Passware Kit Forensic jest komercyjną platformą do wyszukiwania zaszyfrowanych obiektów, analizy pamięci, odzyskiwania haseł i kluczy oraz odszyfrowywania obsługiwanych dysków, kontenerów i plików. Narzędzie może wykorzystać słowniki, reguły, GPU, agentów rozproszonych i materiał z RAM. Nie gwarantuje dostępu do każdego ciphertextu, a komunikat password found nie kończy badania.

Na 24 sierpnia 2026 r. producent publikuje linię 2026 i release notes obejmujące co najmniej 2026 v2, podczas gdy strona produktu zapowiada funkcje 2026.3. W opinii trzeba podać dokładny build, edycję i add-ons, ponieważ zakres BitLocker, APFS, plików i urządzeń zmienia się między wydaniami. Artykuł opisuje użycie na legalnie zabezpieczonych danych i nie publikuje instrukcji omijania zabezpieczeń. Ogólną analizę danych zaszyfrowanych zawiera Odzyskiwanie danych usuniętych i szyfrowanych.

Rola w procesie

Discovery

Pierwszym zadaniem może być znalezienie plików i woluminów prawdopodobnie zaszyfrowanych. Detekcja opiera się na nagłówkach, strukturach, rozszerzeniach i heurystykach. Wysoka entropia sama nie dowodzi szyfrowania; kompresja, multimedia, dane losowe i uszkodzenia mogą wyglądać podobnie.

Raport rozdziela obiekt rozpoznany strukturalnie, podejrzany heurystycznie i nierozpoznany. Każdy ma path, size, hash, signature i reason. Brak wykrycia nie wyklucza custom encryption ani ukrytego kontenera.

Password recovery

Odzyskiwanie hasła jest testem kandydatów względem funkcji weryfikującej format. Szybkość zależy od KDF, parametrów, GPU i sposobu sprawdzania. Liczba prób na sekundę z materiału marketingowego dla jednego formatu nie przenosi się na inny.

Laboratorium opisuje kategorie ataków i źródła kandydatów, ale nie publikuje sekretnych słowników sprawy. Limit czasu i resources wynika z proporcjonalności, wartości dowodowej i prawdopodobieństwa sukcesu.

Decryption

Znalezienie credential lub key umożliwia próbę odszyfrowania konkretnego obiektu. Plaintext jest produktem pochodnym. Ma hash, format, log i relację do ciphertextu.

Poprawność potwierdza struktura, MAC/authentication tag, filesystem consistency albo known content. Sam fakt, że kilka bajtów wygląda jak tekst, może być false positive.

Rodzina produktu

Passware oferuje różne edycje, Kit Forensic, Ultimate, add-ons, Kit Mobile i agents. Funkcja z dokumentacji Ultimate lub Device Decryption Add-on nie powinna być przypisana bazowej licencji Forensic bez sprawdzenia.

Manifest zapisuje product, edition, version, build, add-ons, license mode i update date. Trial może ograniczać długość hasła, eksport albo zakres.

Passware Kit Mobile jest odrębnym produktem z własnymi tokenami/profilami urządzeń. Artykuł koncentruje się na Kit Forensic; urządzenia mobilne omawia tylko jako granicę portfolio.

Identyfikacja obiektu

Format przed atakiem

Plik może mieć błędne rozszerzenie, być zagnieżdżony, uszkodzony albo zawierać kilka streamów. Najpierw ustala się format i wersję. Nie uruchamia się losowego recovery tylko dlatego, że plik jest nieczytelny.

Parser nagłówka zapisuje algorithm, KDF, salt, iterations/memory cost i potrzebne fields, o ile format je ujawnia. Te parametry wyjaśniają trudność i sposób walidacji.

Całość pliku

Uszkodzenie header, końca, central directory albo authentication tag może uniemożliwić sprawdzenie prawidłowego hasła. Hash i size są porównywane z manifestem pozyskania. Fragment carved może nie wystarczyć.

Jeśli potrzebny jest companion file, keychain, TPM artifact albo metadata, ich brak jest jawny. Wynik unsupported nie oznacza, że format nie jest szyfrowany.

Kontenery zagnieżdżone

Odszyfrowany archiwum może zawierać kolejny zaszyfrowany plik. Lineage tworzy graf. Każdy poziom ma source hash, credential ID i output hash.

