Как открыть зашифрованные файлы в Windows 10

Что нужно сделать?

Используйте диспетчер сертификатов

• Войдите в учетную запись пользователя, которая зашифровала файл, к которому вы хотите получить доступ
• В поле поиска введите certmgr.msc и нажмите Enter, чтобы открыть диспетчер сертификатов.

• Откройте категорию Личные на левой панели.

• Нажмите Сертификаты .
• В разделе Issued To выберите сертификат, соответствующий имени вашей учетной записи.
• Откройте меню Действие .

• Перейдите на Все задачи .

• Выберите Экспорт и следуйте инструкциям в мастере экспорта .
• Нажмите Да, экспортировать закрытый ключ и Обмен личной информацией при появлении соответствующего запроса.
• Введите пароль для сертификата и нажмите Готово .
• Перенесите файл сертификата на компьютер, на котором вы хотите открыть файл
• Откройте Диспетчер сертификатов на этом компьютере.
• Выберите Личный .
• Откройте меню Действие .
• Перейдите на страницу Все задачи и выберите Импорт .
• Следуйте инструкциям в мастере импорта . Выберите файл сертификата, который вы переместили, введите пароль и установите флажок Пометить этот ключ как экспортируемый .
• Выберите Личный в качестве места для размещения сертификата.
• Нажмите Готово .
• Дважды щелкните зашифрованный файл, чтобы открыть его. Переданный вами сертификат даст вам доступ к файлу.

– СВЯЗАННО: Вот как открыть файлы TGZ в Windows 10

3 bios и загрузочный диск

Отключаем компьютер от питания сети, разбираем корпус системного блока и находим на материнской плате маленькую батарейку, которая отвечает за системную память bios’а.

Вытаскиваем её и кладём в сторону на десять – пятнадцать минут, после этого вставляем обратно. При последующем запуске системы, жмём и удерживаем delete, заходим в bios и клавишей F10 сохраняем все настройки.

К последним варианту стоит прибегать, если учётная запись скрытого админа была изначально защищена паролем.

Для её взлома в Интернете можно найти большое количество специальных программ, которые нужно будет записать на обыкновенный гибкий диск (обычная болванка). При включении компьютера диск загрузится и запустит эту хитрую программку. Программа удалит все пароли с учётных записей, после чего вы беспрепятственно зайдёте в любую учётную запись.

То, что операционные системы Windows пользователи (чаще всего администраторы компьютеров) защищают от несанкционированного использования, например в свое отсутствие за компьютером, ни у кого удивления не вызывает. Однако зачастую админ может не дать зарегистрированному юзеру достаточно прав на выполнение каких-либо действий или выставление персональных настроек, в связи с чем может потребоваться войти в систему именно с администраторской регистрацией.

Взять на себя ответственность за файл или папку

Владелец файла или папки контролирует разрешения, установленные для файла/папки, и кому они предоставляются. Разрешение на владение или восстановление прав пользователей на файлы и каталоги – это минимальные требования, необходимые для выполнения этой процедуры. Сделать это:

• Откройте Проводник и найдите файл или папку, владельцем которой вы хотите стать.
• Нажмите правой кнопкой мыши файл или папку, выберите Свойства .
• Нажмите Безопасность .
• Нажмите Дополнительно , а затем нажмите Владелец .
• Нажмите Изменить и выполните одно из следующих действий:

1. Чтобы изменить владельца на пользователя или группу, которых нет в списке, нажмите Другие пользователи и группы и в введите имя объекта для выбора (примеры) , введите имя пользователя или группы, а затем нажмите ОК .
2. Чтобы изменить владельца на пользователя или группу в списке, в поле Изменить владельца на нажмите нового владельца.

Примечание. Вы можете изменить владельца всех субконтейнеров и объектов в дереве, установив флажок Заменить владельца субконтейнеров и объектов . Это необязательно.

Администратор может стать владельцем любого файла на компьютере. Однако назначение владельца может потребовать повышения разрешений с помощью контроля доступа пользователей.

Пользователь, обладающий привилегией Восстановление файлов и каталогов , может дважды щелкнуть Другие пользователи и группы и выбрать любого пользователя или группу, для которых необходимо назначить владельца.

Примечание. Группа “Все” больше не включает группу анонимного входа.

– СВЯЗАННО: 6 вещей, которые нужно делать, когда Windows 10 не открывает файлы JPG

Bitlocker to go

Начиная с «семерки» в Windows появилась возможность шифровать флешки, USB-HDD и прочие внешние носители. Технология под названием BitLocker To Go шифрует съемные накопители точно так же, как и локальные диски. Шифрование включается соответствующим пунктом в контекстном меню «Проводника».

