Toegang tot versleuteld bewijsmateriaal
Passware ontcijfert opslagmedia, containers, bestanden en mobiele apparaten – een tool die we bij LanCologne regelmatig gebruiken bij onze eigen forensische onderzoeken.
Versleuteling is bij onderzoeken al lang de norm
BitLocker op de laptop, FileVault op de Mac, een VeraCrypt-container op de externe schijf, met een wachtwoord beveiligde Office-bestanden en archieven, versleutelde back-ups, vergrendelde mobiele telefoons: Bij vrijwel elke procedure is de eerste vraag bij de analyse of de in beslag genomen gegevens überhaupt leesbaar kunnen worden gemaakt.
Precies hier komt Passware in beeld. De fabrikant ontwikkelt sinds 1998 software voor het herstellen van wachtwoorden en het ontsleutelen van elektronisch bewijsmateriaal en heeft vestigingen in Mountain View (Californië) en Tallinn (Estland). Volgens de fabrikant worden de producten zowel door wetshandhavingsinstanties en overheidsinstanties als door bedrijven gebruikt.
We gebruiken Passware bij onze eigen onderzoeken – en geven u advies over zowel het praktische gebruik als de keuze van de juiste licentie.
Typische toepassingsscenario's
- Toegang tot versleutelde gegevensdragers en containers wanneer het wachtwoord of de herstelsleutel niet beschikbaar is
- Wachtwoordbeveiligde afzonderlijke bestanden openen – Office-documenten, PDF-bestanden, archieven, boekhoud- en databasebestanden
- Analyse van wachtwoordbeheerders en sleutelopslagplaatsen om in dit geval toegang tot andere systemen te verkrijgen
- Het maken van een back-up van en het analyseren van het werkgeheugen van een draaiend systeem voordat het apparaat wordt uitgeschakeld
- Ontgrendelen en gegevens uitlezen van mobiele apparaten
- Toegang tot cryptovaluta-wallets in het kader van vermogensonderzoeken
- Rechtmatige herstelprocedure voor eigen bedrijfsgegevens na verlies van de inloggegevens
Passware Kit Mobile: toegang via de fabrikant of door rechtstreeks te zoeken op apparaatmodel en chipset.
Passware Kit Forensic – de centrale werkomgeving
Passware Kit Forensic is het kernproduct en wordt door de fabrikant omschreven als een complete oplossing voor het opsporen en ontsleutelen van versleutelde elektronische bewijsstukken. De software herkent zelfstandig versleutelde objecten in een gegevensbestand, stelt de meest veelbelovende aanpak voor en verwerkt volledige bewijsstukken in batches.
Functies
- Wachtwoordherstel voor meer dan 420 bestands- en objecttypen
- Ontcijfering van volledig versleutelde gegevensdragers
- Live-geheugenanalyse voor het verkrijgen van sleutelmateriaal
- Batchverwerking van meerdere bestanden en gegevensdragers in één keer
- Automatische herkenning van versleutelde objecten en voorselectie van geschikte aanvalsroutes
- Resource Manager voor het beheer en de monitoring van de rekenbronnen
- Verdeling van de rekenbelasting over meerdere systemen via Passware Kit Agents
- Automatische updates; beschikbaar voor Windows en macOS
Ondersteunde objecten (selectie)
- Kantoor en archieven: Word, Excel, PowerPoint, Access, OneNote, Outlook, PDF, ZIP, RAR (2.0 tot 7.x), 7-Zip, zelfuitpakkende archieven
- Wachtwoordbeheerder: 1Password, KeePass, LastPass, Dashlane, Enpass, AxCrypt, macOS-sleutelbundel
- Boekhouding en databases: QuickBooks, Quicken, MS Money, MYOB, FileMaker Pro, Lotus-toepassingen
- Cryptovaluta-wallets: Bitcoin Core, Electrum, Ethereum, Litecoin, Dogecoin, Dash
- Browser: Chrome, Firefox, Edge, Safari, Opera
- Gebruikersaccounts: Windows (NT tot en met Windows 11), macOS, Unix/Linux
- Back-ups: Apple iTunes-back-ups
Volledig versleutelde gegevensdragers
Passware Kit decodeert images van volledig versleutelde schijven en containers – waaronder BitLocker en BitLocker To Go, Apple FileVault2/APFS en Apple DMG, VeraCrypt en TrueCrypt, LUKS en LUKS2, PGP WDE en Symantec Endpoint Encryption, McAfee Endpoint Encryption, DriveCrypt, Dell Data Protection, SanDisk PrivateAccess/SecureAccess en Steganos-containers.
