Important

VI. Вопросы и ответы

ВОПРОС. Если я удалю программу VeraCrypt с компьютера, что станет с моими зашифрованными файловыми контейнерами и дисками?

ОТВЕТ. С ними ничего не произойдет. Все папки и файлы останутся зашифрованными. Вы сможете их расшифровать на любом компьютере, где есть VeraCrypt.

ВОПРОС. Все ли типы файлов можно шифровать?

ОТВЕТ. Да. Вы можете зашифровать любой файл: и текстовый документ, и электронную таблицу, и архив, и фотографию, и звуковой файл.

ВОПРОС. А программы?

ОТВЕТ. Да, и программы. Вы можете держать в зашифрованном контейнере целый набор портативных программ, например, текстовый редактор, просмотрщик фотографий, музыкальный проигрыватель, и так далее. Фактически, вы организуете собственное защищенное рабочее пространство.

ВОПРОС. Что если комбинировать разные программы защиты данных, например, VeraCrypt и KeePassX?

ОТВЕТ. Дополнительный уровень защиты – неплохая мысль. Базу паролей KeePassX (как и саму программу KeePassX) можно хранить в защищенном контейнере VeraCrypt. Или, наоборот, пароль к контейнеру или диску VeraCrypt – в базе KeePassX.

ВОПРОС. Я забыл пароль к файловому контейнеру (диску). Могу ли я как-нибудь восстановить пароль?

ОТВЕТ. Нет.

ВОПРОС. А не лучше ли замаскировать файл-контейнер под какой-нибудь другой формат, если дать ему соответствующее расширение? Например, звуковой файл, картинку или видео?

ОТВЕТ. Такая рекомендация встречается у экспертов по цифровой безопасности, но вряд ли это удачная идея. Во-первых, нужно быть достаточно информированным о форматах файлов, чтобы не попасть впросак. Например, «фотография JPEG» размером в 2Гб может вызвать подозрение, поскольку для этого формата не характерны столь большие размеры файлов. Во-вторых, злоумышленника может насторожить, что фотография (видео и др.) не открываются в соответствующих приложениях. В-третьих, файлы многих форматов имеют узнаваемые «сигнатуры»: просмотрев начало такого файла в редакторе, можно убедиться, что ожидаемая сигнатура отсутствует. Лучше не маскировать ваш файл под распространенные форматы.

ВОПРОС. А сам VeraCrypt не оставляет в файле-контейнере свою «сигнатуру», по которой можно догадаться, что это – том VeraCrypt?

ОТВЕТ. Нет, не оставляет.

ВОПРОС. Почему бы не использовать динамические контейнеры, которые могут изменять размер? Записал больше файлов – контейнер автоматически «вырос». Ведь это удобно?

ОТВЕТ. Да, это удобно. Однако если злоумышленник имеет возможность наблюдать за изменениями файлов на диске, он может заметить, что некий файл постоянно меняет свой размер, и это способно вызвать дополнительные подозрения. Если вам нужен более емкий контейнер, создайте новый, большего объема, и перенесите в него данные обычным копированием.

ВОПРОС. Вы сказали, что злодей не может «на глаз» определить существование скрытого тома. Но ведь он может просто записывать данные во внешний том, а когда дойдет до конца, выяснится, что часть объема «куда-то делась» – это и будет признаком скрытого тома, разве нет?

ОТВЕТ. По умолчанию защита скрытого тома отсутствует. Это значит, что в описанном примере злодей будет записывать данные, пока не заполнит ими весь контейнер. Он не «споткнется» на какой-то границе. Конечно, данные скрытого тома при этом будут утрачены. Но мы исходим из того, что лучше их потерять, чем раскрыть злодею.

Версия для печати

II. Создание зашифрованного контейнера

VeraCrypt может организовать защиту ваших данных двумя способами: помещая их в защищенный контейнер или шифруя целиком весь диск. Начнем с первого способа.

1. Запустите программу. Если у вас 64-битная операционная система – файл VeraCrypt-x64.exe, если 32-битная – VeraCrypt.exe. Откроется основное рабочее окно программы.

Если по каким-то причинам программа запустилась на английском языке, выберите в меню «Settings» пункт «Language» и, соответственно, русский язык.

2. Нажмите кнопку «Создать том». Откроется окно мастера создания томов VeraCrypt.

