Pristup šifriranim dokazima
Passware dekriptiraju medije za pohranu, kontejnere, datoteke i mobilne uređaje – alat koji mi u LanCologne redovito koristimo u vlastitim forenzičkim istragama.
Šifriranje je odavno postalo uobičajeno u kriminalističkim istragama.
BitLocker na prijenosnom računalu, FileVault na Macu, VeraCrypt spremnik na vanjskom tvrdom disku, Office datoteke i arhive zaštićene lozinkom, šifrirane sigurnosne kopije, zaključani mobilni telefoni: U gotovo svakoj istrazi prvi je korak u analizi utvrditi mogu li oduzeti podaci uopće biti pročitani.
Upravo tu na scenu stupa Passware. Tvrtka od 1998. godine razvija softver za oporavak lozinki i dešifriranje elektroničkih dokaza te ima urede u Mountain Viewu (Kalifornija) i Tallinnu (Estonija). Prema proizvođaču, proizvode koriste agencije za provedbu zakona i vladine agencije, kao i poduzeća.
Koristimo Passware u vlastitim istragama. – i savjetujemo vas o praktičnoj upotrebi i odabiru odgovarajuće licence.
Tipični slučajevi upotrebe
- Pristup šifriranim medijima za pohranu i spremnicima kada lozinka ili ključ za oporavak nisu dostupni
- Otvaranje pojedinačnih datoteka zaštićenih lozinkom – Office dokumenti, PDF-ovi, arhive, računovodstvene i baze podataka
- Analiza upravitelja lozinki i rješenja za pohranu ključeva radi utvrđivanja dodatnih točaka pristupa u slučaju
- Pravljenje sigurnosne kopije i analiza sistemske memorije aktivnog sustava prije isključivanja uređaja
- Otključavanje i izdvajanje podataka s mobilnih uređaja
- Pristup kripto novčanicima kao dio istraga praćenja imovine
- Zakonito oporavljanje vlastitih podataka tvrtke nakon gubitka podataka za prijavu
Passware Kit Mobile: Pristup putem proizvođača ili izravnim pretraživanjem modela uređaja i čipseta.
Passware Kit Forensic – središnje radno okruženje
Passware Kit Forensic je osnovni proizvod i proizvođač ga opisuje kao sveobuhvatno rješenje za lociranje i dešifriranje šifriranih elektroničkih dokaza. Softver automatski otkriva šifrirane objekte unutar skupa podataka, predlaže najperspektivniji tijek djelovanja u svakom slučaju i obrađuje čitave dokaze u serijama.
Opseg funkcija
- Obnova lozinke za više od 420 vrsta datoteka i objekata
- Dekriptacija potpuno šifriranih medija za pohranu podataka
- Analiza memorije uživo za izdvajanje ključnih podataka
- Serijska obrada više datoteka i medija u jednom pokretanju
- Automatska detekcija šifriranih objekata i predizbor prikladnih vektora napada
- Upravitelj resursa za kontrolu i nadzor računalnih resursa
- Raspodjela računalnog opterećenja na više sustava pomoću Passware Kit agenata
- Automatska ažuriranja; dostupno za Windows i macOS
Podržani objekti (izbor)
- Ured i arhiv: Word, Excel, PowerPoint, Access, OneNote, Outlook, PDF, ZIP, RAR (2.0 do 7.x), 7-Zip, samoraspakirajući arhivi
- Upravitelj lozinki: 1Password, KeePass, LastPass, Dashlane, Enpass, AxCrypt, macOS Keychain
- Računovodstvo i baze podataka: QuickBooks, Quicken, MS Money, MYOB, FileMaker Pro, Lotus aplikacije
- Kryptovalutni novčanici: Bitcoin Core, Electrum, Ethereum, Litecoin, Dogecoin, Dash
- Preglednik: Chrome, Firefox, Edge, Safari, Opera
- Korisnički računi: Windows (NT do Windows 11), macOS, Unix/Linux
- Sigurnosne kopije: Apple iTunes sigurnosne kopije
Potpuno šifrirani mediji za pohranu podataka
Passware Kit dešifrirava slike potpuno šifriranih medija za pohranu i spremnika – uključujući BitLocker i BitLocker To Go, Apple FileVault 2/APFS i Apple DMG, VeraCrypt i TrueCrypt, LUKS i LUKS 2, PGP WDE i Symantec Endpoint Encryption, McAfee Endpoint Encryption, DriveCrypt, Dell Data Protection, SanDisk PrivateAccess/SecureAccess i Steganos kontejnere.
