BitLocker — одно из самых распространённых решений шифрования дисков в Windows. BitLocker используется как в организациях, так и для защиты портативных устройств — ноутбуков и устройств-трансформеров под управлением Windows. В то же время BitLocker может заблокировать доступ к зашифрованным данным, если пароль для входа в Windows утерян. Мы предлагаем решение на основе загрузочного USB-накопителя, позволяющее восстановить доступ к учётным записям Windows для систем, защищённых BitLocker. В этой статье нет ни слова о том, как взломать шифрование томов BitLocker. Мы рассказываем о том, как получить доступ к учётным записям пользователей Windows, если загрузочный диск зашифрован, но в вашем распоряжении есть депонированный ключ или один из доступных протекторов — факторов, позволяющих разблокировать том.

Методы защиты BitLocker

В предыдущей статье Механизмы защиты BitLocker: какие диски можно, а какие нельзя взломать мы подробно описали, какие типы протекторов (факторов, позволяющих разблокировать том BitLocker) существуют и какие из них можно взломать. Существуют такие типы протекторов, как TPM, TPM+PIN, TPM+USB, TPM+USB+PIN, USB и «только пароль». Методом перебора можно вскрыть лишь последний из них — «только пароль». Системные (загрузочные) диски таким способом защищают редко, а вот дополнительные разделы и внешние накопители защитить другим способом затруднительно. В результате подавляющее большинство как внешних, так и встроенных дисков в системе, за исключением загрузочного, обычно защищено именно паролем и только им.

А что насчёт остальных типов протекторов? Если отвлечься от мощной, но чрезвычайно технически сложной атаки методом холодной загрузки, то остаётся лишь вариант с использованием депонированного ключа — последовательности из 48 цифр, которая сохраняется по умолчанию либо в учётной записи пользователя Microsoft Account, либо, если речь идёт о корпоративном компьютере, в Active Directory.

И если при помощи пароля можно смонтировать или расшифровать соответствующий том даже если пароль к учётной записи пользователя утрачен (к примеру, сотрудник покинул компанию), то что-либо сделать в такой ситуации с загрузочным диском, для которого есть депонированный ключ, достаточно сложно. Microsoft не предлагает внятного способа для восстановления доступа к учётной записи пользователей Windows, если загрузочный томе зашифрован с помощью BitLocker. Восстановить или сбросить пароль к учётной записи пользователя не получится, даже если в вашем распоряжении есть депонированный ключ. По сути, единственный штатный способ восстановить доступ к системе — загрузиться с диска восстановления Windows и смонтировать зашифрованный том, введя ключ восстановления. Однако потом вам придётся либо переустановить Windows, либо скопировать данные с зашифрованного тома. Просто сбросить пароль от учётной записи вы не сможете.

Мы предлагаем более простой способ. Начиная с версии 7.05, Elcomsoft System Recovery может разблокировать тома, зашифрованные BitLocker, путём загрузки с USB накопителя. Разумеется, просто вскрыть защиту нельзя: вам в любом случае понадобится депонированный ключ или пароль к зашифрованному тому.

Какие протекторы поддерживаются

О тому, какие именно протекторы существуют, подробно рассказано в статье Механизмы защиты BitLocker: какие диски можно, а какие нельзя взломать. Сегодня перед нами не стоит задача взлома соответствующего протектора; всё, что нам требуется осуществить — это получить доступ к учётным записям системы, загрузившись с USB накопителя. В зависимости от типа протектора доступны следующие варианты.

• TPM. Достаточно часто используется для защиты системных накопителей, особенно в портативных компьютерах. Elcomsoft System Recovery поддерживает такие тома, если у вас есть наготове депонированный ключ.
• Только пароль. Второй по популярности тип протектора; чаще всего встречается на внешних дисках и разделах, не являющихся системными. ESR предлагает сразу два способа смонтировать такие тома: паролем тома (если он известен) либо депонированным ключом.
• USB. В компьютерах, не оборудованных модулем TPM или платформой Intel PTT, иногда используют защиту в виде ключа USB. Для этого требуется редактирование групповых политик Windows; зашифрованный том разблокируется автоматически при наличии так называемого Startup Key. ESR может смонтировать такие тома при наличии либо самого ключа Startup Key, либо депонированного ключа.
• TPM+PIN, TPM+USB, TPM+PIN+USB. Данные комбинации потребуют наличия всех без исключения протекторов. В рамках Elcomsoft System Recovery данные типы протекторов поддерживаются только при наличии депонированного ключа.

Для удобства мы свели данные в таблицу. В первой колонке (Supported in ESR 7.05) приводится информация о том, можно ли смонтировать том BitLocker, если в вашем распоряжении есть указанный протектор (к примеру, ключ, пароль или PIN-код). В правой колонке указано, можно ли смонтировать том, если у вас есть доступ к депонированному ключу.

Как смонтировать зашифрованный том

Для загрузки в Elcomsoft System Recovery необходимо создать загрузочный накопитель в ESR 7.05 или новее. Чтобы создать загрузочный USB накопитель, запустите программу на своём (а не на исследуемом) компьютере и следуйте указаниям мастера.

После создания загрузочного накопителя используйте его для загрузки целевого компьютера. После загрузки компьютера будет запущено приложение Elcomsoft System Recovery. Инструмент автоматически просканирует доступные жёсткие диски на предмет зашифрованных томов. Если ESR обнаружит хотя бы один том BitLocker, будет выведено предложение разблокировать диск:

Для продолжения нажмите Yes и Next.

В следующем окне ESR отобразит букву диска и тип протектора. Если будет обнаружен хотя бы один неподдерживаемый протектор, такие протекторы не будут показаны по умолчанию. Чтобы отобразить все протекторы, включая неподдерживаемые, снимите флажок «Show supported disk protectors only».

Как только флажок будет снят, вы увидите неподдерживаемые протекторы. В приведённом ниже примере загрузочный диск был защищён двумя протекторами: TPM+PIN (напрямую не поддерживается в ESR) и депонированным ключом (Recovery Key), который в ESR поддерживается.

Чтобы разблокировать диск, введите ключ восстановления (48 цифр) в поле «Numerical password», затем нажмите «Unprotect». Если ключ восстановления правильный, том будет успешно разблокирован.

Встречаются тома BitLocker, защищённые сразу несколькими протекторами, которые поддерживаются ESR. В приведённом ниже примере том был защищён паролем, а ключ восстановления был создан в качестве дополнительного (резервного) протектора. Собственно, именно так обычно и защищены все диски, кроме загрузочных. В этом случае укажите тот тип протектора, к которому у вас есть доступ. Например, если вы знаете пароль к тому BitLocker, выберите «Password».