3. Оставьте пункт, выбранный по умолчанию – «Создать зашифрованный файловый контейнер». Нажмите кнопку «Далее». Откроется окно выбора типа тома.

4. Оставьте пункт по умолчанию – «Обычный том VeraCrypt». (О скрытом томе мы расскажем потом). Нажмите кнопку «Далее». Нам предстоит выбрать место для контейнера.

5. На этом этапе нужно выбрать место и название файла-контейнера. Не особенно переживайте по этому поводу: при необходимости файл можно переместить и переименовать. Нажмите кнопку «Файл…», выберите удобное место и придумайте название (любое) и нажмите кнопку «Сохранить». Убедитесь, что в поле «Не сохранять историю» установлена галочка (по умолчанию она должна там быть). Запомните, где находится этот файл и как называется. Нажмите кнопку «Далее».

6. Продвинутые пользователи могут почитать о том, какие алгоритмы шифрования использует VeraCrypt, и даже сделать выбор между ними

Мы же оставим все без изменений и нажмем кнопку «Далее», чтобы перейти к важному этапу: выбору размера тома.

7. Контейнер – как сундук, он ограничен в объеме, и этот объем мы задаем с самого начала. Советуем делать это с учетом важных файлов, которые вы собираетесь хранить внутри, лучше с запасом. Если впоследствии все-таки места не хватит, ничего страшного: всегда можно создать новый контейнер попросторнее. Выбрав размер, нажмите кнопку «Далее».

8. Настало время придумать пароль для защиты контейнера. Это очень важный пароль, и он должен быть по-настоящему надежным. (Позже мы покажем, как его можно сменить). Введите пароль дважды и нажмите кнопку «Далее». (Если пароль окажется, по мнению VeraCrypt, чересчур коротким, программа дополнительно сообщит об этом в небольшом окошке).

9. Пора создать наш файловый контейнер. В открывшемся окне можно выбрать, в частности, файловую систему. Если вы не собираетесь размещать в контейнере особо крупные файлы (4 Гб и более), рекомендуем выбрать FAT (из соображений совместимости), если такие крупные файлы вам нужны, то NTFS. Остальные параметры лучше оставить нетронутыми. Перемещая курсор мыши внутри окна, вы «помогаете» программе собирать случайные данные и увеличиваете криптостойкость ключей (полоска в нижней части окна). Когда вам надоест толкать курсор по экрану, нажмите кнопку «Разметить» и понаблюдайте за индикатором в центре окна. После того, как этот индикатор станет полностью зеленым, возникнет окошко «Том VeraCrypt успешно создан».

10. Нажмите «ОК», а затем «Выход», чтобы покинуть мастер создания томов.

Много шагов, да? К счастью, создавать контейнеры приходится не каждый день. На практике люди обычно создают один, реже два контейнера, и пользуются ими довольно долго – пока хватает места.

Может показаться, что ничего не изменилось. На экране то же окно VeraCrypt, что в самом начале. Это не совсем так: если вы воспользуетесь любым файловым менеджером (например, «Проводником»), то в указанной вами папке (шаг 5) найдете файл с выбранным вами именем и размером (шаг 7). Зашифрованный файл-контейнер создан. Чтобы им пользоваться, нужно его смонтировать.

Как правильно использовать программное обеспечение для шифрования

Несколько советов, которые помогут вам лучше сохранять свои секреты:

1. Старайтесь не допускать посторонних лиц до вашего компьютера, в том числе не сдавайте ноутбуки в багаж в аэропортах; если есть возможность, отдавайте компьютеры в ремонт без системного жёсткого диска и т.д.
2. Используйте сложный пароль. Не используйте тот же самый пароль, который вы используете для почты и т.д.
3. При этом не забудьте пароль! Иначе данные будет невозможно восстановить.
4. Скачивайте все программы только с официальных сайтов.
5. Используйте бесплатные программы или купленные (не используйте взломанный софт). А также не скачивайте и не запускайте сомнительные файлы, поскольку все подобные программы, среди прочих зловредных элементов, могут иметь килоггеры (перехватчики нажатий клавиш), что позволит злоумышленнику узнать пароль от вашего зашифрованного контейнера.
6. Иногда в качестве средства от перехвата нажатий клавиш рекомендуют использовать экранную клавиатуру – думается, в этом есть смысл.