De toestand van het systeem op het moment van de inbeslagname is doorslaggevend: als er een geheugenafbeelding beschikbaar is die is gemaakt terwijl het versleutelde opslagmedium was gekoppeld, haalt Passware daaruit de sleutels en ontsleutelt het volume onmiddellijk – zelfs als het systeem was vergrendeld. Ook slaapstandbestanden (hiberfil.sys) kunnen sleutelmateriaal bevatten. Is het systeem daarentegen uitgeschakeld en is het volume ontkoppeld, dan blijft alleen de tijdrovende methode via een wachtwoordaanval over.
Uit deze volgorde vloeit direct een forensisch advies voort: het maken van een back-up van het vluchtige geheugen op het draaiende systeem moet aan het begin van elk onderzoek plaatsvinden, niet aan het einde.
Live-geheugenanalyse en Bootable Memory Imager
De Passware Bootable Memory Imager start UEFI-compatibel op vanaf een USB-stick en maakt geheugenafbeeldingen van Windows-, Linux- en macOS-computers; Macs met een T2- of M-chip zijn hiervan uitgesloten. De afbeeldingen worden opgedeeld in segmenten van 2 GB en samen met logbestanden opgeslagen. De daaropvolgende geheugenanalyse doorzoekt de afbeelding op versleutelingssleutels en inloggegevens; geheugenafbeeldingen van andere tools kunnen eveneens worden ingelezen.
De fabrikant wijst er uitdrukkelijk op dat de procedure een hardware-reset van het doelsysteem vereist en dat de aanwezigheid van sleutelmateriaal in de image niet kan worden gegarandeerd.
Passware Kit Mobile – Mobiele apparaten ontgrendelen en gegevens uitlezen
Passware Kit Mobile haalt gebruikersgegevens uit mobiele apparaten en decodeert deze. Volgens de fabrikant worden meer dan 1.150 apparaten ondersteund: Apple-apparaten en Android-apparaten van onder andere Samsung, Huawei, LG, Xiaomi, Lenovo, Nokia, Alcatel, Motorola, HTC, Meizu, Oppo, OnePlus, Sony, Vivo en ZTE.
- Patroon-, pincode-, wachtwoord- en alfanumerieke vergrendelcodes omzeilen of herstellen
- Forensisch betrouwbare extractie van het volledige bestandssysteem
- Het uitlezen van de iOS-sleutelbundel en van wachtwoorden uit 1Password en Dashlane
- Ontcijfering van gegevens uit Second Space-accounts en uit Signal en Wickr
- Versnelling van het herstel van de code met grafische kaarten van NVIDIA, AMD en Intel Arc
- Meervenster-modus voor het gelijktijdig bewerken van meerdere apparaten
- Kwartaalupdates met voortdurend toegevoegde apparaten
Zoeken naar apparaten met een lijst met resultaten en apparaatgegevens – hier de Huawei P30 met platform en chipset.
Stapsgewijze handleiding voor Apple-apparaten: aansluiten, herstel- en DFU-modus, gegevens extraheren, wachtwoordherstel.
Lijst met taken op een Android-apparaat: apparaatcode, Second Space-gedeelte, Signal, Android Wickr en 1Password – elk met een complexiteitsbeoordeling.
Weergave van de resultaten: gevonden apparaatcode, ontcijferde signaaldatabase met MD5-controlewaarde, gegevens over de geteste wachtwoorden en de looptijd.
