Volúmenes cifrados: BitLocker, FileVault y VeraCrypt

El cifrado de volúmenes y contenedores es ahora la opción predeterminada en muchas computadoras portátiles. Esta lección explica cómo reconocer volúmenes BitLocker, FileVault, LUKS y VeraCrypt en una imagen o en una recopilación de triaje, cómo se organizan las claves de BitLocker en capas, qué fuentes lícitas de claves y oportunidades en sistemas en ejecución existen, y cómo informar sobre lo que no se pudo examinar. La búsqueda de contraseñas por ensayo es un proceso independiente que depende de la autorización y no se aborda aquí.

¿Obstáculo o acción antiforense?

El cifrado suele ser legítimo: privacidad, políticas de protección de datos y sistemas operativos que lo habilitan automáticamente. Trátelo primero como un obstáculo. Solo constituye un acto antiforense cuando el contexto respalda esa interpretación; por ejemplo, un contenedor disimulado con un nombre engañoso, creado o utilizado en fechas próximas al incidente, o software ejecutado y luego eliminado. Presente esa inferencia por separado del hallazgo técnico.

Reconocimiento de volúmenes cifrados

BitLocker

Un volumen BitLocker conserva un encabezado de volumen sin cifrar cuyo identificador OEM en el desplazamiento 3 es la cadena de 8 bytes -FVE-FS-, donde un volumen NTFS muestra NTFS seguido de cuatro espacios. El volumen también contiene tres copias del bloque de metadatos FVE (cifrado completo del volumen), cada una de las cuales también comienza por -FVE-FS-; registran el método de cifrado, los protectores de clave y las claves encapsuladas. Windows 10 versión 1511 introdujo XTS-AES; las versiones anteriores utilizaban AES-CBC. En unidades extraíbles, los volúmenes BitLocker To Go que se formatearon como FAT pueden mostrar un encabezado de estilo FAT32 con el identificador OEM MSWIN4.1, por lo que buscar -FVE-FS- en el volumen permite encontrar los bloques de metadatos de todos modos.

En un sistema en ejecución, manage-bde -status informa, para cada volumen, del estado de conversión, el porcentaje cifrado, el método de cifrado, el estado de protección, el estado de bloqueo y los protectores de clave. El canal del registro de eventos Microsoft-Windows-BitLocker/BitLocker Management (archivo Microsoft-Windows-BitLocker%4BitLocker Management.evtx) registra eventos como el inicio del cifrado, la adición o eliminación de protectores y la copia de seguridad de la información de recuperación. Los identificadores de evento varían entre versiones de Windows, por lo que debe filtrar por canal y leer el texto del mensaje.

FileVault

En una Mac, FileVault protege el volumen de datos APFS. Un superbloque de volumen APFS sin el indicador APFS_FS_UNENCRYPTED (0x1 en apfs_fs_flags) corresponde a un volumen cifrado. En las Mac con T2 y Apple silicon, esto se cumple para todos los volúmenes internos incluso con FileVault desactivado, por lo que el indicador por sí solo no demuestra que FileVault esté activado. Como se explicó en la lección 1.7, las Mac con un chip T2 o Apple silicon siempre cifran el almacenamiento interno por hardware; FileVault añade el requisito de que las credenciales de un usuario desbloqueen la clave. En el sistema en ejecución, fdesetup status informa: "FileVault está activado."

LUKS

Linux Unified Key Setup comienza con la firma mágica de 6 bytes LUKS\xba\xbe (4C 55 4B 53 BA BE) en el desplazamiento 0, seguida de una versión de 2 bytes: 1 o 2. LUKS1 tiene un encabezado binario de 592 bytes con ocho ranuras de clave y utiliza PBKDF2. LUKS2 tiene un encabezado binario de 4.096 bytes seguido de metadatos JSON, una segunda copia del encabezado cuya firma mágica es SKUL\xba\xbe, hasta 32 ranuras de clave y Argon2id como opción predeterminada habitual. Cada ranura de clave contiene la clave del volumen cifrada con una frase de contraseña o un archivo de clave.