Automatyczne testowanie recovered passwords across files zwiększa skuteczność, lecz też zakres użycia sekretu. Polityka określa, czy znalezione hasło wolno sprawdzać wobec innych obiektów i których. Wydanie 2025 v4/2026 rozwijało takie funkcje cache/reuse, więc ustawienie musi być zapisane.

Kandydaci i materiał sprawy

Kandydaci mogą pochodzić z prawnie dostępnych danych: zatwierdzonych słowników, informacji kontekstowych, odzyskanych strings lub pamięci. Źródło i transformacje są dokumentowane. Nie wprowadza się danych osób trzecich bez podstawy.

Reguły modyfikacji tworzą wiele wariantów. Ich zakres ma limit i wersję. Wielka liczba teoretycznych kombinacji nie oznacza, że wszystkie zostały sprawdzone.

Passware 2026 v1 wspiera eksport listy dla ataku i cleanup reguł hashcat. Taki eksport jest informacją wrażliwą i produktem pochodnym. Ma hash i ACL.

Cache tried passwords może zapobiegać ponownemu testowaniu. Dla reprodukcji trzeba zachować stan cache albo jasno zaznaczyć, że rerun używa innego history. Cache między sprawami grozi ujawnieniem i cross-contamination, dlatego jest izolowany.

Słownik, brute force i maska

Słownik

Słownik jest zbiorem kandydatów o provenance, encoding, normalization i liczbie unikalnych entries. Line endings i Unicode mogą zmienić odczyt. Deduplication jest raportowane.

Wbudowany słownik producenta jest wersjonowany. Rozszerzenie listy w 2026 v1 może zmienić success względem wcześniejszej analizy. Nie zakłada się identyczności po samej nazwie English.

Przestrzeń wyczerpująca

Exhaustive search ma charset, minimum/maximum length i kolejność. Pełność wniosku zależy od rzeczywiście zakończonej przestrzeni. Przerwanie na 80% nie pozwala twierdzić, że hasła o danym zakresie nie ma, jeżeli kolejność nie była semantycznie neutralna.

Raport podaje total planned, tested, skipped, rate over time i checkpoint. Szacunek czasu nie jest wykonaniem.

Maski i reguły

Maska ogranicza pozycje i charset na podstawie hipotezy. Daje szybkość kosztem coverage. Każda hipoteza ma uzasadnienie i wynik ujemny ograniczony do maski.

Reguły mutacji mogą eksplodować liczbę. Test na małej liście sprawdza semantics i encoding. Nie należy ukrywać presetów pod nazwą common attack bez eksportu konfiguracji.

Combining attacks

Kolejność ataków wpływa na czas do sukcesu, ale nie na poprawność credential. Harmonogram może priorytetyzować prawdopodobne kandydaty. Decyzja i stopped conditions są zapisane.

Jeśli znaleziono hasło wcześnie, niewykonane ataki nie mają znaczenia dla tego obiektu, ale pozostają niewykonane. Nie raportuje się ich jako przeszukanych.

KDF i koszt

PBKDF2, bcrypt, scrypt, Argon2 i proprietary KDF mają różne parametry oraz odporność na GPU. Rate jest właściwością konkretnego header i hardware. Uśrednione benchmarki mogą być mylące.

Salt oznacza, że tego samego hasła nie można zawsze sprawdzić raz dla wielu obiektów. Precomputation ma ograniczony sens. Iteration/memory cost należy zapisać.

Weryfikator formatu może mieć szybszy preliminary check i pełne potwierdzenie. False positive preliminary nie jest sukcesem. Passware powinien wykonać complete validation albo operator dokonuje odszyfrowania.

GPU

GPU przyspiesza wybrane formaty. Producent wspiera różne rodziny NVIDIA, AMD i Intel zależnie od wersji; 2026 v1 dodało Intel Arc dla wspieranych zadań. Driver, runtime i karta są częścią środowiska.

Benchmark zapisuje exact file parameters, attack, batch size, GPU, driver, temperature i throttling. Krótkie maximum nie opisuje wielodniowego run.

ECC, hardware errors, overclocking i thermal instability mogą dawać błędy. Operacyjne stanowisko nie używa niezwalidowanego overclockingu. Control job ze znanym hasłem wykrywa awarię obliczeń.

