Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
En forensisk kopi af en krypteret disk er kun støj uden nøglen. De fleste nyere Windows-computere og Mac-computere er krypteret, ofte uden at brugeren har valgt det aktivt. Derfor skal spørgsmålet om nøgler afklares, før en computer slukkes eller sendes til undersøgelse, og adgangen skal ske ad lovlige veje: gendannelsesnøgler, organisationens administration eller brugerens samtykke.
Haster det? Slukkes en krypteret computer, før nøglerne er afklaret, kan adgangen til indholdet være tabt, så den skal ofte forblive tændt, til der er en plan. Ved akut behov: akut forensisk sikring; hastesager koster ekstra.
BitLocker (Windows)
BitLocker krypterer hele volumenet. Nøglerne er bygget i lag: Data krypteres med en fuld volumenkrypteringsnøgle, som er krypteret med en volumenhovednøgle, der igen er beskyttet af en eller flere beskyttere (protectors). Det er derfor muligt at have flere måder at låse op på, uden at selve data skal krypteres om.
- TPM · Den samme computer, uændret opstart
- TPM og PIN · Den samme computer og brugerens PIN
- Startnøgle · En USB-nøgle med nøglefil
- Adgangskode · Bruges især på eksterne og sekundære drev
- Gendannelsesadgangskode · En numerisk nøgle på 48 cifre
Med kun TPM låses disken op automatisk, når computeren starter normalt. Tages disken ud og læses i en anden maskine, er den krypteret. Ændres opstartskæden, fx ved opdatering af firmware eller ved opstart fra et eksternt medie, beder computeren om gendannelsesnøglen. Det betyder også, at et forsøg på at starte maskinen fra et forensisk medie kan udløse en gendannelsesprompt.
Hvor ligger gendannelsesnøglen?
Afhængigt af opsætning kan nøglen være gemt:
- i Microsoft Entra ID eller Intune for virksomhedsstyrede enheder,
- i Active Directory, hvis gruppepolitikken er sat op til det,
- i brugerens personlige Microsoft-konto,
- udskrevet eller gemt som fil.
Hver gendannelsesnøgle har et id, som vises på gendannelsesskærmen og kan matches mod den nøgle, der ligger i administrationen. Virksomheden kan ofte finde nøglen for sine egne enheder i administrationsportalen. Det bør undersøges, før enheden slukkes. Visning af en nøgle registreres i Entra ID’s auditlog som aktiviteten “Read BitLocker key”, og det er en fordel, fordi det dokumenterer, hvem der hentede nøglen og hvornår.
Enhedskryptering
Windows Home har ikke fuld BitLocker, men mange computere bruger enhedskryptering, der bygger på samme teknik og typisk gemmer nøglen i den Microsoft-konto, der blev brugt ved opsætningen. Fra Windows 11 version 24H2 har Microsoft lempet hardwarekravene til automatisk enhedskryptering, så den slås til på flere computere end tidligere. Gå ikke ud fra, at en disk er ukrypteret.
Status på den tændte computer
Windows’ indbyggede kommandolinjeværktøj til BitLocker (manage-bde) kan vise, om volumener er krypteret, om beskyttelsen er aktiv eller suspenderet, og hvilke beskyttere der findes, herunder id på gendannelsesnøglen. Det kræver administratorrettigheder via organisationens IT eller med brugerens medvirken og skal køres på den tændte computer. Det ændrer systemet en smule, fx i logs, og skal dokumenteres med tidspunkt og output.
En suspenderet BitLocker-beskyttelse betyder, at nøglen midlertidigt ligger ubeskyttet på disken, typisk under en opdatering. Konstateres det, skal det noteres, fordi det påvirker, hvordan kopien kan læses.
FileVault (macOS)
FileVault krypterer startdisken på Mac. På Mac-computere med Apple-chip eller T2-sikkerhedschip er det interne lager altid hardwarekrypteret med nøgler knyttet til den konkrete maskine. FileVault binder desuden adgangen til brugerens adgangskode.
Konsekvenser:
- Lageret kan ikke tages ud og læses i en anden maskine. På mange modeller er det loddet fast.
- Kopien må typisk tages via den tændte, oplåste Mac eller ved en opstart, der kræver brugerens adgangskode eller gendannelsesnøglen.
- Hvilke metoder der er mulige, afhænger af model, macOS-version og opsætning.
Gendannelsesmuligheder
- Personlig gendannelsesnøgle · Vist ved opsætningen, eventuelt gemt af brugeren
- iCloud · Brugerens Apple-konto kan låse op, hvis det blev valgt
- MDM · Virksomhedsstyrede Mac-computere kan have nøglen deponeret i MDM-løsningen
- Institutionel nøgle · Ældre opsætningsform i visse organisationer
Det generelle overblik over sikring af Mac findes her: → Bevissikring af Mac
Strategi ved sikring
- Afklar krypteringen, før noget slukkes. Er computeren tændt og låst op, er det en mulighed, der måske ikke kommer igen. Hvad en kopi af hukommelsen derudover kan vise, står i Memory forensics: hvad en RAM-kopi kan vise.