VeraCrypt y TrueCrypt

VeraCrypt, el sucesor de TrueCrypt (descontinuado en 2014), no escribe ninguna firma en texto sin cifrar. El encabezado comienza con una sal aleatoria de 64 bytes; la firma mágica VERA (o TRUE) aparece solo después de descifrar el encabezado con la contraseña correcta. Por lo tanto, un archivo contenedor o una partición parecen datos aleatorios. Los indicadores son:

• entropía de Shannon cercana al máximo de 8 bits/byte en todo el objeto;
• un tamaño que sea múltiplo de 512 bytes;
• ausencia de una firma de archivo reconocible, a menudo con una extensión o un nombre que sugieren otra cosa.

Estos son indicadores, no pruebas: el espacio borrado de forma segura (lección 7.1), los datos aleatorios de prueba y otras herramientas de cifrado presentan el mismo aspecto. Los archivos comprimidos también tienen una entropía alta, pero incluyen encabezados como PK o 7z. El cifrado del sistema es más fácil de detectar, porque el cargador de arranque de VeraCrypt sustituye al normal (en sistemas UEFI, en \EFI\VeraCrypt\ dentro de la partición del sistema EFI).

Un volumen oculto de VeraCrypt se sitúa dentro del espacio libre de un volumen externo, que se rellena con datos aleatorios, por lo que su presencia no puede demostrarse ni descartarse a partir del contenedor por sí solo. Solo otros artefactos, como archivos LNK que apunten a rutas que no existen en el volumen externo abierto, pueden respaldar esa afirmación. Nunca afirme una cosa ni la contraria sin tales evidencias.

Artefactos de software

Cuando el contenedor no puede identificarse directamente, sí puede identificarse el uso del software. Busque archivos Prefetch de VERACRYPT.EXE y VERACRYPT FORMAT.EXE, entradas de Amcache y BAM (lección 2.3), y el controlador %windir%\System32\drivers\veracrypt.sys (ausente en modo portátil). %APPDATA%\VeraCrypt\ (en modo portátil, la carpeta que contiene VeraCrypt.exe) contiene Configuration.xml (preferencias, incluida la configuración de desmontaje automático) y, solo si se utilizaron esas funciones, Favorite Volumes.xml (volúmenes guardados y sus letras de unidad) e History.xml (las últimas 20 rutas de volúmenes; "No guardar nunca el historial" está habilitado de forma predeterminada). Los volúmenes montados pueden dejar rastros de letras de unidad: un valor \DosDevices\Z: en MountedDevices cuyos datos no coincidan con ningún disco conocido, y archivos LNK y listas de accesos directos (lección 2.4) cuyo número de serie del volumen de destino no coincida con ningún volumen conocido.

Arquitectura de claves de BitLocker

BitLocker utiliza tres capas. Los sectores se cifran con la FVEK (clave de cifrado completo del volumen). La FVEK se almacena en los metadatos, cifrada con la VMK (clave maestra del volumen). La VMK se almacena varias veces, encapsulada una vez por cada protector de clave. Añadir o eliminar un protector solo añade o elimina una copia encapsulada de la VMK; los datos no se vuelven a cifrar.

Los protectores incluyen solo TPM (el módulo de plataforma segura libera la VMK si la cadena de arranque medida no ha cambiado), TPM + PIN, TPM + clave de inicio, una contraseña (habitual para unidades de datos y extraíbles), un archivo de clave de inicio o de recuperación (.BEK), la contraseña de recuperación y el desbloqueo automático (una unidad de datos que se abre automáticamente una vez desbloqueado el volumen del sistema operativo). Cada protector tiene un identificador de clave GUID; la pantalla de recuperación muestra su parte inicial, de modo que una contraseña recuperada pueda asociarse con el volumen correcto.