Multi-GPU może nierówno dzielić przestrzeń. Log pokazuje ranges i agents. Odłączenie karty nie powinno tworzyć cichej luki.

Przetwarzanie rozproszone

Agents

Passware agents mogą wykonywać części job na wielu hostach. Central node rozdziela candidates i zbiera wynik. Topologia ma inventory, wersje, clocks i status.

Wszystkie agents powinny używać zgodnej wersji i verifier. Mieszane wydania testuje się albo blokuje. Node offline ma retry lub reassignment; ranges nie mogą zniknąć.

Transfer

Zależnie od formatu agent może potrzebować file, hash/extracted verifier albo innych danych. Przed deployment ustala się, co opuszcza central lab. Sensitive material jest szyfrowany i minimalizowany.

Cloud agent albo zewnętrzny cluster wymaga podstawy, umowy, location i kontroli retencji. Brak wiedzy, co jest wysyłane, wyklucza operacyjne użycie na dowodzie.

Checkpoint

Checkpoint przechowuje postęp, konfigurację i stan. Ma backup oraz version compatibility. Resume po aktualizacji programu jest testowane; w przeciwnym razie może powtórzyć lub pominąć ranges.

Raport końcowy pokazuje planned/tested per agent i global dedup. Sumy powinny się uzgadniać.

Batch

Batch processing wielu plików może automatycznie sprawdzać odzyskane wcześniej hasła wobec innych obiektów. To często odpowiada realnemu reuse, ale może poszerzyć zakres prawny oraz ujawnić relacje między sprawami.

Files w batch mają stabilne IDs i hashes. Success dla jednego nie jest przypisywany innemu tylko na podstawie podobnej nazwy. Log pokazuje credential source oraz target.

Skipped, unsupported, corrupted i not recovered są odrębnymi statusami. Failed bez kategorii jest zbyt ogólne.

Analiza pamięci

Live memory i obrazy

Passware może analizować live memory images i hibernation w celu wyszukania kluczy lub credentials dla wspieranych formatów. Jakość zależy od momentu, procesu i coverage. RAM acquisition jest odrębnym etapem z własnym narzędziem i logiem.

Znaleziony key candidate musi być sprawdzony wobec właściwego volume/file. Ciąg o prawidłowej długości nie wystarcza.

Footprint

Uruchomienie memory analysis na żywym systemie zmienia RAM. Preferowane jest pozyskanie i analiza offline, jeśli sytuacja pozwala. Jeżeli działa live, dokumentuje się proces, czas i wpływ.

Secrets w output są chronione. Nie trafiają do screenshotów szkoleniowych ani zwykłego ticketu support.

Hibernation

Hibernation file może przechowywać pamięć ze wcześniejszej chwili, być skompresowany i częściowy. Wersja systemu wpływa na parser. Znaleziony klucz mógł dotyczyć stanu przed zmianą credential.

Raport łączy hiberfil z disk image i timestamps. Nie opisuje go jako bieżącego RAM.

BitLocker

Protectors

BitLocker może używać TPM, TPM+PIN, recovery password/key, startup key i innych kombinacji. Dostępność metody zależy od protectorów oraz sprzętu. Nazwa BitLocker nie mówi, jaki problem trzeba rozwiązać.

Metadata volume i protector IDs są dokumentowane. Recovery key znaleziony w legalnym źródle jest preferowany nad kosztownym recovery. Nie ujawnia się go w publicznym raporcie.

TPM i wersje sprzętu

Passware 2026 v1/v2 wprowadzało metody dla określonych AMD Zen/fTPM i TPM-protected devices. Taka funkcja nie jest uniwersalnym obejściem TPM. Support zależy od platformy, firmware, protectora i warunków.

Raport podaje exact device oraz profile result, nie jedynie „odszyfrowano TPM”. Szczegóły podatności nie są publikowane.

Walidacja volume

Odszyfrowany BitLocker powinien mieć prawidłowy filesystem, metadata, directory consistency i pliki kontrolne. Wrong key zwykle nie przejdzie structural checks.

Tworzy się decrypted image albo controlled mount. Output ma hash i lineage. Nie modyfikuje się source volume.

