[發明專利]TrueCrypt加密軟件口令恢復方法、加密數據取證系統及存儲介質

在審

• 申請號: 202010540168.7
• 申請日: 2020-06-15
• 公開（公告）號: CN111783077A
• 公開（公告）日: 2020-10-16
• 發明（設計）人: 張李軍;吉慶兵;于飛;談程
• 申請（專利權）人: 中國電子科技集團公司第三十研究所
• 主分類號: G06F21/46
• 分類號: G06F21/46;G06F21/60
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 管高峰

1.一種TrueCrypt加密軟件口令恢復方法，其特征在于，包括以下步驟：

步驟一：快速識別TrueCrypt加密容器，搜索出可疑度較高的加密容器；加密容器識別包括對加密全盤、加密分區和加密文件卷三種容器形式的識別；

步驟二：提取加密容器的頭部數據，并按照TrueCrypt密文數據組織結構進行格式字段解析，解析出用于口令破解的參數字段；

步驟三：利用目標人員的社會工程學信息和基礎口令字典生成用于破解的定向智能口令字典，破解加密容器的口令。

2.根據權利要求1所述的一種TrueCrypt加密軟件口令恢復方法，其特征在于，加密全盤的識別方法包括：如果在啟動計算機時出現TrueCrypt Boot Loader和輸入口令的提示，則磁盤使用了全盤加密。

3.根據權利要求1所述的一種TrueCrypt加密軟件口令恢復方法，其特征在于，加密分區的識別方法包括：如果不是全盤加密，則計算機操作系統能正常啟動，從軟件安裝記錄或注冊表確認是否安裝了TrueCrypt；在確認安裝了TrueCrypt后，若點擊某個分區不顯示分區大小，并且操作系統提示該分區未被格式化，則該分區高概率為TrueCrypt的加密分區。

4.根據權利要求1所述的一種TrueCrypt加密軟件口令恢復方法，其特征在于，加密文件卷的識別方法包括：

檢查文件大小是否為512字節的整數倍，若不是，則不認為是TrueCrypt的加密文件卷；若文件大小過小，則也不認為是TrueCrypt的加密文件卷；

檢查文件簽名，若文件簽名是已知的文件類型，則不認為是TrueCrypt的加密文件卷；所述文件簽名指文件開頭位置標識一個文件類型的幾個特征字節；

計算文件的信息熵，若低于門限值，則不認為是TrueCrypt的加密文件卷；設文件含有N個字節，不同的字節一共有n個，數據中每個字節Ci的數量為N_i，則字節Ci出現的頻率為P_i＝N_i/N；記文件的信息熵為E，利用以下公式計算出文件的信息熵E：

E＝-Sum(P_i*log(P_i))

其中log表示以2為底的對數運算，Sum表示求和運算，求和的指標從1到n；

若文件大小、文件簽名和文件的信息熵均滿足加密文件卷的識別方法的判定條件，且不能被文件類型對應的應用程序正常打開，則該文件高概率為TrueCrypt的加密文件卷。

5.根據權利要求4所述的一種TrueCrypt加密軟件口令恢復方法，其特征在于，信息熵的門限值包括7.9。

6.根據權利要求1所述的一種TrueCrypt加密軟件口令恢復方法，其特征在于，步驟二包括以下子步驟：

提取加密容器中連續的512字節的頭部數據；加密容器的頭部數據提取的開始位置，采用相對加密容器第0個數據的偏移量來表示；頭部數據提取后，按照TrueCrypt密文數據組織結構對512字節的頭部數據進行解析，得到用于口令破解的參數字段，包括隨機的salt字段、版本標識字段和CRC32校驗字段。

7.根據權利要求1所述的一種TrueCrypt加密軟件口令恢復方法，其特征在于，目標人員的社會工程學信息包括目標人員的個人詳細信息、以前使用過的口令和其他應用軟件中使用的口令。

8.根據權利要求1所述的一種TrueCrypt加密軟件口令恢復方法，其特征在于，步驟三中采用概率上下文無關口令生成模型或馬爾科夫口令生成模型生成定向智能口令字典。