Ključni čimbenik je stanje sustava u trenutku zapljene: ako je dostupan memory dump koji je napravljen dok je šifrirani volumen bio priključen, Passware iz njega izdvaja ključeve i odmah dešifrira volumen – čak i ako je sustav bio zaključan. Datoteke hibernacije (hiberfil.sys) također mogu sadržavati ključni materijal. S druge strane, ako je sustav isključen i volumen je odmontiran, jedina je opcija dugotrajna metoda napada lozinkom.
Ovaj slijed odmah nameće forenzičku preporuku: izrada sigurnosne kopije hramne memorije na aktivnom sustavu treba biti prvi, a ne posljednji korak u svakoj istrazi.
Analiza memorije uživo i pokretni snimač memorije
Passware Bootable Memory Imager pokreće se s USB pogona kompatibilno s UEFI-jem i stvara slike memorije računala sa sustavima Windows, Linux i macOS; Mac računala s T2 ili M čipom su izuzeta. Slike su podijeljene u segmente od 2 GB i spremaju se uz datoteke dnevnika. Naknadna analiza memorije pretražuje sliku u potrazi za ključevima za šifriranje i vjerodajnicama za prijavu; moguće je uvesti i slike memorije stvorene drugim alatima.
Proizvođač izričito ističe da postupak zahtijeva hardversko resetiranje na ciljanom sustavu i da se ne može jamčiti prisutnost ključnog materijala u slici.
Passware Kit Mobile – otključajte i izvadite podatke s mobilnih uređaja
Passware Kit Mobile izdvaja i dešifrirava korisničke podatke s mobilnih uređaja. Prema proizvođaču, podržano je više od 1.150 uređaja: Apple uređaji kao i Android uređaji proizvođača uključujući Samsung, Huawei, LG, Xiaomi, Lenovo, Nokia, Alcatel, Motorola, HTC, Meizu, Oppo, OnePlus, Sony, Vivo i ZTE.
- Zaobilaženje ili resetiranje uzoraka, PIN-a, lozinki i alfanumeričkih kodova zaključavanja
- Forenzički valjana ekstrakcija cijelog datotečnog sustava
- Čitanje iOS Keychaina i lozinki iz 1Passworda i Dashlanea
- Dekriptacija podataka s računa na Second Spaceu, kao i sa Signala i Wickra
- Ubrzavanje obnove koda s grafičkim karticama NVIDIA, AMD i Intel Arc
- Višeokvirni način rada za uređivanje više uređaja istovremeno
- Trojmjesečna ažuriranja s uređajima koji se neprestano dodaju
Pretraga uređaja s popisom rezultata i specifikacijama uređaja – u ovom slučaju Huawei P30 s platformom i čipsetom.
Korak-po-korak vodič za Apple uređaje: povezivanje, oporavak i DFU načini rada, izvlčenje podataka, oporavak lozinke.
Popis aplikacija na Android uređaju: Device Code, Second Space, Signal, Android Wickr i 1Password – svaka s ocjenom složenosti.
Prikaz rezultata: pronađen kod uređaja, dekriptirana baza signala s testnom vrijednošću MD5, detalji isprobavanih lozinki i proteklo vrijeme.
Dodatak za dešifriranje uređaja
Ovaj dodatak proširuje Passware Kit kako bi omogućio pristup uređajima čiji su ključevi vezani za hardver:
- BitLocker zapremine s TPM-om ili fTPM-om
- Apple Mac računala s T2 čipom za sigurnost (dekriptiranje APFS slika)
- Lenovo ThinkPadovi s TPM-om 2.0 (serije E, L, X, P i T, proizvedene između 2016. i 2020.)
