TrueCrypt
Материал из OSZone.net wiki.
TrueCrypt — это свободное программное обеспечение с открытым исходным кодом (open-source) (распространяется под собственной лицензией TrueCrypt Collective License Version 1.3) для шифрования данных под Windows Vista/XP/2000, Mac OS X, и Linux
Текущая версия TrueCrypt 6.0a (8 Июля 2008)
Содержание |
Основные возможности
- Создание виртуального зашифрованного диска в виде файла-контейнера и подключение его как Локального диска.
- Шифрование разделов жёсткого диска (HDD) или съёмных дисков таких как флоппи-диск или USB флэш память (USB flash drive).
- Шифрование данных происходит автоматически в реальном времени "на лету", прозрачно для системы и пользователя.
- Обеспечивает два уровня правдоподобной отказоспособности, полезной в случаях вынужденного открытия пароля:
- Создание скрытого тома внутри обычного тома TrueCrypt, что позволяет задать второй пароль (и набор ключевых файлов) к файлу-контейнеру для доступа к данным, к которым невозможно получить доступ с основным паролем, при этом скрытый том может иметь любую файловую систему и будет располагается в неиспользованном пространстве основного тома с файловой системой FAT.
- Ни один том TrueCrypt не может быть идентифицирован (тома TrueCrypt невозможно отличить от набора случайных данных, то есть файл нельзя связать с TrueCrypt, как с программой его создавшей, ни в какой форме и рамках).
Алгоритмы шифрования
Создание новых томов TrueCrypt возможно с использованием алгоритмов шифрования AES-256, Serpent, и Twofish.
Также возможно использование каскадного шифрования различными шифрами, к примеру: AES+Twofish+Serpent.
Алгоритмы Blowfish, CAST-128, и Triple DES в настоящее время поддерживаются для обеспечения обратной совместимости, их поддержка будет прекращена к 5 версии программы.
Все алгоритмы шифрования используют XTS-режим, который более безопасен, нежели LRW и CBC-режимы для шифрования "на лету".
Программа позволяет выбрать одну из трёх хеш-функций: HMAC-RIPEMD-160, HMAC-Whirlpool, HMAC-SHA-512 для генерации ключей шифрования, и ключа заголовка.
Другие возможности
- Переносимость, что позволяет запускать TrueCrypt без установки в операционной системе (необходимы права группы Администраторы в NT для запуска драйвера программы truecrypt.sys/truecrypt-x64.sys).
- Поддержка создания зашифрованного динамического файла на NTFS дисках. Такие тома TrueCrypt растут по мере накопления новых данных вплоть до указанного максимального размера. Однако, использование подобной возможности несколько уменьшает производительность и безопасность системы.
- Изменение паролей и ключевых файлов для тома без потери зашифрованных данных.
- Возможность резервного сохранения и восстановления заголовков томов (1024 байт).
- Это может быть использовано для восстановления заголовка повреждённого файла, позволяя подсоединить том после ошибки на аппаратном уровне, в результате которого повредился заголовок.
- Восстановление старого заголовка также сбрасывает пароли тома на те, что действительны для прежнего заголовка.
- Возможность назначать комбинации клавиш для монтирования/размонтирования разделов (в том числе и быстрого размонтирования со стиранием ключа в памяти, закрытием окна и очисткой истории), отображения и сокрытия окна (и значка) TrueCrypt.
- Возможность использовать TrueCrypt на компьютере с правами обычного пользователя (в том числе создавать и работать с контейнерами в файлах), правда, первоначальную установку программы должен сделать администратор.
Таким образом, TrueCrypt позволяет использовать файл-контейнер (или весь носитель HDD, USB drive) для хранения конфиденциальной информации в зашифрованном виде.
Том TrueCrypt может быть смонтирован в системе как локальный или съёмный диск, при этом будет подобен физическому жёсткому диску, поэтому, к примеру, восстанавливать файловую систему на шифрованном диске можно с помощью утилиты CHKDSK и так же возможно проводить его дефрагментацию.
Все данные, сохранённые в томе TrueCrypt, включая имена файлов и папок, полностью шифруются.
