Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
En krypteret container er en fil eller et område, der rummer et helt krypteret filsystem eller en samling krypterede filer. Krypterede arkiver, beskyttede Office- og PDF-filer, diskbilleder og adgangskodebokse hører til samme familie. I en undersøgelse er opgaven at finde dem, dokumentere dem korrekt og afklare, om der er en lovlig vej til nøglen. Indholdet kan ikke vurderes uden nøglen, og selve eksistensen af en krypteret fil er sjældent bemærkelsesværdig, fordi kryptering er udbredt og legitim. Denne artikel handler om identifikation og dokumentation, ikke om at skaffe sig adgang uden nøgle.
De generelle adgangsveje er beskrevet i Krypterede data i en undersøgelse: de lovlige adgangsveje.
Typer
- Containerfiler fra krypteringsprogrammer, der monteres som et drev, når de åbnes.
- Krypterede arkiver i zip, 7z og rar med adgangskode.
- Beskyttede dokumenter: Office-filer og PDF med adgangskode til åbning.
- Diskbilleder med kryptering, fx på Mac.
- Adgangskodebokse fra adgangskodeadministratorer, lokalt eller synkroniseret.
- Krypterede partitioner og eksterne medier, herunder hardwarekrypterede USB-nøgler.
Kendetegn
Formater med en kendt overskrift
Mange krypterede formater kan genkendes på deres struktur, selv om indholdet er ulæseligt:
- Zip-filer har et flag pr. fil, der viser kryptering, og angiver metoden. Filnavnene i arkivet er ofte synlige, selv om indholdet er krypteret.
- 7z kan kryptere både indhold og filnavne. Er filnavnene krypteret, ses kun, at arkivet er krypteret.
- Beskyttede Office-filer i de moderne formater gemmes ikke som zip, men i en ældre beholderstruktur med en særlig strøm, der beskriver krypteringen.
- PDF med adgangskode har en krypteringsordbog i filens struktur.
- Mac-diskbilleder har kendte strukturer, der viser, om de er krypteret.
Filsignaturer er beskrevet i Filsignaturer og forkerte filendelser.
Filer uden genkendelig struktur
Nogle containerformater er bygget, så de ikke har nogen genkendelig overskrift og ligner tilfældige data. De kan kun indikeres:
- Høj entropi gennem hele filen, dvs. data uden mønstre.
- Størrelse i et rundt multiplum af en blokstørrelse eller i rundt antal megabyte.
- Ingen kendt signatur og en filendelse, der ikke passer, eller ingen endelse.
- Placering og navngivning, fx en stor fil med en tilfældig endelse i en brugermappe.
Disse kendetegn er indikationer, ikke beviser. Komprimerede filer, video, billeder og andre krypterede formater har også høj entropi, og en beskadiget fil kan mangle sin overskrift. Konklusionen skal derfor bygge på flere spor.
Spor efter brug
Det stærkeste grundlag for at fastslå, at en fil er en krypteret container, er ofte spor efter programmet, der bruger den:
- Installeret software og programfiler.
- Spor efter programkørsel i Prefetch, Amcache og lignende. Se Prefetch, Amcache og Shimcache.
- Monterede drev: Registreringsdatabasen kan vise drevbogstaver og volumener, der har været monteret, og LNK-filer og jump lists kan pege på filer på et drev, der ikke findes i dag. Se Windows-artefakter.
- Seneste filer i programmet og konfigurationsfiler, der nævner stier til containere eller nøglefiler.
- Browserhistorik med download af programmet.
Spor efter monterede drev giver ofte mere information end containeren selv: filnavne, mappestruktur og tidspunkter for brug af filer inde i containeren, registreret af styresystemet, mens den var åben.
Krypterede filer i mail og cloud
Krypterede arkiver og beskyttede dokumenter sendes ofte som vedhæftninger, netop fordi afsenderen vil beskytte indholdet undervejs. Adgangskoden sendes typisk ad en anden vej: i en separat mail, en sms eller mundtligt. Findes den i en anden kilde, som undersøgelsen lovligt omfatter, fx i samme postkasse, er det en lovlig adgangsvej, men anvendelsen skal dokumenteres med kilde og grundlag.
