TrueCrypt加密之后的取证方法（广东公安科技）

以下内容来自《广东公安科技》2011年4月，TrueCrypt加密之后的取证方法。全文见附件。

TrueCrypt加密之后的文件，目前没有好的办法破解，因此在调查取证的时候，可以考虑以下方法：
4.1 分析和检查是否有TrueCrypt加密之后的文件存在。
(a) TrueCrypt加密之后的文件没有固定的特征，如果加密者把这样的文件保存为常见格式的文件时，利用Encase、Winhex、取证大师等软件分析文件特征，对于不匹配的文件重点分析，进行排查是否为加密文件；
(b) 搜索系统所安装软件，包括历史安装记录，检查是否有安装TrueCrypt软件的
痕迹；
(c) 搜索大文件，作为加密容器，一般都存放着多个文件，因此，较大的文件可能性会比较大，不过也不排除特别重要的文件单独加密的可能。
4.2 TrueCrypt能设置双层加密，即在一个加密卷中再隐藏另一个加密卷，隐藏卷形象的来说就是“嵌套”在普通加密卷里边的。当用户被胁迫解密加密卷时，用户可以把隐藏加密卷的“外套”普通加密卷解密，透露一些无关紧要的信息，而真正的受保护的信息则隐藏在隐藏卷中，数据得以保护。加密卷的加载流程如下图所示：

2012-12-17 2-01-55.jpg (33.35 KB, 下载次数: 12)

下载附件

2012-12-17 02:15 上传

对于此类情况，首先要考虑是否能得到隐藏卷的密码，如果不能，应该把数据备份之后，用无用数据填充的方式覆盖普通卷空余的空间，可以把伪装在普通卷里面的数据破坏，让加密者自己也无法再恢复这些隐藏的数据。

4.3 TrueCrypt对数据的操作都是在内存(RAM)中进行，因此软件不确定是否在计算机的内存中保存有密码、主密钥和一些未加密的数据。而最新的研究成果显示，即使计算机关机后，内存保存的资料，包括加密程序的安全锁和口令仍未消失，最长可能达数分钟之久，透过冷冻计算机记忆芯片，还可延长内存暂存资料的时间，普林斯顿大学一班计算机保安专家组成的研究小组组长-计算机科学家费尔滕解释：只要以液态氮(摄氏-196度)冷冻计算机芯片，即使电源已中断，内存仍可保持状态至少数小时。然后将芯片安装回计算机，就可读取里面的资料。

4.4 在使用者机器上安装使用间谍或者监控程序，开机自动运行，利用键盘记录钩子记录TrueCrypt加载卷的密码。此外，还可以利用政策，社会工程学方法(如通过其他途径获得其他帐号密码或者其他方面的信息来分析加密文件的密码)等方式来获取密码，并注意是否可以获取隐藏卷的密码。

5 总结

TrueCrypt是全球著名的开源加密软件，有着安全、易用、功能强大等优点，也适用于可移动存储设备的加密。随着在国内应用的推广，对使用该软件加密之后的计算机数据的取证也变得越来越困难，因此有必要对这方面加强研究，总结规律，以提高取证的效率。