файлов подкачки и гибернации, использование паролей и депонированных ключей
  • Полная расшифровка или мгновенное монтирование зашифрованных томов в виде обычных дисков
  • Поддержка физических устройств, образов дисков и зашифрованных контейнеров
  • Отображает все найденные зашифрованные тома, сохраняет все найденные ключи
  • Мгновенное извлечение метаданных шифрования для восстановления текстового пароля к зашифрованным дискам TrueCrypt, VeraCrypt, BitLocker, FileVault, PGP Disk и LUKS/LUKS2, дискам и контейнерам Jetico BestCrypt

Поддерживает: BitLocker, BitLocker To Go, FileVault 2, LUKS/LUKS2, PGP Disk, TrueCrypt и VeraCrypt, BestCrypt в режимах зашифрованных томов и шифрования всего диска; XTS-AES в BitLocker из ноябрьского обновления Windows 10 (сборка 1511); тома BitLocker, защищённые посредством модуля TPM; контейнеры Jetico BestCrypt 9

Common license $ 699
Купить

Новые функции

Выбор алгоритмов шифрования и хеширования для TrueCrypt/VeraCrypt

Криптоконтейнеры TrueCrypt и VeraCrypt позволяют пользователю сменить как алгоритм шифрования по умолчанию, так и хеш-функцию, использующуюся для генерации ключа шифрования из пароля. Информация об этих алгоритмах в заголовке контейнера не сохраняется. Соответственно, атака, осуществлённая с установками "по умолчанию", не сможет найти пароль, если пользователь сменил один или оба алгоритма. В новой версии Elcomsoft Forensic Disk Decryptor добавлена возможность указать алгоритмы шифрования и хеширования, которые будут использоваться в процессе атаки.

Поддержка дисков и контейнеров LUKS2

Добавлена возможность извлечения метаданных шифрования для дисков и контейнеров, защищённых по спецификации LUKS2.

Шифрование дисков BitLocker, FileVault 2, LUKS/LUKS2, PGP Disk, TrueCrypt и VeraCrypt, BestCrypt

Elcomsoft Forensic Disk Decryptor предназначен для расшифровки дисков, защищённых посредством BitLocker, FileVault 2, PGP Disk, TrueCrypt и VeraCrypt и проведения криминалистической экспертизы хранящихся в зашифрованных томах данных. Поддерживаются как фиксированные, так и портативные носители, включая PGP Disk в режиме шифрования всего диска, а также съёмные диски, защищённые с помощью BitLocker To Go.

С помощью Elcomsoft Forensic Disk Decryptor можно как полностью расшифровать содержимое защищённого тома, так и работать в реальном времени с подключением зашифрованных томов и расшифровкой выбранных данных «на лету». Для дисков, защищённых посредством распространённого в Linux стандарта LUKS/LUKS2, поддерживается извлечение метаданных шифрования, которое позволяет запустить атаку на пароль в Elcomsoft Distributed Password Recovery.

Для зашифрованных дисков и контейнеров Jetico BestCrypt поддерживается извлечение метаданных шифрования для последующего подбора пароля.

Возможности продукта

Elcomsoft Forensic Disk Decryptor открывает доступ к информации, хранящейся в зашифрованных томах, созданных утилитами шифрования диска BitLocker, PGP Disk и TrueCrypt, позволяя полностью расшифровать данные или монтировать зашифрованные тома для быстрого доступа в реальном времени с расшифровкой файлов «на лету».

Полная расшифровка, монтирование или атака

Поддерживается два режима доступа к зашифрованной информации: полная расшифровка и режим доступа в реальном времени.

Полная расшифровка защищённых данных

В этом режиме Elcomsoft Forensic Disk Decryptor автоматически расшифровывает все данные, хранящиеся в зашифрованном диске. Этот режим даёт наиболее полный доступ с защищённым данным, расшифровывая абсолютно все файлы из зашифрованного тома.

Подключение зашифрованных дисков и расшифровка данных "на лету"

В режиме работы в реальном времени доступ к данным предоставляется мгновенно. Зашифрованный диск монтируется в системе как новый диск, после чего данные можно извлечь с помощью стандартного Проводника – или любого другого инструмента для работы с файлами. Информация при этом расшифровывается «на лету», в процессе чтения данных.