I cloudlagre kan krypterede filer ikke forhåndsvises eller indekseres af tjenesten. Det betyder, at de ikke findes ved indholdssøgning i eDiscovery-værktøjer, men kun ved søgning på filnavn, type eller størrelse. Mange behandlingsværktøjer markerer krypterede filer som undtagelser i en fejlrapport. Den rapport bør gennemgås, så krypterede filer ikke stille forsvinder ud af en gennemgang.
Adgangskodebokse og nøglefiler
Adgangskodeadministratorer gemmer en krypteret boks lokalt eller synkroniseret med en tjeneste. Organisationens egne løsninger har ofte administrative funktioner til gendannelse og logning af, hvem der har åbnet delte bokse. Private bokse åbnes kun med brugerens medvirken.
Nogle containere åbnes med en nøglefil i stedet for eller ud over en adgangskode. Nøglefilen kan være en hvilken som helst fil. Spor i programmets konfiguration eller seneste filer kan pege på den, og den skal i givet fald sikres sammen med containeren og dokumenteres på samme måde.
Ved sikring af en kørende computer
Er en container monteret, når computeren sikres, er indholdet tilgængeligt i dekrypteret form, så længe computeren kører og drevet er monteret. Det er en situation, der måske ikke kommer igen, og en logisk kopi af det monterede drev bør overvejes, inden for det grundlag, der er for undersøgelsen. Notér monterede drev, kørende krypteringsprogrammer og eventuelle åbne arkiver. Se Live response.
Skjulte volumener og benægtelig kryptering
Nogle krypteringsprogrammer kan lave en skjult container inde i en anden, så den ydre kan åbnes med én adgangskode uden at afsløre den indre. Det betyder, at det teknisk ikke kan udelukkes, at en container indeholder mere, end den viser. Spor efter brug, fx stier og filer registreret uden for containeren, kan undertiden indikere det. Et sådant fund beskrives som en indikation med de alternative forklaringer. Afsløring af bevidst skjulte data generelt er behandlet i Anti-forensics.
Adgang med nøglen
Adgang sker kun med adgangskode eller nøglefil fra den, der lovligt råder over containeren, fra organisationens deponering eller på grundlag af rettens afgørelse. Notér hvem der udleverede nøglen, hvornår, og på hvilket grundlag. Åbn containeren på en arbejdskopi, aldrig på originalen, og helst skrivebeskyttet, så åbningen ikke ændrer den. Hash containeren før og efter, og hash det udtrukne indhold.
Gæt på adgangskoder og angreb på krypteringen hører ikke til i denne sammenhæng. Kan nøglen ikke skaffes lovligt, dokumenteres det, der kan dokumenteres. Se Når nøglen mangler.
Typiske fejlkilder
- At konkludere, at en fil med høj entropi er en krypteret container.
- At tillægge tilstedeværelsen af kryptering en mening, den ikke har.
- At overse filnavne i krypterede zip-arkiver, som ofte er læsbare.
- At montere en container skrivbart, så tidsstempler og indhold ændres.
Hvad identifikationen kan og ikke kan bevise
Identifikationen kan vise, at en fil med stor sandsynlighed er krypteret, hvilket program den hører til, og hvornår containeren har været brugt ifølge styresystemets spor. Den kan ikke vise, hvad containeren indeholder, eller at indholdet har betydning for sagen.
Dokumentation
Angiv for hver fil: sti, størrelse, hashværdi og tidsstempler, de kendetegn, der peger på kryptering, tilknyttede programmer og spor efter brug, om indholdet er tilgået, og i givet fald med hvilken nøgle og på hvilket grundlag.
Kilder og versioner
- VeraCrypt: Documentation
- Apple Platform Security: Volume encryption with FileVault
- Microsoft Learn: BitLocker recovery overview
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Sikring: metoderne samlet
Læs også: Krypterede data i en undersøgelse: de lovlige adgangsveje · Når nøglen mangler: dokumentation af utilgængelige data
→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
