浅析基于BitLocker加密模式下的电子数据取证

田文郁 张静文 张鹏 张晓烨 廖赟

（南京拓界信息技术有限公司，江苏南京 210014）

0.引言

BitLocker（BitLocker Driver Encryption）是微软公司在 Windows Vista 操作系统内首次提供的一项数据保护功能[1]。Win7/Win8/Win10系列操作系统使用了此安全策略，包括计算机全磁盘加密、磁盘分区加密以及BitLocker To Go移动存储设备加密等功能。Windows 系统的各个版本不断改进BitLocker的安全性，从而允许操作系统为更多驱动器和设备提供BitLocker 保护。BitLocker 是扇区级别的加密，它可以对操作系统所在的驱动器进行保护，也可以对普通磁盘的数据进行保护。BitLocker 强大的数据保护功能解决了用户信息泄露的危险，但同时给电子数据取证带来了很大挑战。下面基于Windows分区加密模式下的数据取证的相关问题进行探讨，依据BitLocker加密机制，提出面向Clear key保护磁盘数据解密加密的取证方法。

1. BitLocker的加密机制

BitLocker 使用全卷加密密钥FVEK（Full Volume Encryption Key）对驱动器的数据进行加密，FVEK又通过卷主密钥VMK（Volume Master Key）进行加密，VMK 则可以通过用户选择不同的保护密钥进行加密，包括TPM、PIN码、启动密钥、用户密码以及恢复密钥[2]。BitLocker加密密钥和保护密钥的关系图1所示。

图1 BitLocker加密密钥和保护密钥的关系

1.1 BitLocker加密密钥

（1）全卷加密密钥（FVEK）。全卷加密密钥（FVEK）是BitLocker驱动器加密算法中最核心的密钥，用来加密所选磁盘中的静态数据，FVEK通过VMK 加密存储在磁盘加密数据中。FEVK的核心部分以AES 128bit或AES 256bit两种扩展密钥的形式存储，但用户无论是选择128bit还是256bit，密钥的实际长度都是256bit。密钥的存储格式图2所示。可以看到，AES 128bit密钥仅有前128bit被用来加密，后128bit为空，AES 256bit密钥256bit都用来进行加密。

图2 128/256位FVEK密钥结构图