Создание скрытого тома

После того как заполнено первое «дно» и нажата кнопка «Далее», VeraCrypt предложит в соответствии с опцией, которую мы выбрали, создать теперь второе «дно», то есть скрытый том. Он будет иной областью информации, но находиться он будет в той первой области, открываемой первым «ключом». Поскольку размер первого «дна» составил 1 ГБ, то это и будет приблизительно максимальным возможным размером и для второго «дна». Но в нашем случае его размер составит 200 МБ.

А вот далее предлагаем не вводить просто пароль (этому вы уже научились на примере первого «дна», только не забудьте, что для второго «дна» пароль нужен другой). В VeraCrypt есть возможность «открывать» доступ к скрытому пространству не с помощью пароля, а с помощью ключевого файла. Поэтому отмечаем галочкой «Ключевые файлы» и начинаем осваивать новый поворот в работе с VeraCrypt.

Далее попадаем в следующее меню:

Ключевым файлом может быть любой файл, которому вы захотите присвоить статус такового, внеся в пустующее поле и нажав на проводник «Файлы». Можно создать случайный ключевой файл — это что-то новое, и вот давайте это сделаем. Жмем на кнопку внизу этого меню попадаем в «Генератор ключевых файлов».

Далее снова двигаем мышью около 30 секунд, не забываем назвать файл (в нашем случае это «book»), расширение для файла не надо ставить. После того как создадим и сохраним файл, жмем на кнопку «Закрыть» и выходим из «Генератора ключевых файлов».

Возвращаемся к меню «Пароль скрытого тома»: галочка «ключевые файлы» уже была поставлена, ключевой файл создан, значит теперь — вперед, жмем «Далее».

После этого происходит последний этап перед появлением на свет скрытого тома (снова двигаем мышью 30 секунд) — второго «дна», который мы защитили с помощью потайного «ключа» — ключевого файла, и в это «дно» мы сможем записывать самую важную для нас информацию. Подождите некоторое время и нажмите «Разметить».

И вот скрытый том создан! Его, как и внешний том, можно аналогичным образом наполнить информацией.

Стоит ли переходить с TrueCrypt на VeraCrypt

Эталонной программой, которая много лет позволяет очень надёжно шифровать файлы является TrueCrypt. Эта программа до сих пор прекрасно работает. К сожалению, в настоящее время разработка программы прекращена.

Её лучшей наследницей стала программа VeraCrypt.

VeraCrypt – это бесплатное программное обеспечение для шифрование дисков, она базируется на TrueCrypt 7.1a.

VeraCrypt продолжает лучшие традиции TrueCrypt, но при этом добавляет повышенную безопасность алгоритмам, используемым для шифрования систем и разделов, что делает ваши зашифрованные файлы невосприимчивым к новым достижениям в атаках полного перебора паролей.

VeraCrypt также исправила многие уязвимости и проблемы безопасности, обнаруженные в TrueCrypt. Она может работать с томами TrueCrypt и предлагает возможность конвертировать контейнеры TrueCrypt и несистемные разделы в формат VeraCrypt.

Эта улучшенная безопасность добавляет некоторую задержку только к открытию зашифрованных разделов без какого-либо влияния на производительность в фазе использования зашифрованного диска. Для легитимного пользователя это практически незаметное неудобство, но для злоумышленника становится практически невозможным получить доступ к зашифрованным данным, несмотря на наличие любых вычислительных мощностей.

Это можно продемонстрировать наглядно следующими бенчмарками по взлому (перебору) паролей в Hashcat:

Для TrueCrypt:

Hashtype: TrueCrypt PBKDF2-HMAC-RipeMD160 + XTS 512 bit
 
Speed.Dev.#1.:    21957 H/s (96.78ms)
Speed.Dev.#2.:     1175 H/s (99.79ms)
Speed.Dev.#*.:    23131 H/s
 
Hashtype: TrueCrypt PBKDF2-HMAC-SHA512 + XTS 512 bit
 
Speed.Dev.#1.:     9222 H/s (74.13ms)
Speed.Dev.#2.:     4556 H/s (95.92ms)
Speed.Dev.#*.:    13778 H/s
 
Hashtype: TrueCrypt PBKDF2-HMAC-Whirlpool + XTS 512 bit
 
Speed.Dev.#1.:     2429 H/s (95.69ms)
Speed.Dev.#2.:      891 H/s (98.61ms)
Speed.Dev.#*.:     3321 H/s
 