Скорость считывания данных в режиме доступа в реальном времени ограничена лишь скоростью работы жёсткого диска.

Перебор паролей

В случаях, когда невозможно извлечь ни криптографический ключ, ни ключ восстановления доступа, для доступа к данным может потребоваться восстановление оригинального пароля. Elcomsoft Distributed Password Recovery позволяет провести атаку пароля, который защищает зашифрованный контейнер, с помощью ряда современных технологий, включая атаку по словарю, по маске, с использованием мутаций и прямого перебора.

Извлечение метаданных шифрования

Forensic Disk Decryptor позволяет мгновенно извлечь метаданные шифрования, необходимые для восстановления оригинального текстового пароля к зашифрованным дискам TrueCrypt, VeraCrypt, BitLocker, FileVault, PGP Disk и LUKS/LUKS2, а также контейнерам Jetico BestCrypt 9. Метаданные шифрования можно извлечь как с физического носителя, так и из файла-контейнера или образа диска. Данные шифрования сохраняются в небольшой файл, в котором содержатся все необходимые данные для проведения полноценной атаки в Elcomsoft Distributed Password Recovery.

Извлечение ключей расшифровки

Elcomsoft Forensic Disk Decryptor извлекает ключи, с помощью которых были зашифрованы данные. С помощью этих ключей расшифровка осуществляется в реальном времени – практически мгновенно.

Продукт поддерживает несколько методов извлечения ключей расшифровки.

  • Анализом файла гибернации (исследуемый компьютер выключен);
  • Анализом слепка оперативной памяти компьютера (может быть получен посредством встроенной утилиты)
  • Атакой через порт FireWire (компьютер должен быть включён, а зашифрованные тома – подключены). Для проведения атаки через порт FireWire требуется дополнительный компьютер с установленным бесплатным продуктом (например, Inception).
  • Снятие образа оперативной памяти при помощи встроенного инструмента (есть возможность запуска с USB накопителя)

Использование паролей и депонированных ключей

Elcomsoft Forensic Disk Decryptor предоставляет возможность монтировать или производить полную расшифровку зашифрованных дисков с известным паролем либо депонированным ключом. Депонированные ключи FileVault 2 могут быть извлечены из "облачного" сервиса Apple iCloud посредством Elcomsoft Phone Breaker, а ключи BitLocker могут быть получены из Active Directory либо из учётной записи пользователя Microsoft Account.

Дополнительные решения

Elcomsoft Encrypted Disk Hunter

Elcomsoft Encrypted Disk Hunter – бесплатная утилита командной строки, цель работы которой – обнаружить наличие или признаки наличия зашифрованных томов и крипто-контейнеров.

Утилитой поддерживаются зашифрованные диски TrueCrypt/VeraCrypt, BitLocker, PGP WDE, FileVault2, BestCrypt и LUKS, созданные в Windows, macOS и Linux. Для сканирования системы достаточно запустить портативную версию утилиты с любого носителя. При обнаружении зашифрованных рекомендуется не отключать питание компьютера, а снять образ оперативной памяти и осуществить поиск ключей шифрования. Если ключ шифрования будет найден, зашифрованные диски можно будет смонтировать или расшифровать без проведения длительных атак.

» Узнать больше о Elcomsoft Encrypted Disk Hunter в нашем блоге

Основные преимущества продукта

Гарантия целостности и неизменности данных

Доступ к данным и работа с зашифрованными дисками обеспечивается без изменения их содержимого. Гарантируются аутентичность и неизменность полученной информации.

Извлечение ключей для расшифровки данных

Ключ расшифровки необходим для получения доступа к зашифрованным данным и расшифровки содержимого зашифрованного диска. Elcomsoft Forensic Disk Decryptor поддерживает три метода извлечения ключей. Выбор того или иного способа зависит от того, включён или выключен исследуемый компьютер, а так же от того, существует ли возможность запустить на исследуемом компьютере программу для снятия образа («слепка») оперативной памяти.

Компьютер выключен: в этом случае ключи извлекаются из файла гибернации. Защищённые тома должны быть подключены перед выключением компьютера. Если зашифрованный диск был размонтирован перед созданием файла гибернации, извлечь из него ключи будет невозможно.