- Western Digital My Book i My Passport (2014. do 2024.)
- Seagate i LaCie tvrdi diskovi (modeli od 2018. do 2022.)
- SSD-ovi Transcend s kontrolerima SM2320 (2022. do 2025.)
Osim toga, lozinke EFI firmwarea na Mac računalima mogu se oporaviti ili resetirati. Ovaj dodatak zahtijeva aktivnu licencu za Passware Kit Forensic ili Ultimate; proizvođač navodi da softver isporučuje agencijama za provedbu zakona i tvrtkama s dokazivom potrebom te da je svaka narudžba podložna ručnoj provjeri.
Računalna snaga i skalabilnost
Napadi na lozinke uključuju računalni rad. Passware podržava NVIDIA (GTX, Tesla), AMD i Intel Arc grafičke kartice s do dvanaest GPU-a po računalu; proizvođač navodi da to omogućuje ubrzanje do 1.200 puta u usporedbi s radom samo na CPU-u. Dostupne su i tablice duginih boja.
Dvije primjerne brojke iz proizvođačevog benchmarka ilustriraju razliku: s BitLockerom (AES-256) 7.312 lozinki u sekundi na NVIDIA RTX 4090 u usporedbi s 7 lozinki u sekundi na CPU-u; za macOS FileVault 2, 117.395 u usporedbi s 53 lozinke u sekundi.
Passware Kit agenti također omogućuju raspodjelu opterećenja na više Windows ili Linux sustava, kao i na cloud instance na Amazon EC2 i Microsoft Azure. Svaki čvor istovremeno koristi više procesora (CPU-a) i grafičkih procesora (GPU-a); upravljanje i nadzor obavljaju se putem integriranog Upravitelja resursa. Passware Kit Forensic uključuje pet agenata, dok Passware Kit Ultimate uključuje deset.
Passware Kit Ultimate: Daljnji razvoj i certificiranje
Kompletan paket
Passware Kit Ultimate objedinjuje pojedinačne komponente: Passware Kit Forensic, Passware Kit Mobile, dodatak za dešifriranje uređaja, deset Passware Kit agenata i Passware Kit Forensic obuku. Za radne stanice bez internetske veze proizvođač također nudi Air-Gapped izdanje.
Trenutni razvoj
Prema Passwareu, tvrtka objavljuje četiri glavna ažuriranja godišnje. Verzija 2026 v3, objavljena 23. srpnja 2026., donijela je, između ostalog, izravno vraćanje PIN-a na uređajima zaštićenima TPM-om i BitLockerom, podršku za GNOME keychain, proširena pravila za Hashcat i nativnu beta verziju za Apple Silicon.
Obuka i certificiranje
Uz Passware Certified Examiner (PCE), proizvođač nudi tečaj za samostalno učenje na engleskom jeziku o dešifriranju dokaza: 16 video lekcija ukupno više od deset sati, pristup na godinu dana i završni ispit koji se sastoji od 63 pitanja s prolaznom ocjenom od 80 posto. Certifikat vrijedi dvije godine.
Kako se uklapa u naš set alata
Koristimo Passware kao alat za dešifriranje, tj. za pristup podacima. Nakon toga se analiza sadržaja provodi pomoću namjenskih alata za analizu koje osiguravaju naši ostali tehnološki partneri. Ovo razdvajanje je namjerno: svaki se korak provodi pomoću alata koji je tehnički najprikladniji za zadatak – i time ostaje pojedinačno praćen i dokumentiran.
Tehnički listovi proizvođača
Nabavite Passware putem LanCologne
Možete nabaviti Passware licence putem LanCologne. Možemo vas savjetovati o najprikladnijem izdanju, o tome kako će raditi s vašom postojećom opremom i – ako je potrebno – o njegovoj praktičnoj primjeni u vašem trenutnom slučaju.
Izvor i dodatne informacije na:
Passware