PC-3000数据提取程序(Data Extractor)。Apple FileVault驱动器加密：问

JDCTS5

PC-3000数据提取程序(Data Extractor)。Apple FileVault驱动器加密：问题和解决方案

FileVault是Mac OS X 10.3及更高版本中使用的高端磁盘加密程序。2003年之后，苹果公司推出的大多数产品都使用FileVault为用户提供了一个可靠的工具来解密主页文件夹和个人数据。FileVault通过防止未经授权访问加密的硬盘驱动器内容，很好地完成了这项工作。没有正确的工具和专业知识，恢复数据专家将无法在苹果电脑上访问数据。

在这种情况下，当加密的驱动器被损坏以启动时，即使对熟练的专业人员来说，也可能是一个严重的挑战。在这篇文章中，我们将描述一种绕过FileVault保护的算法，并给出一些关于从损坏的加密苹果硬盘恢复数据的提示。

以下是FileVault加密方法的示意图：

1. 正在读取包含分区表的MBR（0扇区）。

2. 可选择的高容量驱动器可能有一个附加的GUID分区表（GPT），该表位于MBR之后。

3. MBR或GPT提供3个分区:

A. EFI系统分区：包含Mac OS服务信息；

B. 核心存储（CS）：此分区包含加密数据；

C. 恢复HD：需要服务信息来解密用户数据的分区。

4. 恢复HD的卷头是读取首先。然后这个分区的目录文件被加载，目录目录树变得可用。

5. 此分区具有EncryptedRoot.plist.wipekey–一个包含加密卷主密钥（VMK）的文件。访问此VMK需要一个特殊密码。

6. 核心存储分区（卷头、元数据块和卷组描述符）将被解密。

7. 通过元数据，我们可以访问加密数据。

此图仅触及解密受FileVault保护的数据的整个过程的表面。这一过程中任何一步的任何额外并发症都可能使其更具挑战性。

让我们检查一下这样的案例。

最常见的问题是不良行业。通常，位于磁盘开始的扇区获得了大部分写入和重写，因此它们更容易变得不好。MBR、GPT以及FAT元数据可能已损坏。这个特殊的问题看起来可能不是很复杂，但标准的工具集无法解决它。

解决方案是使用主动实用程序和快速磁盘分析从扇区中读取中。数据提取程序(Data Extractor)提供了多种分析方法，如整个驱动器的快速磁盘分析、FAT分区的FAT表扫描、目录文件扫描和HFS+分区的HFS+元数据解析器。

另一个问题是损坏的恢复HD分区的HFS+元数据，其中持有加密密钥。

在这里，最好的解决方案需要制作驱动器的副本并使用该副本。首先，需要找到EncryptedRoot.plist.wipekey。RAW恢复和目录文件的分析是这个案例的强大工具。

在另一个案例中，驱动器的开始和结尾都会出现损坏的零件。在这种案例下，标准工具是完全无用的。

该解决方案需要使用一组特殊的读取中参数创建驱动器的副本，然后扫描副本以查找文件结构。对找到结构的深入分析需要通过建立虚拟文件系统来完成。不得对原始数据进行任何修改。最坏的情况可能需要对文件结构进行GREP搜索。为了在这种案例中取得成功，工程师不仅需要对文件系统和结构有很好的了解，还需要运气好。

解密的核心存储分区上的文件系统可能会出现一些问题。

文件系统分析的不同方法，包括基于位图的已使用和未使用扇区的研究——这些方法将有助于恢复数据并获得完整的报告。

总结，我们一直在说，每个数据恢复工程师都应该跟上时代，因为技术在不断发展。使用适当的设备，即使是像FileVault加密的驱动器损坏这样严重的挑战，有经验的专家也能解决。