Для новых накопителей можно использовать шифрование только занятой области — все равно свободное место раздела забито нулями и скрывать там нечего. Если же накопитель уже использовался, то рекомендуется включить на нем полное шифрование. Иначе место, помеченное как свободное, останется незашифрованным. Оно может содержать в открытом виде недавно удаленные файлы, которые еще не были перезаписаны.

Даже быстрое шифрование только занятой области занимает от нескольких минут до нескольких часов. Это время зависит от объема данных, пропускной способности интерфейса, характеристик накопителя и скорости криптографических вычислений процессора. Поскольку шифрование сопровождается сжатием, свободное место на зашифрованном диске обычно немного увеличивается.

При следующем подключении зашифрованной флешки к любому компьютеру с Windows 7 и выше автоматически вызовется мастер BitLocker для разблокировки диска. В «Проводнике» же до разблокировки она будет отображаться как диск, закрытый на замок.

Здесь можно использовать как уже рассмотренные варианты обхода BitLocker (например, поиск ключа VMK в дампе памяти или файле гибернации), так и новые, связанные с ключами восстановления.

Если ты не знаешь пароль, но тебе удалось найти один из ключей (вручную или с помощью EFDD), то для доступа к зашифрованной флешке есть два основных варианта:

• использовать встроенный мастер BitLocker для непосредственной работы с флешкой;
• использовать EFDD для полной расшифровки флешки и создания ее посекторного образа.

Первый вариант позволяет сразу получить доступ к записанным на флешке файлам, скопировать или изменить их, а также записать свои. Второй вариант выполняется гораздо дольше (от получаса), однако имеет свои преимущества. Расшифрованный посекторный образ позволяет в дальнейшем выполнять более тонкий анализ файловой системы на уровне криминалистической лаборатории. При этом сама флешка уже не нужна и может быть возвращена без изменений.

Полученный образ можно открыть сразу в любой программе, поддерживающей формат IMA, или сначала конвертировать в другой формат (например, с помощью UltraISO).

Разумеется, помимо обнаружения ключа восстановления для BitLocker2Go, в EFDD поддерживаются и все остальные методы обхода BitLocker. Просто перебирай все доступные варианты подряд, пока не найдешь ключ любого типа. Остальные (вплоть до FVEK) сами будут расшифрованы по цепочке, и ты получишь полный доступ к диску.

Замена центра специальных возможностей windows командной строкой

Для создания новой учётной записи на запароленном компьютере прибегнем к помощи командной строки. Её можно будет вызвать на экране блокировки — в предзагрузочном состоянии Windows, где осуществляется выбор учётных записей для входа в систему.

Но запуск командной строки на экране блокировки изначально не предусмотрен – нет ни специальной кнопки, ни горячих клавиш. Поэтому прежде необходимо позаботиться о возможности запуска командной строки на экране блокировки. Для этого придётся временно пожертвовать одной из функций, доступных на экране блокировки Windows — Центром специальных возможностей .

Позднее при необходимости эту функцию можно вернуть на место. А пока что она будет заменена на командную строку Windows. То есть, кнопкой вызова Центра специальных возможностей будет запускаться командная строка .

Именно для осуществления такой замены нам и понадобится установочный диск Windows. Это может быть установочный диск любой современной системы от Microsoft как то: настольные реакции Windows 7, 8.1, 10, серверные редакции Windows Server 2008 (R2), Server 2021 (R2), Server 2021.

Как использовать bitlocker

Разберем практическую часть на примере Windows 10. В сборке 1607 BitLocker можно включить через панель управления (раздел «Система и безопасность», подраздел «Шифрование диска BitLocker»).

Однако если на материнской плате отсутствует криптопроцессор TPM версии 1.2 или новее, то просто так BitLocker использовать не удастся. Чтобы его активировать, потребуется зайти в редактор локальной групповой политики (gpedit.msc) и раскрыть ветку «Конфигурация компьютера —>

Административные шаблоны —> Компоненты Windows —> Шифрование диска BitLocker —> Диски операционной системы» до настройки «Этот параметр политики позволяет настроить требование дополнительной проверки подлинности при запуске». В нем необходимо найти настройку «Разрешить использование BitLocker без совместимого TPM…» и включить ее.

В соседних секциях локальных политик можно задать дополнительные настройки BitLocker, в том числе длину ключа и режим шифрования по стандарту AES.