Для доступа к зашифрованным данным можно: задать пароль (ключевую фразу), указать ключевые файлы (один или несколько) или оба варианта (пароль+ключевые файлы) вместе. В качестве ключевых файлов можно использовать любые доступные файлы на локальных, сетевых, съемных дисках (при этом используются первые 1024 бит) и генерировать свои собственные ключевые файлы.
Переносная программа
Для запуска этой и других переносных программ удобно использовать Pstart.
TrueCrypt отлично подходит в качестве переносного средства обеспечения конфиденциальности информации.
Задача
Обеспечить безопасность информации, размещённой на USB FlashDrive и возможность работы с ней на "чужом" компьютере
Примечание: предполагается, что все дальнейшие действия выполняются на компьютерах под управлением ОС MS Windows XP SP2 от имени пользователя с правами Администратора; TrueCrypt версии 6.0a
Решение
C чего начать?
Для начала заходим на официальный сайт TrueCrypt и скачиваем дистрибутив программы (TrueCrypt Setup 6.0a.exe).
Далее в разделе Language Packs скачиваем русский перевод от Дмитрия Ерохина (langpack-ru-1.0.6-for-truecrypt-6.0a.zip).
Что внутри?
Запускаем программу установки TrueCrypt Setup 6.0a.exe и в случае согласия с условиями лицензионного соглашения выбираем 'Accept'.
На следующем шаге нам предлагается два варианта установки:
Install
(необходимо выбрать этот вариант если вы собираетесь зашифровать раздел с установленной MS Windows)
при этом программа установки позволяет:
- создать точку аварийного восстановления
- установить программу в %SystemDrive%\Program Files\TrueCrypt (или другой каталог по выбору пользователя)
- установить драйвер truecrypt.sys в %windir%\system32\drivers
- ассоциировать с программой расширение файлов .tc (будут добавлены соответствующие ключи в реестр)
- добавить ярлыки для запуска программы в меню Пуск и на Рабочий стол
В целях обеспечения большей скрытности, можно не выполнять установку программы (при этом возможна работа с файл-контейнерами и зашифрованными разделами, но невозможно зашифровать системный раздел).
Extract
этот вариант позволяет использовать программу в переносном режиме, так называемый Traveler mode.
При этом в систему ничего установлено не будет, инсталлятор просто распакует необходимые файлы в папку TrueCrypt.
В данном случае нас интересует именно второй вариант, его мы и выбираем. Также распаковываем архив langpack-ru-1.0.6-for-truecrypt-6.0a.zip После извлечения файлов у нас должно получиться следующее:
TrueCrypt\ TrueCrypt User Guide.pdf Руководство пользователя (англ.) TrueCrypt Format.exe Мастер создания томов TC TrueCrypt.exe Панель управления TC truecrypt.sys Драйвер для x86 систем truecrypt-x64.sys Драйвер для x64 систем License.txt Лицензионное соглашение (англ.) Language.ru.xml Языковой модуль (должен находиться в одном каталоге с TrueCrypt.exe) Readme.txt Информация о языковом модуле (англ.)
копируем эти файлы на USB FlashDrive.
Что дальше?
Теперь необходимо создать файл-контейнер. Запускаем TrueCrypt Format.exe
- Шаг - Создать том TrueCrypt
Создадим Обычный том - Шаг - Размещение тома
Выбираем [Файл] преходим на USB FlashDrive и задаём имя файлу-контейнеру, например HotPorno.avi - Шаг - Настройки шифрования
Выбираем алгоритм шифрования (для большей надёжности рекомендуется использовать каскадные схемы, как то AES-Twofish-Serpent, в таком случае при "взломе" в будушем одного из алгоритмов наши данные будут защищены двумя другими)
Выбираем Хэш-алгоритм по своему вкусу ;) - Шаг - Размер тома
Исходя из наличия свободного места на USB FlashDrive и объёма данных, которые нам нужно скрыть задаём размер файлу-контейнеру (хозяйке на заметку: имея флэшку на 2Gb можно создать контейнер на 1Gb в котором без труда поместятся ICQ клиент с приватной перепиской, браузер Opera с базой ваших революционных писем, небольшая база "1С Предприятие" с чёрной кассой и прочее, при этом у вас ещё останется 1Gb свободного места для фотографий любимого зайчика/котика, которые если и попадут в чужие руки не повредят вашей репутации) - Шаг - Пароль тома
На этом этапе необходимо задать пароль или указать ключевые файлы или и то и другое. - Шаг - Форматирование тома
Указываем желаемый тип файловой системы и размер кластера.
