Conteneurs chiffrés avec VeraCrypt

VeraCrypt a été créé après l'abandon de TrueCrypt en 2014 dans des circonstances mystérieuses. VeraCrypt est une version dérivée qui apporte d'importantes améliorations de sécurité : le nombre d'itérations pour la dérivation de la clé de l'en-tête du volume a été augmenté (des dizaines de milliers contre quelques centaines dans TrueCrypt), ce qui rend les attaques par force brute beaucoup plus difficiles. Un audit de sécurité indépendant (OSTIF, 2016) n'a révélé aucune vulnérabilité critique dans VeraCrypt.

Un volume standard VeraCrypt est un fichier conteneur de taille quelconque stocké dans un système de fichiers. Pour en créer un : ouvrez VeraCrypt, cliquez sur Créer un volume, sélectionnez Créer un conteneur de fichiers chiffré, choisissez l'emplacement et la taille du volume, sélectionnez les algorithmes, définissez un mot de passe, puis formatez le volume. Le fichier créé apparaît comme une suite de données aléatoires pour toute personne qui ne possède pas le mot de passe. Il peut être déplacé, copié ou sauvegardé comme n'importe quel fichier.

VeraCrypt propose plusieurs options de chiffrement : AES-256, Serpent, Twofish et des cascades (AES-Twofish-Serpent). AES-256 avec le mode XTS est le choix recommandé pour la plupart des utilisateurs : il est accéléré matériellement sur les processeurs modernes grâce à AES-NI, a fait l'objet d'analyses approfondies et ne présente aucune faiblesse pratique connue. Les cascades offrent une marge de sécurité supplémentaire, mais sont nettement plus lentes. Le mode XTS est conçu spécifiquement pour le chiffrement des disques et traite les secteurs indépendamment.

VeraCrypt utilise une fonction de dérivation de clé (KDF) pour dériver la clé de chiffrement du volume à partir de votre mot de passe. Les options comprennent PBKDF2-RIPEMD-160, PBKDF2-SHA-512, Whirlpool et Argon2id (ajouté récemment). SHA-512 ou Argon2id sont les recommandations modernes : ils exigent beaucoup de mémoire et de calcul, ce qui rend les attaques par force brute hors ligne extrêmement coûteuses, même contre des mots de passe courts.

Le montage d'un volume VeraCrypt le rend accessible comme un lecteur virtuel. VeraCrypt effectue la dérivation de la clé à partir de votre mot de passe, déchiffre l'en-tête du volume pour récupérer la clé maître et associe le conteneur à un système de fichiers. Les fichiers écrits sur le lecteur monté sont chiffrés à la volée. Le démontage supprime cette association et le fichier conteneur redevient semblable à des données aléatoires.

La fonction principale de VeraCrypt est le chiffrement transparent à la volée. Lorsque vous écrivez un fichier sur un volume VeraCrypt monté, celui-ci est chiffré en mémoire avant d'être écrit dans le fichier conteneur. Lorsque vous lisez un fichier, celui-ci est déchiffré au fur et à mesure de sa lecture. Les applications qui utilisent le volume monté voient un système de fichiers normal : elles ignorent la couche de chiffrement qui fonctionne en dessous.

VeraCrypt prend en charge les volumes cachés à l'intérieur des volumes standard. Le volume externe possède un mot de passe qui donne accès à un contenu anodin. Un volume caché occupe l'espace inutilisé du volume externe et possède un autre mot de passe qui donne accès au contenu sensible. Si vous êtes contraint de révéler un mot de passe, vous pouvez fournir celui du volume externe. D'un point de vue cryptographique, il est impossible de prouver l'existence d'un volume caché, ce qui permet une dénégation plausible.

VeraCrypt peut créer une partition de système d'exploitation cachée pour assurer une dénégation plausible maximale. La partition système externe contient un système d'exploitation leurre qui démarre normalement et semble légitime. La partition cachée contient le véritable système d'exploitation sensible. Un démarrage avec un mot de passe révèle le système leurre ; un démarrage avec un autre révèle le véritable système. La mise en œuvre nécessite une disposition précise des partitions et une configuration minutieuse.

Avant de créer un volume, l'outil d'évaluation des performances de VeraCrypt mesure le débit de chiffrement de toutes les combinaisons d'algorithmes prises en charge sur votre matériel. Cela aide à choisir entre des algorithmes individuels et des cascades en se fondant sur des attentes de performances réalistes. Sur un processeur moderne équipé d'AES-NI, AES-256-XTS atteint généralement plus de 3 GB/s, ce qui le rend imperceptible lors de l'accès normal aux fichiers. Les cascades peuvent être 3 à 5 fois plus lentes.

VeraCrypt peut chiffrer la totalité de la partition système, y compris le système d'exploitation. Avant le démarrage de Windows, le chargeur d'amorçage de VeraCrypt (stocké dans le MBR ou la partition EFI) demande le mot de passe. Après sa saisie correcte, le chargeur d'amorçage déchiffre la partition Windows et passe la main à l'OS. Cela protège contre les attaques physiques au cours desquelles un attaquant retire le disque ou démarre l'ordinateur depuis un support externe.

L'audit de VeraCrypt mené en 2016 par OSTIF/Quarkslab a relevé 8 vulnérabilités : 1 critique (dans le chargeur d'amorçage, affectant le chiffrement intégral du disque), 3 de gravité moyenne et 4 de faible gravité. Les développeurs de VeraCrypt ont corrigé tous les problèmes rapidement. L'audit a confirmé l'absence de portes dérobées et a conclu que l'implémentation des volumes cachés était solide sur le plan cryptographique. Cet audit public a considérablement renforcé la confiance envers VeraCrypt comme remplacement de TrueCrypt.

Quel est le but d'un volume caché VeraCrypt ?

Récapitulatif de VeraCrypt : successeur de TrueCrypt apportant des améliorations de sécurité et bénéficiant d'un résultat d'audit favorable, création de fichiers conteneurs servant de volumes chiffrés, AES-256-XTS recommandé pour ses performances et sa sécurité, SHA-512 ou Argon2id pour la dérivation de clé, chiffrement à la volée rendant le chiffrement transparent pour les applications, volumes cachés permettant une dénégation plausible et chiffrement de la partition système protégeant l'OS contre les attaques physiques.