Como processar uma imagem BitLocker com Clear Key para gerar uma imagem raw descriptografada
O Forensic Focus publicou um guia prático para identificar volumes BitLocker protegidos pelo modo Clear Key e descriptografá-los usando as ferramentas de código aberto dislocker e bdeinfo. O texto ensina a reconhecer a assinatura "-FVE-FS-" nos metadados FVE como indício de que a chave está armazenada em texto claro dentro da própria imagem, permitindo montar o volume NTFS decifrado sem senha de recuperação.
Em volumes BitLocker configurados com Clear Key (também chamado de "unencrypted" protector no FVE), a chave de criptografia do volume fica gravada em texto claro dentro dos próprios metadados Full Volume Encryption, um recurso originalmente pensado para janelas de manutenção temporária — por exemplo, durante atualizações de firmware ou migrações de hardware — em que o BitLocker precisa ficar temporariamente "aberto" sem exigir PIN ou chave de recuperação de 48 dígitos. Esse estado também aparece com frequência em imagens forenses reais, seja porque a criptografia completa nunca foi finalizada, seja porque um administrador deixou a proteção rebaixada por conveniência operacional.
A assinatura "-FVE-FS-" localizada nos primeiros setores do volume funciona como indicador de que esse protetor Clear Key está ativo, permitindo ao perito diferenciar rapidamente, ainda em fase de triagem, um volume que exigirá quebra de senha de um que pode ser decifrado diretamente a partir da imagem. O par de ferramentas citado no artigo reflete esse fluxo de trabalho: bdeinfo, parte da biblioteca libyal/libbde, é usado para inspecionar os metadados do volume BitLocker sem necessidade de descriptografá-lo, enquanto o dislocker (ferramenta Linux consolidada em investigações de disco) efetivamente decodifica o volume a partir da chave em claro e o expõe como um dispositivo virtual que pode ser montado com utilitários padrão do sistema operacional.
Na prática pericial, esse tipo de procedimento evita o caminho mais custoso — ataque de força bruta à senha ou dependência da chave de recuperação da organização — em casos onde a criptografia nunca chegou a ser reforçada com um segredo do usuário. Depois de decifrado, o volume NTFS resultante pode ser tratado como qualquer outra evidência de disco, permitindo timeline, recuperação de artefatos e análise de arquivo com as ferramentas forenses habituais (Autopsy, The Sleuth Kit, etc.).
O valor do artigo está em documentar um cenário que muitas vezes passa despercebido em treinamentos de perícia de disco, já que a maior parte da literatura sobre BitLocker foca em senha do usuário, TPM ou chave de recuperação — não no caso, relativamente comum em ambientes corporativos mal configurados, em que a própria imagem carrega a chave.