Компьютер включён: при возможности на исследуемом компьютере запускается программа для снятия слепка оперативной памяти. Содержимое оперативной памяти сохраняется в файл, из которого Elcomsoft Forensic Disk Decryptor извлекает ключи расшифровки. Зашифрованные тома в момент снятия слепка должны быть подключены; в противном случае ключ расшифровки извлечь не удастся. Подробное описание этой технологии (и полный список как коммерческих, так и бесплатных программ доступен по адресу http://www.forensicswiki.org/wiki/Tools:Memory_Imaging).

Компьютер включён в режиме ограниченного доступа: если запуск программ на исследуемом компьютере невозможен (не хватает привилегий, нет пароля от учётной записи пользователя и т.п.), извлечение ключей возможно проведением атаки через порт FireWire. Атака производится с отдельного компьютера или ноутбука, подключённого к исследуемому компьютеру по интерфейсу FireWire. Для проведения атаки используется бесплатная утилита, устанавливаемая отдельно (например, Inception: http://www.breaknenter.org/projects/inception/). Данный вид атаки даёт результат, близкий к стопроцентному. Зашифрованные тома на момент атаки должны быть подключены.

После извлечения ключей расшифровки они сохраняются в базе данных, после чего Elcomsoft Forensic Disk Decryptor предложит провести полную расшифровку содержимого крипто контейнера или подключить защищённые тома в виде новых дисков для расшифровки «на лету».

При невозможности извлечь ключи шифровании и недоступности ключей восстановления EFDD извлечёт из зашифрованного тома данные, необходимые для запуска распределённой атаки при помощи Elcomsoft Distributed Password Recovery.

Совместимость

Elcomsoft Forensic Disk Decryptor поддерживает зашифрованные тома, диски и портативные носители, защищённые с помощью BitLocker, FileVault 2, PGP Disk, LUKS/LUKS2, BestCrypt и TrueCrypt/VeraCrypt, а также образы дисков в формате RAW (DD) и VHD и VHDX. Поддерживается шифрование USB-накопителей с помощью BitLocker To Go, а также шифрование диска с помощью PGP Disk.

Видео о продукте

Системные требования

Windows

  • Windows 7
  • Windows 8
  • Windows 8.1
  • Windows 10
  • Windows 11
  • Windows Server 2008-2022
  • Порядка 8 МБ свободного места на диске
  • Административные привилегии (для создания образа оперативной памяти)
  • Образ оперативной памяти или файл гибернации, содержащий ключи шифрования (создаются в момент подключения зашифрованного тома)

Ограничения демонстрационной версии

Бесплатная демонстрационная версия Elcomsoft Forensic Disk Decryptor не позволяет сохранять ключи шифрования. В режиме расшифровки/монтирования зашифрованного диска демонстрационная версия верифицирует ключи шифрования, но данные расшифрованы не будут.

Информация о версии продукта

Elcomsoft Forensic Disk Decryptor v.2.20.1011

  • added support for LUKS2 encryption
  • minor bug fixes and performance improvements

Все программы имеют возможность удаления с помощью использования стандартных средств Microsoft Windows - через контрольную панель или, используя шорткат 'Uninstall' в меню 'Пуск'

Системные требования

Windows

  • Windows 7
  • Windows 8
  • Windows 8.1
  • Windows 10
  • Windows 11
  • Windows Server 2008-2022
  • Порядка 8 МБ свободного места на диске
  • Административные привилегии (для создания образа оперативной памяти)
  • Образ оперативной памяти или файл гибернации, содержащий ключи шифрования (создаются в момент подключения зашифрованного тома)

Ограничения демонстрационной версии

Бесплатная демонстрационная версия Elcomsoft Forensic Disk Decryptor не позволяет сохранять ключи шифрования. В режиме расшифровки/монтирования зашифрованного диска демонстрационная версия верифицирует ключи шифрования, но данные расшифрованы не будут.

Информация о версии продукта

Elcomsoft Forensic Disk Decryptor v.2.20.1011

  • added support for LUKS2 encryption
  • minor bug fixes and performance improvements

Все программы имеют возможность удаления с помощью использования стандартных средств Microsoft Windows - через контрольную панель или, используя шорткат 'Uninstall' в меню 'Пуск'

Купить Elcomsoft Forensic Disk Decryptor

Common license
$ 699
Купить