Re: [閒聊] 張文的筆電是怎麼破解的

[Lyeuiechang (誠誠小屁孩)]

※ 引述《asdf616gm (微笑)》之銘言：
: 新聞說張文的ASUS ROG電腦被破解了
: 說找了美國專家和華碩人員後 花兩天就破解了
: 是bitlocker有後門嗎
: 還是有用側信道攻擊之類的
: 有沒有資安專家解答一下
: -----
:

因為我剛看到今天傍晚的新聞也很好奇，
所以認真查了一下 Bitlocker 跟 TPM 相關的資訊，
來跟大家分享一下找到的資訊：

What is BitLocker and BitLocker recovery?
https://www.youtube.com/watch?v=iX8QC2pRuYM


How to find your BitLocker recovery key | Microsoft
https://www.youtube.com/watch?v=drCo-S4_iNs

https://i.meee.com.tw/Hbh118I.png

* Bitlocker 金鑰到底放在哪？
由於 Bitlocker 鎖定的觸發方式是偵測到有人嘗試讀取硬碟，
但我們正常開機其實 Bitlocker 都會自動解鎖，
一般來說開機時會透過 UEFI 跟電腦上的元件進行雜湊運算，
得到的結果可以解密 TPM 的儲存空間，
接著會透過訊號把 Bitlocker 金鑰傳輸到 CPU 進行解密。

由於 TPM 與 CPU 之間的主板通訊其實是沒有加密，
所以確實有人已經透過 Side Channel Attack 的攻擊手法，
在主板上面的訊號點位讀取解密的金鑰。

可以參考這個影片的介紹：

Breaking Bitlocker - Bypassing the Windows Disk Encryption
https://www.youtube.com/watch?v=wTl4vEednkQ

使用不到10美元的Raspberry Pi Pico在43秒內就能用外部TPM破解BitLocker加密
https://www.techbang.com/posts/113089-using-a-raspberry-pi-pico-for-less-than-10-bitlocker

另外有一點違反大家常理認知的一點是，雖然 Bitlocker 金鑰確實存放在 TPM 晶片上，
但其實那只是一個 copy，真正的金鑰其實是放在被加密的硬碟開始位置：
https://i.meee.com.tw/y4GWzN0.png

https://i.meee.com.tw/IOW1fJD.png

* 有沒有方法可以直接從硬碟取得 Bitlocker 金鑰？

由於硬碟本身其實存在 Bitlocker 解密金鑰的特性，
這也使得在 2021 年底有一個被披露的 CVE 漏洞 CVE-2022-41099 得以實現，
大體上來說就是因為硬碟上修復磁區的 WinRE 可以操作重裝系統的功能的功能，
而不會事先詢問 Bitlocker 解密金鑰，所以可以透過還原電腦的過程中，
Bitlocker 開始解密硬碟時切掉電源中斷操作，
復電之後安裝程式會繼續執行，這個時候透過操作提示命令暫停解密，
這個時候就能透過其他指令得知 Bitlocker 的解密金鑰。
https://i.meee.com.tw/sgjEEPB.png

https://i.meee.com.tw/OroP3HP.png

關於技術細節可以參考：

A Deep Dive into TPM-based BitLocker Drive Encryption
https://itm4n.github.io/tpm-based-bitlocker/

CVE-2022-41099 – Analysis of a BitLocker Drive Encryption Bypass
https://blog.scrt.ch/2023/08/14/cve-2022-41099-analysis-of-a-bitlocker-drive-encryption-bypass/

這個方法僅適用於有獨立修復磁區且使用 TPM 進行 Bitlocker 加密的模式，
恰好也是預設 Windows 會在新電腦上，以及預裝出廠的設定方式。

在微軟官方的 CVE 漏洞說明頁中，列出了受影響產品與相關細節：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41099

基本上只要使用 2021年底前的 Windows 映像版本前都有影響，
且官方提供的修復腳本需要使用者手動對 WinRE 的修復磁碟區進行更新，
看起來是無法透過 Windows Update 進行修復，
目前修復的方式也是在使用還原系統的時候要求輸入 Bitlocker 解密金鑰後才能繼續。
但因為這個問題可能企業會比較在意，所以目前網路上的資訊主要集中在 IT 討論區。

* 個人猜測這次的解密方式？

說回這次的社會重大案件是如何繞過 Bitlocker 加密的，按照目前新聞採訪內容，
就我的猜測可能有幾種方式：

1. 華碩透過 BIOS 或者 TPM 搬移工具(如果有)與使用相同區間量產的電腦，
來讓雜湊運算結果能夠讓 TPM 先進行解密後讓硬碟自動解密正常開機。

2. 使用 CVE 漏洞直接取得 Bitlocker 解密金鑰後手動解鎖硬碟

考慮到新聞中提到還特地找了相同型號與量產區間的電腦，估計是使用了第一個方法。

另外有新聞提到有請三星硬碟的工程師來台協助，
推測有可能是在不要破壞證物的情況下對加密硬碟進行對烤備份，
這樣操作上面的方法比較不會把證物破壞掉(畢竟還原系統如果手慢就通通沒了)。

