Windows 11 BitLocker 암호화 우회 및 키 추출

Windows 11 BitLocker Encryption Bypassed to Extract Full Volume Encryption Keys

Windows 11 BitLocker Encryption Bypassed to Extract Full Volume Encryption Keys

 

• 취약점 개요
  • 연구자가 Windows 11의 BitLocker 암호화를 우회해 전체 볼륨 암호화 키(FVEK)를 메모리에서 추출하는 방법을 시연
  • 공격은 RAM 잔류 데이터를 활용하여 메모리 내 암호화 키를 획득
• 공격 방법
  • RAM 데이터 잔류: 시스템이 갑작스럽게 재시작되면 RAM 데이터가 짧은 시간 동안 유지
  • RAM 덤프 및 분석: 메모리 덤프에서 FVEK를 포함한 민감한 데이터를 추출
  • 주요 단계
    • 부팅 가능한 USB 도구 준비: 연구자가 제공한 스크립트를 사용해 USB를 준비
    • 시스템 강제 재시작: 마더보드의 리셋 핀을 단락시켜 RAM 전원을 유지하며 시스템 재시작
    • RAM 데이터 덤프: Memory-Dump-UEFI 도구를 사용해 RAM 데이터를 USB로 추출
    • 메모리 분석: 도구(concatDumps, xxd)를 활용해 dFVE 같은 메모리 태그를 식별하여 키를 검색
    • 암호화 키 복구: 추출된 키를 Dislocker와 같은 도구로 사용해 암호화 볼륨 해제
• 취약점의 영향
  • BitLocker는 기업 환경에서 중요한 데이터를 보호하는 핵심 암호화 도구로 사용
  • 이 취약점은 물리적 접근이 가능한 환경에서 공격자가 민감한 데이터를 복구할 수 있음을 보여줌
  • RAM 잔류 데이터를 활용한 공격으로 암호화 무력화
• 보안 권고
  • 장치 물리적 보안 강화: 장치를 잠금 가능한 환경에 배치해 물리적 접근 차단
  • TPM 설정 활성화: 신뢰할 수 있는 플랫폼 모듈(TPM)을 활용해 하드웨어 기반 보안을 추가
  • RAM 초기화 강화: 시스템 종료 시 RAM 데이터를 완전히 지우는 프로토콜 채택
  • 빠른 종료 메커니즘: RAM 데이터를 지우기 위한 완전 종료 절차 사용
  • 사용자 교육: 물리적 장치 보안의 중요성을 교육해 보안 의식을 높임
• 결론
  • 이 연구는 물리적 접근이 가능한 상황에서 BitLocker의 취약점을 보여줌
  • Microsoft는 취약점을 분석하고 BitLocker의 복원력을 개선하기 위한 업데이트를 준비할 것으로 예상
  • 암호화 시스템의 취약성을 완화하기 위해 조직과 개인은 물리적 보안과 운영 절차를 강화해야 함