После применения новых политик возвращаемся в панель управления и следуем указаниям мастера настройки шифрования. В качестве дополнительной защиты можно выбрать ввод пароля или подключение определенной USB-флешки.

На следующем этапе нам предложат сохранить копию ключа на случай восстановления.По умолчанию предлагается отправить ее на серверы Microsoft, записать в файл или даже напечатать.

Хотя BitLocker и считается технологией полнодискового шифрования, она позволяет выполнять частичное шифрование только занятых секторов. Это быстрее, чем шифровать все подряд, но такой способ считается менее надежным. Хотя бы потому, что при этом удаленные, но еще не перезаписанные файлы какое-то время остаются доступными для прямого чтения.

После настройки всех параметров останется выполнить перезагрузку. Windows потребует ввести пароль (или вставить флешку), а затем запустится в обычном режиме и начнет фоновый процесс шифрования тома.

В зависимости от выбранных настроек, объема диска, частоты процессора и поддержки им отдельных команд AES, шифрование может занять от пары минут до нескольких часов.

После завершения этого процесса в контекстном меню «Проводника» появятся новые пункты: изменение пароля и быстрый переход к настройкам BitLocker.

Обрати внимание, что для всех действий, кроме смены пароля, требуются права администратора. Логика здесь простая: раз ты успешно вошел в систему, значит, знаешь пароль и имеешь право его сменить. Насколько это разумно? Скоро выясним!

Ключ восстановления

Помимо FVEK, VMK и SRK, в BitLocker используется еще один тип ключей, создаваемый «на всякий случай». Это ключи восстановления, с которыми связан еще один популярный вектор атаки. Пользователи боятся забыть свой пароль и потерять доступ к системе, а Windows сама рекомендует им сделать аварийный вход.

В настройках по умолчанию ключ экспортируется как простой текстовый файл с узнаваемым именем: «Ключ восстановления BitLocker #», где вместо # пишется идентификатор компьютера (да, прямо в имени файла!). Сам ключ выглядит так.

Если ты забыл (или никогда не знал) заданный в BitLocker пароль, то просто поищи файл с ключом восстановления. Наверняка он будет сохранен среди документов текущего пользователя или на его флешке. Может быть, он даже напечатан на листочке, как это рекомендует сделать Microsoft. Просто дождись, пока коллега уйдет на перерыв (как всегда, забыв заблокировать свой комп) и приступай к поискам.

Лос-аламосский принцип

Задачу дешифрования дисков BitLocker упрощает еще и то, что в Microsoft активно продвигают альтернативный метод восстановления доступа к данным через Data Recovery Agent. Смысл «Агента» в том, что он шифрует ключи шифрования всех накопителей в пределах сети предприятия единым ключом доступа.

Идея использовать один ключ для всех замков уже скомпрометировала себя многократно, однако к ней продолжают возвращаться в той или иной форме ради удобства. Вот как записал Ральф Лейтон воспоминания Ричарда Фейнмана об одном характерном эпизоде его работы над проектом «Манхэттен» в Лос-Аламосской лаборатории: «…я открыл три сейфа — и все три одной комбинацией. <…>

Я уделал всех их: открыл сейфы со всеми секретами атомной бомбы — технологией получения плутония, описанием процесса очистки, сведениями о том, сколько нужно материала, как работает бомба, как получаются нейтроны, как устроена бомба, каковы ее размеры, — словом, все, о чем знали в Лос-Аламосе, всю кухню!».

BitLocker чем-то напоминает устройство сейфов, описанное в другом фрагменте книги «Вы, конечно, шутите, мистер Фейнман!». Самый внушительный сейф сверхсекретной лаборатории имел ту же самую уязвимость, что и простой шкафчик для документов. «…

Это был полковник, и у него был гораздо более хитрый, двухдверный сейф с большими ручками, которые вытаскивали из рамы четыре стальных стержня толщиной три четверти дюйма. <…> Я осмотрел заднюю сторону одной из внушительных бронзовых дверей и обнаружил, что цифровой лимб соединен с маленьким замочком, который выглядел точно так же, как и замок моего шкафа в Лос-Аламосе. <…>

Было очевидно, что система рычагов зависит от того же маленького стержня, который запирал шкафы для документов. <…>. Изображая некую деятельность, я принялся наугад крутить лимб. <…> Через две минуты — щелк! — сейф открылся. <…>

Криптоконтейнеры BitLocker сами по себе достаточно надежны. Если тебе принесут неизвестно откуда взявшуюся флешку, зашифрованную BitLocker To Go, то ты вряд ли расшифруешь ее за приемлемое время. Однако в реальном сценарии использования зашифрованных дисков и съемных носителей полно уязвимостей, которые легко использовать для обхода BitLocker.