La contraseña de recuperación tiene 48 dígitos en ocho grupos de seis. Cada grupo codifica 16 bits multiplicados por 11, por lo que todo grupo válido es divisible por 11 y tiene como máximo 65.535 × 11 = 720.885; los ocho grupos proporcionan la clave de 128 bits. Esto es una comprobación de formato, no una prueba de que un valor pertenezca a un volumen.

Una contraseña de recuperación puede almacenarse legítimamente en:

• la cuenta de Microsoft del usuario, en su página de claves de recuperación;
• Active Directory, como objetos msFVE-RecoveryInformation bajo el objeto del equipo (atributo msFVE-RecoveryPassword), o Entra ID, en el objeto del dispositivo;
• bases de datos de administración de MBAM o Intune;
• una copia impresa, un archivo de texto o una unidad USB, guardados por el usuario.

Muchos dispositivos con Windows 11 activan automáticamente el Cifrado de dispositivo y crean una copia de seguridad de la clave en la cuenta de Microsoft o en la cuenta de trabajo al iniciar sesión. Si BitLocker está suspendido, la VMK se almacena con una "clave en claro" sin cifrar: el volumen permanece cifrado, pero cualquier herramienta compatible puede leerlo.

Vías de acceso lícitas

• El sistema en ejecución y desbloqueado. Capture la memoria y, a continuación, adquiera una imagen lógica del volumen desbloqueado (una imagen física solo copia el texto cifrado). Registre manage-bde -status y manage-bde -protectors -get C:, que muestra el identificador de cada protector y, si se ejecuta como administrador, la contraseña numérica de recuperación.
• Claves en memoria. Mientras un volumen está desbloqueado o montado, la FVEK o la clave maestra de VeraCrypt está en la RAM (salvo que se haya habilitado el cifrado opcional de RAM de VeraCrypt, disponible desde la versión 1.24 y desactivado de forma predeterminada; Configuration.xml lo muestra). Las herramientas de análisis de memoria, incluidos los complementos de la comunidad de Volatility y las suites comerciales, pueden localizarlas, y las bibliotecas de código abierto de BitLocker pueden después descifrar una imagen con la clave recuperada. Los archivos de hibernación y los volcados de memoria por fallos también pueden contenerlas (lección 5.4), pero en una unidad C: cifrada solo después de desbloquear C:.
• Solo TPM en el equipo original. Arrancar el equipo original desbloquea el volumen sin necesidad de un secreto, aunque el inicio de sesión de Windows sigue protegiendo la sesión. Una unidad extraída de ese equipo necesita una contraseña de recuperación.
• Claves custodiadas. Solicite las contraseñas de recuperación a la organización o al proveedor mediante el procedimiento legal correspondiente, indicando el identificador de clave.
• El propietario. Es posible solicitar una contraseña; el marco legal varía según el país.
• FileVault: una contraseña de usuario, la clave de recuperación personal (24 caracteres en seis grupos de cuatro), una clave de recuperación institucional o la custodia mediante MDM, o la Mac en ejecución y desbloqueada.
• VeraCrypt y LUKS: la contraseña o el archivo de clave, o la clave en memoria mientras el volumen está montado; adquiera una imagen del volumen mapeado mientras esté abierto.

El tiempo importa. El acceso a un volumen montado se pierde al apagar el equipo, y VeraCrypt puede configurarse para desmontarlo al cerrar sesión, bloquear la sesión, activar el protector de pantalla, entrar en modo de ahorro de energía o transcurrir un periodo sin lecturas ni escrituras. Las decisiones de triaje (lección 5.1) suelen determinar si los datos cifrados llegan a leerse.

Ejemplo resuelto: una computadora portátil en suspensión

Se incauta una computadora portátil con Windows 11 en suspensión y con la pantalla bloqueada. El triaje muestra BitLocker con un protector de solo TPM en C: y, en D:, un archivo D:\backup\photos.bin sin encabezado conocido. El sistema tiene archivos Prefetch de VeraCrypt y un archivo LNK que apunta a Z:\clients\list.xlsx en un volumen cuyo número de serie no aparece en ningún otro lugar.

