BitLocker加密是Windows系统的一种数据保护功能，主要用于解决计算机设备因数据被盗或恶意泄露而造成的物理损失。它可以同时支持FAT和NTFS格式，可以加密计算机的整个系统分区，也可以加密便携式便携式存储设备。如U盘和移动硬盘。

BitLocker采用AES (Advanced Encryption Standard) 128位或256位加密算法进行加密。加密安全可靠。一般来说，只要密码足够强，这种加密是很难被破解的。因此，当案件涉及的计算机和U盘在取证中被Bitlocker加密后，破解加密以获取涉案数据就显得尤为重要。

在开始之前，让我们先回答之前的问题：数组块大小：32个扇区；循环方向：右旋；异步模式相同：同步；起始扇区：扇区0。

如果您有任何问题，请在本文下方留言。

课前提要

BitLocker加密过程

在磁盘上进行BitLocker加密的方法非常简单。打开资源管理器，右键单击要加密的磁盘分区，并选择“启用BitLocker”。(加密也可以在控制面板-系统和安全- BitLocker驱动器加密中启用和管理。)

(2)点击“Enable BitLocker”，在弹出的新窗口中设置加密后的驱动器密码，输入完成后点击“Next”，然后选择恢复密钥的保存位置。

(3)一般来说，将恢复密钥存储在u盘或打印出来更安全，因为将加密驱动器与恢复密钥分开会更安全。然而，在实践中，恢复密钥有时会保存在硬盘驱动器上以节省时间，这也为我们提供了解密的可能性。

(4)然后BitLocker开始加密整个驱动器。BitLocker加密和解密硬盘的时间较长，用户需要等待较长时间。加密完成后，您可以在原始磁盘图标上看到一个额外的锁，表明该驱动器已被加密。

解密分析

方案一：通过密码搜索进行解密

从所有涉及的媒体中获取与密码相关的数据，将数据组织成字典，然后通过相应的解密工具进行解密或强制破解。由于这种方法有很大的不确定性，所以要根据实际情况进行选择。

想法2:通过恢复密钥来解密

通过BitLocker加密过程，我们可以知道设置加密设置后会生成恢复密钥。通常人们会以“另存至文件”的方式保存恢复密钥(一般不选择注册微软账号，而且打印容易丢失，所以更多时候选择另存至文件)。这样，恢复密钥就以TXT文件的形式存储在存储介质中。

TXT文本数据存储在介质中，底部是明文存储，即使TXT被删除，只要底部数据没有被覆盖，我们可以通过底部关键字搜索找到恢复密钥，常规匹配的方式进行解密。

0

在某些情况下，通过案件所涉及的特定介质，如加密的u盘或移动硬盘，可以在相关计算机上启动自动解锁功能，我们只需要将所涉及的介质连接到相应的计算机上就可以解锁加密介质；

将Bitlocker加密解密后，从计算机的内存映像中提取出Bitlocker密钥。此方法没有描述。您可以自行查找相应的数据；

如有其他方法，欢迎留言讨论。

一、解密思路

本案涉及的计算机分区是由BitLocker加密的，需要解密该分区才能获得涉案数据。已完成所涉及计算机的硬盘映像。

材料检验：001。DD

操作软件：winhex、DRS6800数据恢复系统

解密思路：通过恢复密钥进行解密

1. 获取图像文件并将其加载到winhex中进行整体检索关键字“恢复键”(也可以检索关键文本中的其他关键字或对关键规则进行常规匹配检索)。具体步骤如下：

第一步：为了提高搜索精度，将采用十六进制搜索，将“恢复键”写入新的TXT中，保存为UTF-16 LE encoding TXT文本。您也可以通过所使用计算机对应的操作系统版本生成恢复密钥的TXT文件(通常保存的密钥TXT文件将以UTF-16 LE编码格式存储)。

第二步：通过winhex打开带有“恢复密钥”的txt文本，复制“恢复密钥”对应的16种机制。

第三步：打开001。DD通过winhex并将映像转换为磁盘；

步骤4:通过复制的“恢复密钥”对应的16个机制，对打开的001进行全面搜索。DD镜像文件，找到与恢复密钥相关的记录，并执行下一步的恢复密钥解密验证。

2. 解密并验证上一步找到的恢复密钥，进入DRS6800数据恢复系统的数据恢复模块，加载001。DD镜像，右键单击镜像中的加密分区，选择“解锁Bitlocker”，输入恢复密钥进行解密，选择“快速扫描”，即可获取加密分区数据。

恢复密钥文件可能存储在本案涉及的相关介质中。结合USB插头记录等痕迹，可以快速找到相关媒体；

(2)由于操作系统版本不同，Bitlocker可能存在兼容性问题。如果在Windows下解密Bitlocker，则需要选择与所涉及媒体相同的操作系统版本。

对于已解密的分区或USB介质，证据需要在解密状态下尽快修复。可以通过winhex直接打开解密分区来修复分区镜像。请注意，如果通过打开磁盘再打开分区来固定分区，则该分区仍将被加密；

对于已解密的分区或USB介质，为了防止紧急情况下介质被加密，可以在解密状态下右键单击，管理BitLocker操作备份恢复密钥文件。

二、 案例实操

使用恢复密钥解密映像中的加密分区，并给出经过重复数据删除后加密分区中的word文档数量。