От vista до windows 10

В Microsoft работают разные люди, и далеко не все из них кодят задней левой ногой. Увы, окончательные решения в софтверных компаниях давно принимают не программисты, а маркетологи и менеджеры. Единственное, что они действительно учитывают при разработке нового продукта, — это объемы продаж. Чем проще в софте разобраться домохозяйке, тем больше копий этого софта удастся продать.

«Подумаешь, полпроцента клиентов озаботились своей безопасностью! Операционная система и так сложный продукт, а вы тут еще шифрованием пугаете целевую аудиторию. Обойдемся без него! Раньше ведь обходились!» — примерно так мог рассуждать топ-менеджмент Microsoft вплоть до того момента, когда XP стала популярной в корпоративном сегменте.

Среди админов о безопасности думали уже слишком многие специалисты, чтобы сбрасывать их мнение со счетов. Поэтому в следующей версии Windows появилось долгожданное шифрование тома, но только в изданиях Enterprise и Ultimate, которые ориентированы на корпоративный рынок.

Новая технология получила название BitLocker. Пожалуй, это был единственный хороший компонент Vista. BitLocker шифровал том целиком, делая пользовательские и системные файлы недоступными для чтения в обход установленной ОС. Важные документы, фотки с котиками, реестр, SAM и SECURITY — все оказывалось нечитаемым при выполнении офлайновой атаки любого рода.

В терминологии Microsoft «том» (volume) — это не обязательно диск как физическое устройство. Томом может быть виртуальный диск, логический раздел или наоборот — объединение нескольких дисков (составной или чередующийся том). Даже простую флешку можно считать подключаемым томом, для сквозного шифрования которого начиная с Windows 7 есть отдельная реализация — BitLocker To Go (подробнее — во врезке в конце статьи).

С появлением BitLocker сложнее стало загрузить постороннюю ОС, так как все загрузчики получили цифровые подписи. Однако обходной маневр по-прежнему возможен благодаря режиму совместимости. Стоит изменить в BIOS режим загрузки с UEFI на Legacy и отключить функцию Secure Boot, и старая добрая загрузочная флешка снова пригодится.

Офлайновые атаки

Технология BitLocker стала ответом Microsoft на возрастающее число офлайновых атак, которые в отношении компьютеров с Windows выполнялись особенно просто. Любой человек с загрузочной флешкой может почувствовать себя хакером. Он просто выключит ближайший компьютер, а потом загрузит его снова — уже со своей ОС и портативным набором утилит для поиска паролей, конфиденциальных данных и препарирования системы.

В конце рабочего дня с крестовой отверткой и вовсе можно устроить маленький крестовый поход — открыть компы ушедших сотрудников и вытащить из них накопители. Тем же вечером в спокойной домашней обстановке содержимое извлеченных дисков можно анализировать (и даже модифицировать) тысячью и одним способом. На следующий день достаточно прийти пораньше и вернуть все на свои места.

Впрочем, необязательно вскрывать чужие компьютеры прямо на рабочем месте. Много конфиденциальных данных утекает после утилизации старых компов и замены накопителей. На практике безопасное стирание и низкоуровневое форматирование списанных дисков делают единицы. Что же может помешать юным хакерам и сборщикам цифровой падали?

Как пел Булат Окуджава: «Весь мир устроен из ограничений, чтобы от счастья не сойти с ума». Основные ограничения в Windows задаются на уровне прав доступа к объектам NTFS, которые никак не защищают от офлайновых атак. Windows просто сверяет разрешения на чтение и запись, прежде чем обрабатывает любые команды, которые обращаются к файлам или каталогам.

Этот метод достаточно эффективен до тех пор, пока все пользователи работают в настроенной админом системе с ограниченными учетными записями. Однако стоит повысить права или загрузиться в другой операционке, как от такой защиты не останется и следа.

Есть много взаимодополняющих методов противодействия офлайновым атакам, включая физическую защиту и видеонаблюдение, но наиболее эффективные из них требуют использования стойкой криптографии. Цифровые подписи загрузчиков препятствуют запуску постороннего кода, а единственный способ по-настоящему защитить сами данные на жестком диске — это шифровать их. Почему же полнодисковое шифрование так долго отсутствовало в Windows?