Hashtype: TrueCrypt PBKDF2-HMAC-RipeMD160 + XTS 512 bit + boot-mode
 
Speed.Dev.#1.:    43273 H/s (95.60ms)
Speed.Dev.#2.:     2330 H/s (95.97ms)
Speed.Dev.#*.:    45603 H/s

Для VeraCrypt:

Hashtype: VeraCrypt PBKDF2-HMAC-RipeMD160 + XTS 512 bit
 
Speed.Dev.#1.:       68 H/s (97.63ms)
Speed.Dev.#2.:        3 H/s (100.62ms)
Speed.Dev.#*.:       71 H/s
 
Hashtype: VeraCrypt PBKDF2-HMAC-SHA512 + XTS 512 bit
 
Speed.Dev.#1.:       26 H/s (87.81ms)
Speed.Dev.#2.:        9 H/s (98.83ms)
Speed.Dev.#*.:       35 H/s
 
Hashtype: VeraCrypt PBKDF2-HMAC-Whirlpool + XTS 512 bit
 
Speed.Dev.#1.:        3 H/s (57.73ms)
Speed.Dev.#2.:        2 H/s (94.90ms)
Speed.Dev.#*.:        5 H/s
 
Hashtype: VeraCrypt PBKDF2-HMAC-RipeMD160 + XTS 512 bit + boot-mode
 
Speed.Dev.#1.:      154 H/s (93.62ms)
Speed.Dev.#2.:        7 H/s (96.56ms)
Speed.Dev.#*.:      161 H/s
 
Hashtype: VeraCrypt PBKDF2-HMAC-SHA256 + XTS 512 bit
 
Speed.Dev.#1.:      118 H/s (94.25ms)
Speed.Dev.#2.:        5 H/s (95.50ms)
Speed.Dev.#*.:      123 H/s
 
Hashtype: VeraCrypt PBKDF2-HMAC-SHA256 + XTS 512 bit + boot-mode
 
Speed.Dev.#1.:      306 H/s (94.26ms)
Speed.Dev.#2.:       13 H/s (96.99ms)
Speed.Dev.#*.:      319 H/s

Как можно увидеть, взломать зашифрованные контейнеры VeraCrypt на несколько порядков сложнее, чем контейнеры TrueCrypt (которые тоже совсем не просты).

Полный бенчмарк и описание железа я публиковал в статье «hashcat + oclHashcat = hashcat».

Второй важный вопрос – надёжность. Никто не хочет, чтобы особо ценные и важные файлы и сведения были потеряны из-за ошибки в программе. Я знаю о VeraCrypt сразу после её появления. Я следил за её развитием и постоянно к ней присматривался. На протяжении последнего года я полностью перешёл с TrueCrypt на VeraCrypt. За год ежедневной работы VeraCrypt меня ни разу не подводила.

Таким образом, на мой взгляд, сейчас стоит переходить с TrueCrypt на VeraCrypt.

Создание криптоконтейнера TrueCrypt / VeraCrypt

Начнем с создания криптоконтейнера. Запускаем VeraCrypt / TrueCrypt и в главном окне жмем на кнопку Create Volume.

Программа спросит, что мы хотим зашифровать, и предложит три варианта.

Create an encrypted file container – создать обычный криптоконтейнер. Нам нужен именно он.

Encrypt a non-system partition/drive – зашифровать существующий несистемный раздел на жестком диске, USB-флешке или SD-карте.

Encrypt the system partition or entire system drive – зашифровать диск с уже установленной ОС или же создать дополнительный системный диск. При выборе данной опции необходимо будет вводить пароль каждый раз при загрузке операционной системы, и мы расскажем об этом в одной из следующих частей.

На следующем шаге программа уточнит у вас, какой тип криптоконтейнера вы хотите создать: стандартный или скрытый. В этом курсе мы научим вас создавать скрытые криптоконтейнеры, а сейчас выберите стандартный криптоконтейнер — Standard VeraCrypt volume.

Переходим к окну выбора имени криптоконтейнера и его расположения. Жмем Select File…

Перед вами откроется окно выбора места для сохранения файла, имени и расширения создаваемого файла.