FileVault, APFS i Apple

Apple encryption zależy od FileVault, APFS crypto users, Secure Enclave/T2/Apple Silicon, recovery material i wersji macOS. Publiczne materiały Passware wymieniają wsparcie określonych konfiguracji, ale funkcja jest wersjonowana.

User password, personal recovery key i institutional key mają inne role. Keychain password może być powiązany, ale nie jest automatycznie tym samym co volume credential.

Odszyfrowanie APFS weryfikuje kontener, volumes, snapshots i files. Jeden odblokowany volume nie oznacza dostępu do wszystkich crypto volumes.

macOS 26 support w określonej edycji nie dowodzi supportu każdego hardware. Matrix odbiorcza korzysta z własnych urządzeń referencyjnych.

Dokumenty i archiwa

Office i PDF

Wersja formatu, encryption scheme i KDF wpływają na rate. Dokument może mieć password-to-open i osobne ograniczenia edycji. Obejście flagi permissions nie jest odzyskaniem szyfrowanego plaintextu.

Po sukcesie aplikacja lub parser sprawdza strukturę. Makra i embedded objects są analizowane w izolacji. Plaintext dokument nie powinien być automatycznie otwierany natywną aplikacją.

ZIP i RAR

Archiwum może mieć zaszyfrowaną treść, headers lub różne metody per entry. Fragment albo brak central directory komplikuje weryfikację. Known plaintext może pomagać tylko w określonych schematach i warunkach.

Wydanie 2026 v1 dodało obsługę ZIP hashes pozyskanych przez zewnętrzne narzędzie. Upstream extraction ma version i command. Błędny hash format daje bezwartościwy job.

Bazy i password managers

FileMaker, LastPass IndexedDB, Enpass, Keychain i inne formaty mają własne versions oraz KDF. Instant decryption zwykle oznacza dostęp przez odnaleziony/znany materiał lub szczególną cechę, nie złamanie dowolnego silnego hasła.

Vault może zawierać poświadczenia do innych systemów. Dostęp jest ograniczony do pytania i podstawy. Nie testuje się ich aktywnie bez autoryzacji.

Dyski sprzętowo szyfrowane

External SSD i self-encrypting drives mogą mieć vendor-specific management, firmware i bridge. Passware dodaje support konkretnych rodzin. Obudowa i kontroler są częścią źródła; wyjęcie dysku może zmienić dostęp.

Model, firmware, interface i stan są dokumentowane. Support podobnej nazwy produktu nie wystarcza. Test nie może ryzykować crypto erase.

Odzyskany dostęp prowadzi do obrazu przez zwalidowany tor. Mount read-only nie zastępuje acquisition.

Znaczenie password found

Weryfikacja

Credential jest poprawny, gdy pełny verifier i odszyfrowanie działają. Dla authenticated encryption sprawdza się tag. Dla filesystem — struktury i wiele plików. Dla archive — CRC/MAC entries.

Jeśli produkt wyświetla candidate bez pełnej weryfikacji, status brzmi candidate. Nie cytuje się go jako hasła.

Atrybucja

Hasło działające wobec pliku nie dowodzi, kto je utworzył, znał lub wpisał. Mogło pochodzić z default, password manager, współdzielonego konta albo automatyzacji.

Źródło credential i użycie historyczne są odrębnymi ustaleniami. Nie przedstawia się słowa w słowniku jako dowodu wiedzy osoby.

Czas

Credential może działać dziś, lecz plik powstał wcześniej. Brak historii rotacji ogranicza wniosek. Metadata oraz backups mogą wykazać poprzednie wersje.

Wynik not recovered

Brak sukcesu nie dowodzi, że hasło jest silne albo że danych nie można odszyfrować inną metodą. Może wynikać z błędnego formatu, uszkodzenia, niewłaściwej przestrzeni kandydatów, limitu czasu, braku GPU lub niedostępnego klucza.

Raport podaje dokładnie wykonane ataki, ranges, counts, duration, performance, errors i stopped condition. Stwierdzenie „sprawdzono wszystkie hasła” jest niedopuszczalne bez skończonej, zdefiniowanej przestrzeni.

Alternative routes obejmują legalny recovery key, backup, memory, provider, password manager albo wcześniejszą wersję. Są decyzją śledczą, nie automatyczną funkcją Passware.