Потенциальные уязвимости

Наверняка ты заметил, что при первой активации BitLocker приходится долго ждать. Это неудивительно — процесс посекторного шифрования может занять несколько часов, ведь даже прочитать все блоки терабайтных HDD быстрее не удается. Однако отключение BitLocker происходит практически мгновенно — как же так?

Дело в том, что при отключении BitLocker не выполняет расшифровку данных. Все секторы так и останутся зашифрованными ключом FVEK. Просто доступ к этому ключу больше никак не будет ограничиваться. Все проверки отключатся, а VMK останется записанным среди метаданных в открытом виде.

При каждом включении компьютера загрузчик ОС будет считывать VMK (уже без проверки TPM, запроса ключа на флешке или пароля), автоматически расшифровывать им FVEK, а затем и все файлы по мере обращения к ним. Для пользователя все будет выглядеть как полное отсутствие шифрования, но самые внимательные могут заметить незначительное снижение быстродействия дисковой подсистемы. Точнее — отсутствие прибавки в скорости после отключения шифрования.

Интересно в этой схеме и другое. Несмотря на название (технология полнодискового шифрования), часть данных при использовании BitLocker все равно остается незашифрованной. В открытом виде остаются MBR и BS (если только диск не был проинициализирован в GPT), поврежденные секторы и метаданные.

Открытый загрузчик дает простор фантазии. В псевдосбойных секторах удобно прятать руткиты и прочую малварь, а метаданные содержат много всего интересного, в том числе копии ключей. Если BitLocker активен, то они будут зашифрованы (но слабее, чем FVEK шифрует содержимое секторов), а если деактивирован, то просто будут лежать в открытом виде. Это всё потенциальные векторы атаки. Потенциальные они потому, что, помимо них, есть куда более простые и универсальные.

Ключ восстановления

Помимо FVEK, VMK и SRK, в BitLocker используется еще один тип ключей, создаваемый «на всякий случай». Это ключи восстановления, с которыми связан еще один популярный вектор атаки. Пользователи боятся забыть свой пароль и потерять доступ к системе, а Windows сама рекомендует им сделать аварийный вход. Для этого мастер шифрования BitLocker на последнем этапе предлагает создать ключ восстановления. Отказ от его создания не предусмотрен. Можно только выбрать один из вариантов экспорта ключа, каждый из которых очень уязвим.

В настройках по умолчанию ключ экспортируется как простой текстовый файл с узнаваемым именем: «Ключ восстановления BitLocker #», где вместо # пишется идентификатор компьютера (да, прямо в имени файла!). Сам ключ выглядит так.

Если ты забыл (или никогда не знал) заданный в BitLocker пароль, то просто поищи файл с ключом восстановления. Наверняка он будет сохранен среди документов текущего пользователя или на его флешке. Может быть, он даже напечатан на листочке, как это рекомендует сделать Microsoft. Просто дождись, пока коллега уйдет на перерыв (как всегда, забыв заблокировать свой комп) и приступай к поискам.

Для быстрого обнаружения ключа восстановления удобно ограничить поиск по расширению (txt), дате создания (если представляешь, когда примерно могли включить BitLocker) и размеру файла (1388 байт, если файл не редактировали). Найдя ключ восстановления, скопируй его. С ним ты сможешь в любой момент обойти стандартную авторизацию в BitLocker. Для этого достаточно нажать Esc и ввести ключ восстановления. Ты залогинишься без проблем и даже сможешь сменить пароль в BitLocker на произвольный, не указывая старый! Это уже напоминает проделки из рубрики «Западлостроение».

Способ 1: разблокировка книги

Прежде всего, выясним, как снять защиту с книги.

1. При попытке запустить защищенный файл Excel открывается небольшое окно для ввода кодового слова. Мы не сможем открыть книгу, пока не укажем его. Итак, вводим пароль в соответствующее поле. Жмем на кнопку «OK».



2. После этого книга открывается. Если же вы хотите вообще снять защиту, то переходите во вкладку «Файл».



3. Перемещаемся в раздел «Сведения». В центральной части окна жмем на кнопку «Защитить книгу». В раскрывающемся меню выбираем пункт «Зашифровать паролем».



4. Опять открывается окно с кодовым словом. Просто удаляем пароль из поля ввода и жмем на кнопку «OK»



5. Сохраняем изменения файла, перейдя во вкладку «Главная» нажав на кнопку «Сохранить» в виде дискеты в левом верхнем углу окна.

Теперь при открытии книги не нужно будет вводить пароль и она перестанет быть защищенной.