Вы можете выбирать любые расширения и места сохранения файлов, однако не рекомендуется указывать имена, дублирующие уже существующие файлы.

Как видно на скриншоте, мы назвали криптоконтейнер data1.dat и сохранили в папке «Рабочий стол». Не знаете, почему мы создали файл с расширением .dat? Это важный момент, о котором вы можете прочитать в главе, посвященной TrueCrypt.

Следующим шагом идет выбор алгоритма шифрования. Алгоритм шифрования — это метод, который будет использоваться для шифрования данных. Мы бы рассказали вам о сравнении алгоритмов, но это сложно и скучно, а потому просто выберите Serpent-Twofish-AES.

Далее система предложит вам указать объем памяти создаваемого криптоконтейнера

Обратите внимание на необходимость создавать криптоконтейнер с учетом использования 5% (но не более 100 МБ) под системную информацию и ключ для дешифрования информации

После выбора выделяемого объема памяти нам необходимо будет создать пароль для дешифрования криптоконтейнера. Мы настоятельно рекомендуем для максимальной защиты использовать в связке с паролем файлом-ключом. Для этого активируйте опцию Use keyfiles.

Перед созданием пароля и файла-ключа рекомендуем познакомиться с этой главой. Для добавления ключа нажмите на кнопку Keyfiles.

В открывшемся окне выберите Add Files, если вы хотите добавить свой файл в качестве ключа, или Generate Random Keyfile, если хотите создать файл-ключ.

Мы рекомендуем именно генерировать новый ключ. Водите мышкой по экрану, пока ключ не сгенерируется, затем укажите его имя и нажмите Generate and Save Keyfiles.Система спросит у вас место сохранения созданного файла-ключа.

Закончив создание ключа, нажмите Add Files… и добавьте созданный ключ в список ключей VeraCrypt / TrueCrypt, затем выберите его в списке и нажмите ОК.

На следующем этапе программа предложит вам выбрать файловую систему. Пользователям Windows мы рекомендуем NTFS. После выбора файловой системы для создания криптоконтейнера нажмите Format.

Не забудьте основательно поводить мышкой, так как это повлияет на безопасность созданного криптоконтейнера (хотя и весьма косвенно).

Время создания криптоконтейнера зависит от его объема и используемых алгоритмов шифрования. По завершении программа предложит вам создать еще один криптоконтейнер. Многих новичков вводит в заблуждение данное окно, и они начинают сомневаться, создался криптоконтейнер или нет. На самом деле, это обычное для VeraCrypt / TrueCrypt завершение создания криптоконтейнера. Просто закройте окно и переходите к использованию созданного криптоконтейнера.

Потенциальные проблемы с безопасностью

Программа подвержена ряду потенциальных атак, к которым чувствительно и другое программное обеспечение шифрования дисков, например, BitLocker. Для смягчения этой опасности разработчики VeraCrypt дали пользователям ряд профилактических рекомендаций.

Некоторые из этих проблем перечислены ниже.

Ключи шифрования, хранимые в оперативной памяти

VeraCrypt сохраняет ключи в оперативной памяти в открытом виде. Теоретически, злоумышленник мог бы получить доступ к её содержимому при помощи так называемой атаки методом холодной перезагрузки — при которой атакующий получает физический доступ к содержимому модулей оперативной памяти компьютера после его выключения и при помощи специального программного обеспечения или оборудования восстанавливает их старое содержимое. Подобная атака была успешно применена в отношении разделов диска, зашифрованных при помощи TrueCrypt.

Физическая безопасность

VeraCrypt не обеспечивает безопасности данных на компьютере, к которому атакующий имеет физический доступ, как правило, тайный, в процессе работы с зашифрованными данными. Эта уязвимость относится не к случаю потерянных, конфискованных или украденных компьютеров, а к случаю, когда злоумышленники имеют возможность установить на компьютер тот или иной вид шпионского аппаратного обеспечения — аппаратный кейлоггер, bus-master устройство, обладающее прямым доступом к оперативной памяти или какое-то ещё устройство, предназначенное для решения подобных задач.

Вредоносное ПО

VeraCrypt не обеспечивает безопасности данных на компьютере с установленным вредоносным ПО. Многие вредоносные программы этого типа содержат в себе кейлоггеры и могут, в частности, считывать вводимые с клавиатуры пароли и передавать их злоумышленникам.