Logi i poufność

Log może zawierać paths, usernames, dictionary fragments, candidates, recovered credentials i key material. Ma classification, ACL i redacted copy do raportu.

Support bundle przed wysłaniem do producenta jest przeglądany. Nie przekazuje się pliku dowodowego, sekretu ani RAM bez podstawy i umowy. Screenshot także może ujawnić hasło.

Central logs zachowują job ID, operator, config, agents, counts i result. Credential jest referencją do bezpiecznego vault, nie plaintextem w systemie ticketowym.

Walidacja

Known-password corpus

Corpus zawiera obsługiwane formaty i wersje z hasłami Unicode, długimi, pustymi, podobnymi, różnymi KDF oraz uszkodzone files. Expected plaintext i credentials są znane niezależnie.

Testuje się discovery, verifier, każdy typ ataku, GPU/CPU, resume, batch, cache, distributed agents i output. False positive credential jest krytycznym błędem.

Encrypted volumes

BitLocker/APFS corpus obejmuje różne protectors, users, snapshots i wrong keys. Test sprawdza nie tylko unlock, ale pełność obrazu oraz strukturę.

Nie testuje się niebezpiecznej metody najpierw na realnym źródle. Używa się urządzeń referencyjnych zgodnych z support profile.

Aktualizacja

Nowy build może zmienić verifier, rates, cache i support. Regression powtarza reprezentatywne jobs na controlled hardware. Wynik porównuje counts i plaintext hash.

Driver/GPU update także jest zmianą środowiska. Po awarii albo bad result agent jest wycofany do diagnozy.

Niezależna kontrola

Credential sprawdza się inną implementacją lub natywnym, izolowanym mechanizmem, jeżeli jest bezpieczny. Plaintext structure i authentication zapewniają dodatkową kontrolę.

Dwa jobs Passware na różnych hostach nie są niezależnymi verifierami, choć mogą wykryć hardware error. Zewnętrzny parser hasha nie potwierdza odzyskanego plaintextu.

Bezpieczeństwo operacyjne

Stanowisko jest izolowane i nie zawiera produkcyjnych credentials. Dictionaries, RAM i decrypted outputs są szyfrowane at rest. Access jest audytowany.

GPU cluster nie współdzieli cache między sprawami. Po zakończeniu wykonywana jest zgodna z polityką sanitization. Decrypted output ma retencję nie dłuższą niż potrzebna.

Plaintext może zawierać malware. Nie otwiera się go automatycznie. Najpierw file type, hash, static scan w izolacji i bezpieczny viewer.

Air-gapped edition albo offline activation może być właściwa dla szczególnie chronionych materiałów, ale air gap nie gwarantuje poprawności. Update packages i transfer media mają kontrolę supply chain.

Raportowanie

Raport oddziela ciphertext source, job, credential result i decrypted output. Nie zamieszcza sekretu, jeśli nie jest konieczny. Może użyć identyfikatora credential C-03 przechowywanego w sealed annex.

Tabela job zawiera format, attack categories, planned/tested, duration, agents, hardware, result i errors. Rate jest opisane dla konkretnego zadania.

Jeżeli wynik jest częściowy, wskazuje files/volumes dostępne i niedostępne. Nie sugeruje pełnego odszyfrowania kontenera na podstawie jednego pliku.

Minimalny zapis w opinii

Opis powinien zawierać:

  1. Passware product, edition, version, build i add-ons;
  2. source object, format/version, size i hash;
  3. sposób identyfikacji encryption oraz parser result;
  4. attack categories, configs i candidate provenance;
  5. planned/tested ranges, counts, duration i stopped condition;
  6. CPU/GPU, drivers, agents i checkpoint;
  7. memory/upstream tools oraz ich versions;
  8. sposób pełnej weryfikacji credential;
  9. decrypted output, hash, completeness i bezpieczne przechowanie;
  10. walidację, errors i ograniczenia wyniku negatywnego.

Źródła i dokumentacja

Materiały producenta określają obsługiwane formaty i bieżące funkcje. Operacyjny dowód sukcesu stanowi poprawnie zweryfikowany plaintext powiązany z ciphertextem, a nie sama nazwa ataku ani komunikat interfejsu.