Урок: Как поставить пароль на файл Excel

Способ 13: типовые пароли блокировки устройств

Как правило, у владельца изымается не одно мобильное устройство, а несколько. Часто таких устройств набирается с десяток. При этом можно подобрать пароль для уязвимого устройства и попробовать его применить к другим смартфонам и планшетам, изъятым у этого же владельца.

При анализе данных, извлеченных из мобильных устройств, такие данные отображаются в криминалистических программах (часто — даже при извлечении данных из заблокированных устройств с применением различных типов уязвимостей).

Как видно на скриншоте части рабочего окна программы UFED Physical Analyzer, устройство заблокировано достаточно необычным PIN-кодом fgkl.

Не стоит пренебрегать иными устройствами пользователя. Например, анализируя пароли, сохраненные в кэше веб-браузера компьютера владельца мобильного устройства, можно понять принципы генерации паролей, которых придерживался владелец. Просмотреть сохраненные пароли на компьютере можно с помощью утилиты компании NirSoft [11].

Также на компьютере (ноутбуке) владельца мобильного устройства могут быть Lockdown-файлы, которые могут помочь получить доступ к заблокированному мобильному устройству фирмы Apple. Об этом методе будет рассказано далее.

Рекомендация по защите: используйте везде разные, уникальные пароли.

Способ 15: типовые графические пароли

Как было описано выше, имея данные камер видеонаблюдения, на которых владелец устройства пробует его разблокировать, можно подобрать паттерн разблокировки с пяти попыток. Кроме того, точно так же, как существуют типовые PIN-коды, существуют и типовые паттерны, которые можно использовать для разблокировки заблокированных мобильных устройств [13, 14].

Простые паттерны [14]:

Паттерны средней сложности [14]:

Сложные паттерны [14]:

На некоторых мобильных устройствах, помимо графического кода, может быть установлен дополнительный PIN-код. В этом случае, если не удается подобрать графический код, исследователь может кликнуть на кнопку

Доп.PIN-код

(дополнительный PIN-код) после ввода неправильного графического кода и попытаться подобрать дополнительный PIN-код.

Рекомендация по защите: лучше вообще не использовать графические ключи.

Способ 17: облачные или локальные хранилища

Если нет технической возможности изъять данные из заблокированного устройства криминалисты могут поискать его резервные копии на компьютерах владельца устройства или в соответствующих облачных хранилищах.

Часто владельцы смартфонов Apple, подключая их к своим компьютерам, не осознают, что в это время может осуществляться создание локальной или облачной резервной копии устройства.

В облачных хранилищах Google и Apple могут сохраняться не только данные из устройств, но и сохраненные устройством пароли. Извлечение этих паролей может помочь в подборе кода блокировки мобильного устройства.

Из Keychain, сохраненного в iCloud, можно извлечь пароль на резервную копию устройства, установленный владельцем, который, с высокой степенью вероятности, будет совпадать с PIN-кодом блокировки экрана.

Если правоохранительные органы обращаются в Google и Apple — компании могут передать имеющиеся данные, что, вероятно, сильно снизит необходимость разблокировки устройства, так как данные уже будут у правоохранителей.

Например, после террористического акта в Пенсоконе копии данных, хранящихся в iCloud, были переданы ФБР. Из заявления Apple:

«В течение нескольких часов, после первого запроса ФБР, 6 декабря 2021 года, мы представили широкий спектр информации, связанной с расследованием. С 7 по 14 декабря мы получили шесть дополнительных юридических запросов и в ответ предоставили информацию, включая резервные копии iCloud, информацию об аккаунте и транзакциях для нескольких учетных записей.

Мы отвечали на каждый запрос незамедлительно, зачастую в течение нескольких часов, обмениваясь информацией с офисами ФБР в Джексонвилле, Пенсаколе и Нью-Йорке. По запросам следствия было получено много гигабайт информации, которую мы передали следователям». [17, 18, 19]

Рекомендация по защите:

все, что вы отдаете в облако в незашифрованном виде, может и будет использовано против вас.

Способ 18: google-аккаунт

Данный способ подходит для снятия графического пароля, блокирующего экран мобильного устройства под управлением операционной системы Android. Для использования этого метода нужно знать имя пользователя и пароль от Google-аккаунта владельца устройства. Второе условие: устройство должно быть подключено к интернету.

При последовательном вводе неправильного графического пароля несколько раз подряд, устройство предложит восстановить пароль. После этого надо совершить вход в аккаунт пользователя, что приведет к разблокировке экрана устройства [5].