- Find nøglerne i Entra ID, AD, MDM eller hos brugeren.
- Overvej hukommelsessikring, hvis computeren kører og nøglen ikke kan findes. → Hukommelsessikring (RAM)
- Tag en logisk kopi af det oplåste volumen, hvis computeren kører, og en fysisk kopi ikke kan låses op senere.
- Tag en fysisk kopi af den krypterede disk, hvis nøglen kendes. Mange forensiske værktøjer kan dekryptere BitLocker med gendannelsesnøglen.
En krypteret kopi uden nøgle er stadig værd at have. Dukker nøglen op senere, kan den åbnes. → Forensiske diskformater
Logisk eller fysisk kopi
En logisk kopi af et oplåst volumen indeholder de dekrypterede filer, men ikke nødvendigvis ikke-allokeret plads (unallocated), slettede poster og filsystemets interne strukturer. En fysisk kopi af den krypterede disk indeholder alt, men kræver nøglen for at blive læst. Den bedste løsning er ofte begge dele: den logiske kopi som sikkerhed og den fysiske som fuld kilde, når nøglen foreligger. Hashværdier skal da beregnes for begge, og det skal fremgå, at de ikke kan sammenlignes direkte, fordi den ene er krypteret.
Fejlkilder
- Forkert nøgle til forkert volumen: En computer kan have flere krypterede volumener med hver sin nøgle. Match altid nøgle-id.
- Utilsigtet gendannelsesprompt: Opstart fra eksternt medie eller BIOS-ændringer kan låse disken, så nøglen bliver nødvendig.
- Ændringer ved oplåsning: Nogle værktøjer monterer volumenet med skriveadgang. Arbejd på kopien og brug skrivebeskyttelse, hvor det er muligt. → Skrivebeskyttere
Hvad krypteringen selv kan vise
Krypteringen er ikke kun en hindring. Den efterlader også spor, der kan have betydning. Windows registrerer BitLocker-hændelser i sine hændelseslogs, fx når beskyttelsen slås til, suspenderes eller ændres, og når en gendannelsesnøgle sikkerhedskopieres til Entra ID eller AD. Administrationsportaler og MDM-løsninger viser, hvornår en nøgle er deponeret eller roteret. På den måde kan det ofte dokumenteres, hvornår en disk blev krypteret, eller om krypteringen blev ændret kort før en fratrædelse. Det siger noget om tidsforløbet, men ikke i sig selv noget om hensigten, fordi mange ændringer sker automatisk ved opdateringer og politikker. Sammenhold derfor altid med andre tidsstempler. → Tidslinjeanalyse
Når brugeren skal medvirke
Kræver adgangen brugerens adgangskode, opstår spørgsmålet om, hvorvidt brugeren kan pålægges at oplyse den, og hvordan en nægtelse kan indgå i sagen. Det er et juridisk spørgsmål, som er beskrevet i Kan modparten pålægges at udlevere en adgangskode? Er det en arbejdsgivers enhed, kan IT-politikken have betydning. → IT-politik og orientering af medarbejdere
Adgangskoder, der oplyses, skal behandles fortroligt og ikke fremgå af rapporten. Brugerens samtykke og oplysninger bør noteres med tidspunkt og vidner.
Andre krypteringsløsninger
VeraCrypt, tredjeparts diskkryptering og krypterede USB-nøgler følger andre regler. Spørg altid ind til, hvilke løsninger der er i brug, og om organisationen har nøgledeponering for dem.
Dokumentation
- Krypteringsløsning og status på sikringstidspunktet
- Hvilken nøgle eller adgangsmetode der blev brugt, og hvor den kom fra, uden selve nøglen
- Om kopien er krypteret eller dekrypteret, og hashværdier for begge, hvis relevant
Kilder og versioner
- Microsoft Learn: aktiviteter i Entra ID’s auditlog, herunder Read BitLocker key
- Microsoft Learn: BitLocker-enhedskryptering og krav fra Windows 11 version 24H2
- Apple Platform Security: FileVault
Senest gennemgået: oktober 2026.
Næste skridt
- File carving: gendannelse af filer uden filsystem
- Filsystemer sammenlignet: NTFS, APFS, ext4, exFAT og ReFS
Del af: Sikring: metoderne samlet
Læs også: SSD, TRIM og gendannelse af slettede filer · File carving: gendannelse af filer uden filsystem
→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
