BitLocker Forensics

Définition

BitLocker est la solution de chiffrement de disque intégrée à Windows permettant de chiffrer des volumes entiers avec AES (128 ou 256 bits en mode XTS-AES sur les versions modernes). Pour les investigations forensiques, BitLocker représente un obstacle majeur si la clé de déchiffrement n'est pas disponible, mais aussi une source d'information sur la configuration de sécurité du système. Les modes de déverrouillage BitLocker influencent les possibilités forensiques. En mode TPM uniquement, BitLocker est transparent pour l'utilisateur — le volume se déchiffre automatiquement au démarrage si le TPM valide l'intégrité du démarrage. En mode TPM+PIN, un PIN est requis au démarrage. En mode Recovery Key uniquement, une clé de récupération de 48 chiffres est le seul moyen de déchiffrement. La Recovery Key est la cible principale de l'investigation forensique. Les sources de Recovery Keys BitLocker incluent : Active Directory (si la stratégie GPO est configurée pour sauvegarder les clés dans AD, ce qui est recommandé en entreprise), Azure Active Directory (pour les appareils joints à Azure AD, les Recovery Keys sont stockées dans le portail Azure/Entra ID), le compte Microsoft de l'utilisateur (pour les éditions Home/Pro personnelles, les clés sont sauvegardées dans le portail account.microsoft.com), et les sauvegardes manuelles (fichier de Recovery Key, impression). Pour les investigations sur des systèmes BitLocker actifs (running), le dump mémoire est la méthode d'accès forensique la plus précieuse : la Full Volume Encryption Key (FVEK) qui chiffre réellement les données est stockée en mémoire pendant que le volume est déverrouillé. Volatility (windows.bitlocker dans certaines versions) peut extraire cette clé depuis un dump mémoire, permettant le déchiffrement du volume. WinPmem et d'autres outils d'acquisition mémoire doivent être utilisés avant l'arrêt du système. Pour les volumes BitLocker verrouillés sans accès à la Recovery Key, les options forensiques se limitent aux métadonnées BitLocker visibles dans l'en-tête du volume (algorithme de chiffrement utilisé, GUID du volume, version) et à la recherche de clés dans des emplacements alternatifs (VSS non chiffrés sur des volumes non-OS, sauvegardes MBAM).