Add-on voor het ontsleutelen van apparaten
Deze add-on breidt Passware Kit uit met toegang tot apparaten waarvan de sleutel aan de hardware is gekoppeld:
- BitLocker-schijven met TPM of fTPM
- Apple Macs met T2-beveiligingschip (ontcijfering van APFS-images)
- Lenovo ThinkPads met TPM 2.0 (series E, L, X, P en T uit de bouwjaren 2016 tot en met 2020)
- Western Digital My Book en My Passport (2014 tot en met 2024)
- Seagate- en LaCie-harde schijven (modellen van 2018 tot en met 2022)
- Transcend-SSD’s met SM2320-controller (2022 tot en met 2025)
Daarnaast kunnen EFI-firmwarewachtwoorden van Macs worden hersteld of gereset. Voor deze add-on is een actieve licentie voor Passware Kit Forensic of Ultimate vereist; de fabrikant vermeldt dat de software uitsluitend wordt geleverd aan overheidsinstanties en bedrijven met een aantoonbare behoefte, en dat elke bestelling handmatig wordt gecontroleerd.
Rekenkracht en schaalbaarheid
Wachtwoordaanvallen zijn rekenwerk. Passware ondersteunt NVIDIA- (GTX, Tesla), AMD- en Intel Arc-grafische kaarten met maximaal twaalf GPU's per computer; de fabrikant geeft aan dat dit een versnelling oplevert tot een factor 1.200 ten opzichte van uitsluitend CPU-gebruik. Daarnaast zijn er rainbow tables beschikbaar.
Twee voorbeeldwaarden uit de benchmark van de fabrikant illustreren het verschil: bij BitLocker (AES-256) 7.312 wachtwoorden per seconde op een NVIDIA RTX 4090 tegenover 7 wachtwoorden per seconde op de CPU, bij macOS FileVault2 117.395 tegenover 53 wachtwoorden per seconde.
Met Passware Kit Agents kan de werklast bovendien worden verdeeld over meerdere Windows- of Linux-systemen en over cloudinstanties bij Amazon EC2 en Microsoft Azure. Elk knooppunt maakt gelijktijdig gebruik van meerdere CPU's en GPU's; de besturing en monitoring gebeuren via de geïntegreerde Resource Manager. Passware Kit Forensic bevat vijf agents, Passware Kit Ultimate tien.
Passware Kit Ultimate, verdere ontwikkeling en certificering
Het totale pakket
Passware Kit Ultimate bundelt de afzonderlijke componenten: Passware Kit Forensic, Passware Kit Mobile, de Device Decryption Add-on, tien Passware Kit Agents en de Passware Kit Forensic Training. Voor werkplekken zonder internetverbinding biedt de fabrikant bovendien een Air-Gapped Edition aan.
Voortdurende verdere ontwikkeling
Volgens eigen zeggen brengt Passware vier grote updates per jaar uit. Versie 2026 v3 van 23 juli 2026 bracht onder andere directe pincodeherstel op TPM-beveiligde BitLocker-apparaten, ondersteuning voor de GNOME-sleutelbundel, uitgebreide Hashcat-regels en een native bètaversie voor Apple Silicon.
Opleiding en certificering
Met de Passware Certified Examiner (PCE) biedt de fabrikant een Engelstalige zelfstudiecursus aan voor het ontsleutelen van bewijsmateriaal: 16 videolessen met een totale duur van meer dan tien uur, een jaar toegang, een afsluitend examen met 63 vragen en een vereiste score van 80 procent. Het certificaat is twee jaar geldig.
Plaatsing in onze gereedschapskist
Passware is bij ons de tool voor het ontcijferen, dus voor de toegang tot de gegevens. De daaropvolgende inhoudelijke evaluatie vindt plaats met de daarvoor bestemde analyse-tools van onze andere technologiepartners. Deze scheiding is bewust aangebracht: elke stap wordt uitgevoerd met de tool die daar technisch het meest geschikt voor is – en blijft daardoor afzonderlijk traceerbaar en documenteerbaar.
Technische gegevensbladen van de fabrikant
Passware aanschaffen via LanCologne
U kunt Passware-licenties verkrijgen via LanCologne. Wij adviseren u over de juiste editie, de compatibiliteit met uw bestaande apparatuur en – indien gewenst – over de praktische toepassing in uw specifieke situatie.
Bron & verdere informatie op:
Passware