Trusted Platform Module

VeraCrypt не поддерживает взаимодействия с TPM, так как, по мнению разработчиков, TPM не может быть использован для решения задач информационной безопасности, так как TPM не обеспечивает никакой защиты компьютера от злоумышленника, получившего физический доступ к компьютеру и, например, установившего аппаратный кейлоггер.

Instructions for Signing and Packaging VeraCrypt for Windows:

First, create an environment variable ‘WSDK81’ pointing to the Windows SDK
for Windows 8.1 installation directory.
The folder «Signing» contains a batch file (sign.bat) that will sign all
VeraCrypt components using a code signing certificate present on the
certificate store and also build the final installation setup.
The batch file suppose that the code signing certificate is issued by Thawt.
This is the case for IDRIX’s certificate. If yours is issued by another CA,
then you should put the Root and Intermediate certificates in the «Signing»
folder and then modify sign.bat accordingly.

VeraCrypt и функции преобразования пароля

Для того, чтобы зашифровать и расшифровать данные, криптоконтейнер не использует пароль. Для шифрования любым алгоритмом (от AES до «Кузнечика» включительно) используется двоичный ключ переменной длины, так называемый Data Encryption Key или Media Encryption Key (MEK). Каким именно образом пароль пользователя (вероятно, достаточно сложный) преобразуется в двоичный ключ MEK? Он и не преобразуется. Media Encryption Key для единожды созданного контейнера неизменен; он хранится в зашифрованном (точнее сказать, «обёрнутом», wrapped) виде прямо в составе контейнера, а в «развёрнутом» виде используется для доступа к данным.

Ключ шифрования данных MEK в обязательном порядке шифруется (дальше будет тавтология) ключом шифрования ключа шифрования Key Encryption Key (KEK). Без KEK невозможно расшифровать MEK, а без MEK невозможно расшифровать данные. Для чего нужна такая сложная схема? Например, для того, чтобы пользователь мог сменить пароль от зашифрованного диска без обязательной расшифровки и перешифровки всего содержимого. Однако роль пары ключей MEK/KEK этим сценарием не ограничивается. Так, достаточно будет затереть несколько сотен байт в заголовке контейнера (перезаписав область, в которой хранится MEK), и контейнер никто и никогда больше расшифровать не сможет, даже если точно известен пароль. Возможность моментального и безвозвратного уничтожения данных – важная часть общей стратегии безопасности.

Каким образом из пароля получается ключ KEK? VeraCrypt проводит циклическую последовательность односторонних (необратимых) математических преобразований – хеш-функций, причём количество циклов достаточно велико: по умолчанию преобразование производится 500,000 раз. Таким образом, с настройками «по умолчанию» на вычисление одного-единственного ключа KEK на основе введённого пароля VeraCrypt потратит от одной до 5-6 секунд.

Здесь наступает важный момент. В предыдущей главе были приведены скорости работы алгоритмов шифрования, а шифр AES оказался как самым быстрым, так и достаточно безопасным. С выбором алгоритма хеширования ситуация обратная: самый нестандартный и самый медленный алгоритм оказывается и наиболее безопасным. Производительность алгоритмов хеширования на единственном CPU Intel i7-9700K выглядит следующим образом:

Точно так же, как и в случае с алгоритмами шифрования, для проведения атаки на зашифрованный диск эксперт должен указать точный алгоритм хеширования – либо провести атаку на весь спектр алгоритмов.

Насколько быстро или медленно работает перебор паролей? На примере последней версии Elcomsoft Distributed Password Recovery 4.20 с поддержкой VeraCrypt мы получили следующие цифры:

Скорость атаки в стандартной конфигурации (алгоритм шифрования AES, хэш-функция – SHA-512) – 1140 паролей в секунду с загрузкой всех ядер процессора и использованием вычислительных ресурсов видеокарты NVIDIA GeForce 2070. Если провести подобную атаку на диск, зашифрованный алгоритмом Serpent, то цифры не изменятся (нет, мы не копировали данные: все цифры были перепроверены несколько раз). Скорость перебора в гораздо большей степени зависит от функции хеширования и в меньшей – от алгоритма шифрования. Впрочем, последовательное использование двух шифров уменьшит скорость перебора, а трёх – уменьшит ещё сильнее; разница, тем не менее, несравнима с тем, какое влияние на скорость перебора оказывает выбор хеш-функции. Так, выбор Whirlpool вместо SHA-512 замедляет скорость перебора с 1140 до 74.6 паролей в секунду. Самой медленной будет атака по всему спектру возможностей: всего 6.63 паролей в секунду, в 171 раз медленнее атаки с настройками «по умолчанию».