В связи с разнообразием аппаратных решений, операционных систем Android и дополнительных настроек безопасности данный метод применим только для ряда устройств.

Если у исследователя нет пароля к Google-аккаунту владельца устройства — его можно попробовать восстановить, используя стандартные методы восстановления паролей от подобных аккаунтов.

Если устройство в момент исследования не подключено к интернету (например, SIM-карта заблокирована или на ней недостаточно денег), то подобное устройство можно подключить к Wi-Fi по следующей инструкции:

Рекомендация по защите:

не забывайте использовать двухфакторную авторизацию везде где только можно, и в этом случае — лучше с привязкой к приложению, а не коду по SMS.

Способ 2: разблокировка листа

Кроме того, можно установить пароль на отдельный лист. При этом вы сможете открывать книгу и даже просматривать информацию на заблокированном листе, но изменять в нём ячейки уже не получится. При попытке редактирования появится сообщение в диалоговом окне, информирующее о том, что ячейка защищена от изменений.

Для того, чтобы получить возможность редактирования и полностью снять защиту с листа, придется выполнить ряд действий.

1. Переходим во вкладку «Рецензирование». На ленте в блоке инструментов «Изменения» жмем на кнопку «Снять защиту листа».



2. Открывается окно, в поле которого нужно ввести установленный пароль. Затем жмем на кнопку «OK».

После этого защита будет снята и пользователь сможет редактировать файл. Чтобы снова защитить лист, придется устанавливать его защиту заново.

Урок: Как защитить ячейку от изменений в Excel

Способ 20: специализированные сервисы

Компании, занимающиеся разработкой специализированных криминалистических программ, в том числе предлагают услуги по разблокировке мобильных устройств и извлечению данных из них [20, 21]. Возможности подобных сервисов просто фантастические. С помощью них можно разблокировать топовые модели Android- и iOS-устройств, а также устройства, находящиеся в режиме восстановления (в которое устройство переходит после превышения количества попыток неправильного ввода пароля). Недостатком данного метода является высокая стоимость.

Фрагмент веб-страницы сайта компании Cellebrite, где описывается, из каких устройств они могут извлечь данные. Устройство может быть разблокировано в лаборатории разработчика (Cellebrite Advanced Service (CAS)) [20]:

Для подобной услуги устройство должно быть предоставлено в региональный (или головной) офис компании. Возможен выезд специалиста к заказчику. Как правило, взлом кода блокировки экрана занимает одни сутки.

Рекомендация по защите: практически невозможно защититься, кроме использования стойкого цифро-буквенного пароля и ежегодной смены устройств.

Продолжение здесь: часть вторая

P.S. Об этих кейсах, инструментах и многих других полезных фишках в работе компьютерного криминалиста эксперты Лаборатории Group-IB рассказывают в рамках обучающего курса Digital Forensics Analyst. После прохождения 5-дневного или расширенного 7-дневного курсов выпускники смогут эффективнее проводить криминалистические исследования и предовтращать киберинциденты в своих организациях.

P.P.S. Остросюжетный Telegram-канал Group-IB об информационной безопасности, хакерах, APT, кибератаках, мошенниках и пиратах. Расследования по шагам, практические кейсы с применением технологий Group-IB и рекомендации, как не стать жертвой. Подключайтесь!

Способ 3: снятие защиты через изменение кода файла

Но, иногда бывают случаи, когда пользователь зашифровал лист паролем, чтобы случайно не внести в него изменения, а вспомнить шифр не может. Вдвойне огорчает то, что, как правило, кодируются файлы с ценной информацией и утеря пароля к ним может дорого обойтись пользователю. Но, существует выход даже из этого положения. Правда, придется повозиться с кодом документа.

1. Если ваш файл имеет расширение xlsx (Книга Excel), то сразу переходите к третьему пункту инструкции. Если же его расширение xls (Книга Excel 97-2003), то его следует перекодировать. К счастью, если зашифрован только лист, а не вся книга, можно открывать документ и сохранять в любом доступном формате. Для этого, переходим во вкладку «Файл» и кликаем по пункту «Сохранить как…».



2. Открывается окно сохранения. Обязательно в параметре «Тип файла» устанавливаем значение «Книга Excel» вместо «Книга Excel 97-2003». Жмем на кнопку «OK».



3. Книга xlsx по сути является zip-архивом. Нам нужно будет отредактировать один из файлов этого архива. Но для этого сразу нужно будет поменять расширение с xlsx на zip. Переходим с помощью проводника в ту директорию жесткого диска, в которой находится документ. Если расширения файлов не видно, то кликаем по кнопке «Упорядочить» в верхней части окна, в раскрывшемся меню выбираем пункт «Параметры папок и поиска».