Готово.
Как с этим работать?
Запускаем TrueCrypt.exe
В верхней части окна выбираем под какой буквой будет отображаться диск, смонтированный из файл-контейнера
В нижней части окна выбираем [Файл] переходим на USB FlashDrive и указываем имя файла-контейнера из 2 Шага (см.выше)
Нажимаем [Смонтировать]
Вводим пароль или указываем ключевые файлы, из 5 Шага (см. выше)
Теперь открыв Мой компьютер мы видим, что у нас появился ещё один Локальный диск с которым можно работать как обычно.
По окончании работы не забудьте размонтировать контейнер перед извлечением флэшки из компьютера.
FAQ
TrueCrypt поддерживает работу с командной строкой.
- Пароль через командную строку вводится ключом /p. Например, "/p password" для пароля "password".
- Можно скрыть основное окно при запуске программы (выводится только диалог для ввода пароля):
"C:\Program Files\TrueCrypt\TrueCrypt.exe /v D:\data.tc /lX /f /q"
Не забудьте указать правильный путь к TrueCrypt.exe и файлу-контейнеру (а также верный пароль при использовании ключа /p)
ключи
/v - задает путь к контейнеру
data.tc - имя контейнера
/lX - задает букву диска (без пробела) (диск будет смонтирован на букву Х - (можно задать любую другую "свободную"))
/q - тихий режим, без вопросов к пользователю
/p - пароль (через пробел)
Более подробно об этих и других ключах можно узнать в документации
- Для автоматического монтирования/размонтирования томов во время входа пользователя в систему можно использовать следующие скрипты:
logon.vbs Option Explicit On Error Resume Next Dim WshShell Set WshShell = WScript.CreateObject ("WScript.Shell") Dim TrueCryptCommand TrueCryptCommand = Chr(34) & "C:\Program Files\TrueCrypt\TrueCrypt.exe" & Chr(34) & " /v C:\secretfile.tc /lX /q /a" WshShell.Run TrueCryptCommand, 1, vbTrue
logoff.vbs Option Explicit On Error Resume Next Dim WshShell Set WshShell = WScript.CreateObject ("WScript.Shell") Dim TrueCryptCommand TrueCryptCommand = Chr(34) & "C:\Program Files\TrueCrypt\TrueCrypt.exe" & Chr(34) & " /dismount /w /q" WshShell.Run TrueCryptCommand, 1, vbTrue
- При открытии общего сетевого доступа к диску смонтированному из тома TrueCrypt может понадобиться следующий твик реестра
Windows Registry Editor Version 5.00 ;Set IRPstackSize to 50 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters] "IRPStackSize"=dword:00000032
Работа над ошибками
- При использовании TrueCrypt версии 5.0a наблюдается появление "дисков-фантомов"
Например, при монтировании файл-контейнера на букву "T" он оказывается одновременно смонтированным на буквы "T" и "M" При этом, после размонтирования контейнера с "T", диск "M" будет оставаться не доступным для системы до её перезагрузки.
В качестве решения можно попробовать следующее:
Размонтировать все контейнеры и выйти из программы TrueCrypt
Открыть редактор реестра regedit (Пуск -> Выполнить -> regedit [ok])
Перейти в ветку HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices и удалить все параметры со значением=hex:54,72,75,65,43,72,79,70,74,* (TrueCrypt)
Данная ошибка исправлена в TrueCrypt версии 5.1
- Внимание! обнаружена критическая уязвимость в TrueCrypt 5.1 связанная с использованием режима hibernation
Уязвимость закрыта в TrueCrypt версии 5.1a
Ссылки
- Официальный сайт TrueCrypt
- Языковые модули
- TrueCrypt — Википедия
- addon TrueCrypt
- Обсуждение на форуме pgpru.com
- Обсуждение на форуме ru-board.com
- Программа TrueCrypt — лучшая программа для шифрования данных
- Создание сообщества TrueCrypt (переведены на русский: F.A.Q. и документация)
- Переведённая на русский язык документация к TrueCrypt 5.1a
- Защита конфиденциальных данных и анонимность в интернете - Рекомендую! Статья содержит подробную иллюстрированную инструкцию по использованию TrueCrypt