Secuencia. Conecte el cargador, fotografíe la pantalla e impida la hibernación. La adquisición en vivo requiere una sesión autenticada, por lo que debe obtener credenciales de forma lícita del propietario o de la organización. Después:

1. Primero, la memoria. Puede contener la clave maestra de VeraCrypt y la FVEK de BitLocker.
2. Después, Z:, si sigue montado. Fotografíe la ventana de VeraCrypt, que muestra la ruta del archivo montado y el tipo de volumen, y adquiera una imagen lógica de Z:. No hay otra vía para obtener estos datos, y un desmontaje por inactividad podría cerrar el volumen mientras trabaja en C:.
3. Por último, C:. Registre manage-bde -status y los identificadores de los protectores y, a continuación, adquiera una imagen lógica de C:. C: tiene alternativas: el TPM del equipo original y cualquier contraseña de recuperación custodiada.

El archivo. Su tamaño es de 4.294.967.296 bytes = 4 GiB = 2^32 bytes = 8.388.608 × 512, un múltiplo exacto de 512. Su entropía, promediada en bloques de 1 MiB, es de 7,9998 bits/byte, que es lo que producen los datos aleatorios con ese tamaño de bloque (el sesgo por muestras pequeñas la mantiene justo por debajo de 8). Con evidencia de ejecución de VeraCrypt, la afirmación correcta es: photos.bin es compatible con un contenedor cifrado, como un archivo contenedor de VeraCrypt; esto no está demostrado. Si más adelante se abre de forma lícita y el número de serie del volumen de su sistema de archivos coincide con el del archivo LNK, eso lo vincula con Z:.

Comprobación de la contraseña de recuperación. Un ejemplo válido creado para esta lección es 403425-176198-692373-264044-664609-429165-106161-702482. Primer grupo: 403.425 ÷ 11 = 36.675 exactamente (11 × 36.675 = 403.425), y 36.675 es inferior a 65.536. Un error de transcripción como 403.426 deja un resto de 1 y no supera la comprobación.

Elaboración del informe

Indique que un volumen está cifrado y con qué tecnología; cómo se identificó (firma y desplazamiento, metadatos, medición de entropía y tamaño de bloque, artefactos de software); qué claves se buscaron, dónde y con qué resultado, incluidos los identificadores de clave; qué se adquirió en vivo y cuándo (UTC); y qué no se pudo examinar. Mantenga separadas las inferencias sobre la intención. ISO/IEC 27037 exige que cada acción en vivo esté justificada y documentada.

Enfoque del examen: Prepárese para reconocer BitLocker por -FVE-FS- en el desplazamiento 3, explicar las capas de FVEK, VMK y protectores, y validar los grupos de la contraseña de recuperación mediante su divisibilidad por 11. Es probable que las preguntas basadas en escenarios evalúen el orden de adquisición en un sistema en ejecución con un contenedor montado, y la formulación cuidadosa de que un archivo de alta entropía sin encabezado es compatible con un contenedor cifrado, pero no constituye una prueba de ello.

Puntos clave

• BitLocker muestra -FVE-FS- en el desplazamiento 3 y en sus bloques de metadatos FVE; LUKS comienza con LUKS\xba\xbe; VeraCrypt no tiene una firma en texto sin cifrar.
• Una entropía alta, un tamaño divisible por 512 y la ausencia de encabezado indican un posible contenedor, pero no lo demuestran; los volúmenes ocultos no pueden demostrarse ni descartarse a partir del contenedor por sí solo.
• Los sectores se cifran con la FVEK, la FVEK con la VMK y la VMK con cada protector.
• Una contraseña de recuperación tiene ocho grupos de seis dígitos, cada uno divisible por 11; asóciela mediante el identificador de clave.
• Capture la memoria e imágenes lógicas mientras los volúmenes estén desbloqueados, dando prioridad a lo que no tenga otra fuente de claves.
• Informe sobre el cifrado, cómo se identificó, las fuentes de claves que se probaron y lo que queda sin examinar.