4. Открывается окно параметров папок. Переходим во вкладку «Вид». Ищем пункт «Скрывать расширения для зарегистрированных типов файлов». Снимаем с него галочку и жмем на кнопку «OK».



5. Как видим, после этих действий, если расширения не отображалось, то оно появилось. Кликаем по файлу правой кнопкой мыши и в появившемся контекстном меню выбираем пункт «Переименовать».



6. Меняем расширение с xlsx на zip.



7. После того, как переименование произведено, Windows воспринимает данный документ, как архив и его можно просто открыть с помощью того же проводника. Делаем двойной щелчок мыши по данному файлу.



8. Переходим по адресу:

   имя_файла/xl/worksheets/

   Файлы с расширением xml в данной директории содержат информацию о листах. Открываем первый из них с помощью любого текстового редактора. Можно воспользоваться для этих целей встроенным Блокнотом Windows, а можно применить и более продвинутую программу, например, Notepad .



9. После того, как программа открылась, набираем на клавиатуре сочетание клавиш Ctrl F, чем вызываем внутренний поиск приложения. Вбиваем в поисковое окно выражение:

   sheetProtection

   Ищем его по тексту. Если не находим, то открываем второй файл и т.д. Делаем так до тех пор, пока элемент не будет найден. Если защищено несколько листов Excel, то элемент будет находиться в нескольких файлах.



10. После того, как данный элемент обнаружен, удаляем его вместе со всей информацией от открывающего тега до закрывающего. Сохраняем файл и закрываем программу.



11. Возвращаемся в директорию расположения архива и опять меняем его расширение с zip на xlsx.

Теперь для редактирования листа Excel не понадобится знание забытого пользователем пароля.

Способ 5: искусственный палец

Если устройство может быть разблокировано по отпечатку пальца, а исследователь имеет образцы отпечатков рук владельца устройства, то на 3D-принтере можно изготовить трехмерную копию отпечатка пальца владельца и использовать ее для разблокировки устройства [3]:

Для более полной имитации пальца живого человека — например, когда датчик отпечатка пальца смартфона еще детектирует тепло — 3D-модель надевается (прислоняется) к пальцу живого человека.

Владелец устройства, даже забыв пароль блокировки экрана, может сам разблокировать устройство, используя отпечаток своего пальца. Это может быть использовано в определенных случаях, когда владелец не может сообщить пароль, но, тем не менее, готов помочь исследователю разблокировать свое устройство.

Исследователю следует помнить о поколениях сенсоров, примененных в различных моделях мобильных устройств. Старые модели сенсоров могут срабатывать практически на прикосновение любого пальца, не обязательно принадлежащего владельцу устройства. Современные ультразвуковые сенсоры, наоборот, сканируют весьма глубоко и четко.

Рекомендация по защите: Если палец, то только ультразвуковой сенсор. Но не забывайте, что приложить палец против вашей воли куда проще, чем лицо.

Требования

Первое требование — наличие необходимой версии ОС. Как правило, BitLocker поддерживает Windows Pro или Ultimate, например:

• Windows Vista и Windows 7: Enterprise и Ultimate;
• выпуски Windows 8 и 8.1: Pro и Enterprise;
• выпуски Windows 10: Pro, Enterprise и Education.

Если вы используете домашнюю Windows, стоит рассмотреть обновление до версии Pro.

Примечание! Обновление операционной системы лучше совместить ​​с покупкой нового компьютера, поскольку почти во все модели включен TPM.

Ваш ПК должен поддерживать Trusted Platform Module (TPM). Его имеют многие ПК, предназначенные для бизнеса (например, Dell Precision и Optiplex, серия Lenovo ThinkCenter, HP Pro и Elite). Кстати, вы можете использовать BitLocker даже без TPM.

Также проверьте следующие требования:

• BIOS должен поддерживать TPM или USB-устройства. В противном случае, чтобы получить последнее обновление прошивки вам нужно посетить сайт производителя;
• жесткий диск должен содержать два раздела: системный с необходимыми файлами для запуска Windows и раздел с операционной системой. Оба из них должны быть отформатированы под файловую систему NTFS;
• процесс шифрования всего жесткого диска не сложен, но отнимает много времени;
• следите за тем, чтобы компьютер был подключен к источнику бесперебойного питания на протяжении всего рабочего процесса.