Секрет 4. Используйте горячие клавиши.

Криптоконтейнер надежно защищает доступ к вашей конфиденциальной информации, когда он размонтирован. При надежном пароле в связке с файлом-ключом получить доступ к файлам техническими средствами — задача практически невыполнимая. Но криптоконтейнер защищен ничуть не более обычной папки, когда смонтирован.

В критической ситуации вам может потребоваться максимально быстро размонтировать все смонтированные криптоконтейнеры. Как в таком случае поступить? Лучшим решением будет заблаговременно настроить комбинацию горячих клавиш. К сожалению, такая возможность есть только у пользователей TrueCrypt и VeraCrypt в операционной системе Windows.

Открываем VeraCrypt или TrueCrypt. Выбираем Settings>Hot Keys…

Первым делом нужно выбрать список действий, который будет производиться при активации горячих клавиш.  Мы рекомендуем выбрать Force Dismount All, Wipe Cache & Exit — размонтировать все криптоконтейнеры, удалить кэш пароля и закрыть программу. Затем надо выбрать комбинацию клавиш, нажатие которых будет приводить к выбранным ранее действиям. Укажите любую букву, которая войдет в комбинацию, и нажмите Assign.

Что такое кэш пароля и зачем его удалять? Когда вы работаете с криптоконтейнером, шифруя и расшифровывая файлы, информация кодируется с помощью ключа шифрования. Этот ключ должен где-то храниться до демонтирования криптоконтейнера. Кэш ключа для шифрования и дешифрования хранится в оперативной памяти. Демонтирование криптоконтейнера обязательно должно сопровождаться удалением кэша, это установлено в настройках и TrueCrypt, и VeraCrypt по умолчанию.

Если ключ удален не будет, то при помощи специального криминалистического программного обеспечения его можно будет извлечь и расшифровать ваши данные. При выборе действий мы настоятельно рекомендуем выбирать очистку кэша (Wipe Cache).

По завершении процедуры создания комбинация клавиш отразится в списке. Нажмите OK. Теперь смонтируйте криптоконтейнер и нажмите выбранную комбинацию. Программа должна демонтировать криптоконтейнер, очистить кэш пароля и закрыться.

Instructions for Building VeraCrypt for Windows:

1. Create an environment variable ‘MSVC16_ROOT’ pointing to the folder ‘MSVC15’
   extracted from the Visual C++ 1.52 self-extracting package.

   Note: The 16-bit installer MSVC15\SETUP.EXE cannot be run on 64-bit Windows,
   but it is actually not necessary to run it. You only need to extract the
   folder ‘MSVC15’, which contains the 32-bit binaries required to build the
   VeraCrypt Boot Loader.

2. If you have installed the Windows Driver Development Kit in another
   directory than ‘%SYSTEMDRIVE%\WinDDK’, create an environment variable
   ‘WINDDK_ROOT’ pointing to the DDK installation directory.

3. Open the solution file ‘VeraCrypt.sln’ in Microsoft Visual Studio 2010.

4. Select ‘All’ as the active solution configuration.

5. Build the solution.

6. If successful, there should be newly built VeraCrypt binaries in the
   ‘Release’ folder.

Аудит

VeraCrypt опирается на исходный код TrueCrypt, который успешно, хотя и с некоторыми замечаниями, прошёл независимый аудит кода.

Независимый аудит кода VeraCrypt весной 2015 года был в стадии планирования. Обсуждалось его начало в июле 2015.

К середине сентября 2016 года аудит был завершен. Доклад о результатах занимал 42 страницы. Этот независимый аудит был проведён фондом OSTIF (Open Source Technology Improvement Fund), а средства на него пожертвовали DuckDuckGo и VikingVPN. Фонд OSTIF, в свою очередь, привлёк для проведения аудита специалистов компании Quarkslab.

