¿Cómo conocería un certificado / clave privada si lo extrajera de la RAM? O lo harías?

Sí. La mayoría de las claves privadas tienen un formato fácilmente identificable.

Si se dice que una clave privada RSA generada con openssl, tienen un formato específico, por ejemplo, siempre comenzará con los mismos tres bytes, dependiendo del tamaño de la clave:

30 82 01 (for 768 bit key or MIIB in base64)
30 82 02 (for 1024 bit key or MIIC in base64),
30 82 04 (for 2048 bit key or MIIE in base64),  
30 82 09 (for 4096 bit key or MIIJ in base64).

También hay otros tipos de formatos en los que se puede almacenar la clave privada.

Puede probar esto usted mismo con openssl usando los comandos: openssl genrsa 1024 (1024 significa una clave de 1024 bits para ver la clave en su representación de base64). )

Para obtener más documentación sobre el formato, consulte esta respuesta de StackOverflow: ¿Dónde puedo encontrar documentación sobre el formato de un público de RSA? ¿llave?

Como un addendum a la respuesta del dr jimbob:
Hay utilidades que buscan estos patrones e intentan extraer claves de esa manera.

Descargo de responsabilidad: no he probado ninguna de estas utilidades. Esta publicación es solo una versión mejorada de los enlaces publicados por el usuario "void-star" en HN. (Ver abajo).

• Whitepapers sobre la idea general:
  • Adi Shamir y Nicko van Someren, 1998-09-22, Jugar a las escondidas con claves almacenadas
  • Tobias Klein, 2006, SslKeyFinder
• Implementaciones:
  • Conjunto de reglas de Yara que busca el patrón:
    enlace
  • De nuevo, Yara gobierna, pero esta vez está incrustada en Python y se puede usar como " dumpcerts "plugin para el kit de herramientas" Volatility ": dumpcerts.py . (Y "Volatilidad", según la descripción del paquete Kali , parece ser un marco general para extraer todo tipo de cargas útiles de Volcados de memoria RAM.)

Lectura adicional

• Tema en Hacker News: 2014, Robando claves no cifradas del agente SSH de la memoria
  • Y especialmente esta respuesta del usuario "void-star"

Como una adición (nother) a StackzOfZtuff y las respuestas del dr jimbob

el Adi Shamir et al. el papel que se esconde y esconde con las claves almacenadas tiene un enfoque muy diferente al de buscar encabezados

El enfoque de Shamir se basa en comparar bloques de datos en la cadena de memoria completa (es decir, volcar todo el contenido de la memoria / disco como una cadena) y ver si están relacionados matemáticamente con una clave pública conocida anteriormente.

Para buscar claves donde no haya una clave pública conocida anteriormente, se realizó una comprobación para verificar la entropía de los datos.

  

Ya que sabemos que los datos clave tienen más entropía que los datos no clave, de una manera   para localizar una clave es dividir los datos en pequeñas secciones, medir la entropía   de cada sección y muestra los lugares donde hay una entropía particularmente alta

Debido a que las claves son aleatoriamente intencionadas, estos datos se destacan en un contexto de datos que no son tan aleatorios. Este ataque tiene la ventaja de que debería ser posible localizar cualquier clave criptográfica.

  

Nuestras técnicas parecen ser aplicables a una amplia variedad de otras claves públicas   esquemas, además del esquema RSA.

Como señaló el Dr. Jimbob, Tobias Klein tomó la decisión de buscar los encabezados

  

A continuación se muestra la representación hexadecimal de esta sintaxis ASN.1:
  30 82 ?? ?? - SECUENCIA (30 82), longitud de la SECUENCIA (?? ??)
  30 82 ?? ?? - SECUENCIA (30 82), longitud de la SECUENCIA (???)

     

Como todos los certificados deben estar representados en esta sintaxis, tenemos un patrón que buscar.

Con el cifrado completo del disco, ya no podrá buscar datos aleatorios en el disco, porque todo sería aleatorio. Además, ya no podrá buscar encabezados porque estarán cifrados.

Sin embargo, una vez que se arranca la máquina, sería posible leer las claves directamente de la memoria mediante cualquiera de estas técnicas. Esto es aún más fácil para una VM (consulte mi respuesta aquí )