Криминалистический анализ RAM: обнаружение, расшифрование и интерпретация зашифрованных криптографических объектов и данных Чиликов А.А., к.ф.-м.н., доцент кафедры «Информационная безопасность», МГТУ им.Баумана, Passware Inc. Хоруженко Г.И., аспирант кафедры «Криптология и дискретная математика», НИЯУ МИФИ , Passware Inc. 19 марта 2015 г. Актуальность Получение доступа к защищенным данным с помощью анализа RAM Критичные данные в Критичные данные открытом виде зашифрованы • Full Disk Encryption • Учетные записи ? пользователей ОС • Пароли от веб-сайтов • … 2 ПО, использующее механизмы защиты данных в памяти Программное Механизм защиты Зашифрованные средство данные WinRAR 5.20 for CryptProtectMemory Пароль от архива Windows (ОС Windows) KeePass 1.28 (Classic) CryptProtectMemory Ключ шифрования (ОС Windows) БД KeePass 2.28 CryptProtectMemory Мастер-пароль (Professional)* (ОС Windows) 1Password 5.1 for Собственная Мастер-пароль Mac** реализация * KeePass Professional хранит ключ шифрования БД в открытом виде 3 ** 1Password for Windows хранит ключ шифрования в открытом виде Защита участка памяти на уровне прикладных программ в ОС Windows • Рассматривается случай Windows 8.1 x64 • Пара функций CryptProtectMemory/ CryptUnprotectMemory (crypt32.dll), управление передается CngEncryptMemoryEx (cng.sys). • Различные варианты защиты: o Отсутствие привязки (CROSS_PROCESS) o Привязка к пользователю (SAME_LOGON) o Привязка к процессу (SAME_PROCESS) 4 Схема работы функции CryptProtectMemory Plaintext СryptProtectMemory _EPROCESS!Cookie (crypt32.dll) CngEncryptMemoryEx _EPROCESS!TimeCreated (cng.sys) IV key SHA-1 cng!RandomSalt AES-128 CBC (cng.sys) cng!g_ShaHash Ciphertext 5 Структуры cng!g_ShaHash и cng!RandomSalt Поиск в памяти структуры cng!g_ShaHash осуществляется по начальному заполнению регистров SHA-1 и длине буфера cng!RandomSalt – массив размера 0x10 байт Для каждой версии ОС Windows смещение cng!RandomSalt относительно cng!g_ShaHash разное, но для всех версий обе структуры расположены на одной странице образа памяти 6 Структура _EPROCESS • Задача поиска и восстановления структур _EPROCESS решена (например, ПО Volatility) • Подход заключается в поиске сигнатуры структуры _POOL_HEADER и в исключении неверных вариантов на основе анализа значений полей предполагаемой структуры _EPROCESS 7 Вычисление ключа шифрования функции CryptProtectMemory # первоначальное заполнение массива структуры cng!g_ShaHash buffer = g_ShaHash.buffer # 4-байтовое значение поля Cookie структуры _EPROCESS buffer += process[ COOKIE ] # 8-байтовое значение метки времени создания # процесса из структуры _EPROCESS buffer += process[ TIME_CREATED ] # 0x10 - размер ключа шифрования AES-128 key = SHA1( buffer ).digest()[ 0 : 0x10 ] # массив cng!RandomSalt iv = RandomSalt 8 Построение множества кандидатов в ключи шифрования и векторы инициализации Множество структур cng!g_ShaHash Множество Множество Составить пару структур структур (ключ шифрования, IV) _EPROCESS cng!RandomSalt Множество пар кандидатов в ключи шифрования и IV 9 Зашифрованные CryptProtectMemory данные в ПО KeePass, WinRAR KeePass 1.28 KeePass 2.28 WinRAR 5.20 (Classic) (Professional) Идентификация Сигнатура (на Перед буфером с Сигнатура, зашифрованных основе данных зашифрованными фиксированная данных из файла БД – данными расположен длина (0x100) тип QWORD или DWORD с шифрования, размером буфера число раундов) Зашифрованные Ключ Пароль, хеш (SHA-256) Пароль данные шифрования БД от пароля Проверка Проверка по Валидные данные в Проверка по расшифрованных файлу БД терминах UTF-8, файлу архива данных соответствие одному из хешей SHA-256 10