Специалисты компании Quarkslab, проводившей этот аудит, сосредоточили свои усилия вокруг VeraCrypt 1.18 и DCS EFI Bootloader 1.18 (UEFI), в основном изучая новые функции, которыми VeraCrypt пополнился после апреля 2015 года и проведенного тогда аудита проекта TrueCrypt

Исследователи пишут, что в коде VeraCrypt им удалось обнаружить восемь критических уязвимостей, три умеренные уязвимости и еще пятнадцать багов низкой степени важности

Instructions for Building VeraCrypt for Linux and Mac OS X:

1) Change the current directory to the root of the VeraCrypt source code.

2) If you have no wxWidgets shared library installed, run the following
command to configure the wxWidgets static library for VeraCrypt and to
build it:

The variable WX_ROOT must point to the location of the source code of the
wxWidgets library. Output files will be placed in the ‘./wxrelease/’
directory.

3) To build VeraCrypt, run the following command:

or if you have no wxWidgets shared library installed:

4) If successful, the VeraCrypt executable should be located in the directory
‘Main’.

By default, a universal executable supporting both graphical and text user
interface (through the switch —text) is built.
On Linux, a console-only executable, which requires no GUI library, can be
built using the ‘NOGUI’ parameter:

On MacOSX, building a console-only executable is not supported.

Использование Elcomsoft Distributed Password Recovery для восстановления паролей VeraCrypt

Elcomsoft Distributed Password Recovery позволяет проводить атаки с использованием как аппаратного ускорения (видеокарт AMD и NVIDIA), так и с использованием множества компьютеров, объединённых в единую вычислительную сеть. Тем не менее, если атака проводится на зашифрованный диск с неизвестными параметрами защиты, имеет смысл воспользоваться возможностями «умных» атак на основе как стандартных словарей, так и словарей, составленных из известных паролей пользователя (о том, как их извлечь из браузера Google Chrome, резервных копий iOS или облачных сервисов iCloud, Google Drive и Microsoft Account, мы писали неоднократно).

В EDPR можно ограничить наборы символов, в рамках которых будет осуществляться перебор:

В программе также доступна возможность автоматически перебирать распространённые вариации известных паролей (например, Password1, password1967 or pa$$w0rd):

Об использовании масок мы недавно писали. Маски – один из важнейших инструментов для эффективного перебора паролей:

В особо сложных случаях на помощь приходят гибридные атаки, позволяющие комбинировать слова из одного или двух словарей и использовать правила, основанные на скриптах:

Зашифровать обычный раздел

VeraCrypt также может шифровать разделы, также как BitLocker, это означает, что на жестком диске вашей системы будет зашифрован целый раздел с использованием пароля. Вы можете смонтировать его как зашифрованный контейнер (как описано выше).

Чтобы зашифровать обычный раздел с помощью VeraCrypt, выполните следующие действия:

1. Откройте VeraCrypt и нажмите Создать том.
2. Выберите второй вариант Зашифровать несистемный раздел / диск и нажмите Далее.
3. Выберите раздел, который вы хотите зашифровать, и нажмите Далее.

   Примечание: не выбирайте системный раздел на этом шаге, то есть любой раздел, на который вы могли установить Windows, MacOS, Linux или любую другую ОС в вашей системе.

4. Выберите второй вариант Зашифровать раздел на месте и нажмите Далее.

   Примечание: не выбирайте первый вариант, иначе вы можете потерять важные данные, потому что это отформатирует раздел, и все данные на выбранном разделе будут потеряны.

5. Выберите алгоритмы шифрования (если не уверены, оставьте значение по умолчанию) и нажмите Далее.
6. Установите пароль для зашифрованного раздела и нажмите Далее.
7. Теперь как можно быстрее перемещайте указатель мыши в окне в случайном порядке и нажмите Разметить или Далеепосле того, как «полоса случайности» станет зеленой.
8. Выберите режим очистки (выберите «Нет», если не уверены), нажмите Далее, а затем нажмите Зашифровать, чтобы начать шифрование.

Примечание. Режим очистки необходим в ситуациях, когда у вас есть важные данные на выбранном разделе, которые вы не можете подвергать риску. Хотя VeraCrypt зашифрует ваш диск с его полными данными, люди могут восстановить некоторые незашифрованные данные с помощью современных технологий, если вы не выберете режим очистки, поэтому выберите любой вариант, кроме 1 проход.

Молодец, вы успешно зашифровали раздел. Теперь вы можете установить его для автоматического хранения и шифрования данных.