但這些都屬於個人猜測，如果雷同純屬巧合。

以上，另外有提到錯誤的部分還請各位大神指正。 ^_____^

--
推 Lyeuiechang: [新聞]有狼師一直戳女學森(.)(.)而被家長吉上法院...
→ Xhocer:                               )  (
推 xj654m3:                             ( Ｙ )
→ Xhocer:                               \｜/
推 xj654m3:                   (╮⊙▽⊙)ﾉ|｜|
推 Lyeuiechang:                          /｜\╰╮o(￣▽￣///)<
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.10.238.116 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1768492536.A.614.html
推 mofass: 專業推，感覺有點像以前遊戲主機盜版光碟
→ mofass: 躲正版驗證的用法？
酒精 120% SafeDisk ><
推 NX9999: 推推，難怪可以用usb來解除一開始進桌面
→ NX9999: 的使用者密碼消除
推 xiaotee: 推認真解答XD
※ 編輯: Lyeuiechang (101.10.238.116 臺灣), 01/16/2026 00:09:06
推 athraugh: 專業推
推 jhjhs33504: 外部TPM實作在BIOS的也算嗎？
→ kimi112136: 其實新聞寫是沒有解開電腦版上的硬碟
→ kimi112136: 資料，是因為某人的平板沒有更新，所
→ kimi112136: 以三爽自己root後連上網路硬碟拿到20
→ kimi112136: 24年的資料
→ freeunixer: 新聞說了,公開的鏡頭錄到他解鎖的片段
→ freeunixer: 針對那個畫面去技術處理獲得解鎖密碼
→ w3160828: 錄到的不是平板? 靠平板帳號去登入?
補一下新聞內容好了，今天有一些新資訊
獨家｜張文關鍵電競筆電硬碟破解了！華碩聯手三星神救援　iPad密碼這樣解
https://www.knews.com.tw/news/2C616C5338A4437D5564FB2AF2CD91CB

專案小組向《知新聞》透露，「BitLocker」數位加密無法破解，但華碩專家曾表示，想
要獲取硬碟資料應該有辦法，最後是華碩將2T SSD固態硬碟製造廠商，也就是三星原廠工
程師，從韓國飛來台灣協助破解，最後是華碩找來跟張文購得相同出產年月、型號、批號
的ROG Strix SCAR 18 G834電競筆電，再將2T的SSD固態硬碟裝上去，利用華碩原廠權限
，繞過「BitLocker」輸入指令，直接抓取硬碟資料。
※ 編輯: Lyeuiechang (101.10.238.116 臺灣), 01/16/2026 00:29:48
→ w3160828: 結論去買啟動筆電的話說不定沒辦法破解
推 jeeyi345: 所以bitlocker有同批筆電就能繞過了?
推 jhjhs33504: 原廠的權限 先把燒壞的部分排除再解開
→ w3160828: 好聽是同批 就原廠權限繞過去判定
推 jeeyi345: 那要看原廠權限會不會外流或被破解了
推 DuFanSong: 我也覺得同批是藉口 原廠權限才是真
→ jeeyi345: 錄影解鎖猜到感覺就是編故事
→ justice2008: 平板可以登進去跟破解筆電有何關係?
→ freeunixer: 是破平板,沒破筆電
→ freeunixer: 三星平板,說沒更新韌體,就繞過去 (~誤
→ gcobc12632: 用監視器破解iPad密碼也是滿厲害ㄉ==
→ freeunixer: 雲碟很久沒更新,所以只看到很舊的文件
→ jeeyi345: 哦 分開破解 以為用ipad密碼解開筆電一
→ jeeyi345: 類
→ justice2008: 原來又是繞過去 那我就能理解了
→ yunf: yo叔繞過
推 Koogeal: 就是走後門(漏洞),補起來就沒轍了
推 Ruhaha: 看不懂 但推一個
推 jeeyi345: 找得到同批 如果有原廠的方法 bitlocke
→ jeeyi345: r等於沒有
→ freeunixer: 我好像說錯了,新聞說平板是錄到畫面
→ freeunixer: 筆電是找同批號的機器裝上三星ssd,
→ freeunixer: 然後用華碩權限繞過 bitlock 解鎖
→ freeunixer: 會不會華碩拿同批號的主板用換零件的.
推 ctes940008: 那篇新聞有寫，SSD可以讀，但主板壞
→ jay920314: 幹所以這個東西純擾民，在正經場合還是
→ jay920314: 不堪一擊這樣？
推 luuuking: 推分析，我猜三星除了備份證物
→ luuuking: 可能也有幫忙繞過邏輯層，直接從顆粒撈
→ luuuking: 被刪掉的資料吧
推 birdy590: 說穿了就搬板... 這應該不是 SED
→ birdy590: 所以根本沒必要找三星 來了也派不上用場
→ birdy590: 搬了板 系統認為還是原本的機器就給金鑰
→ birdy590: 系統能開機==韌體提供了金鑰