Kontainer Terenkripsi dengan VeraCrypt

VeraCrypt dibuat setelah TrueCrypt dihentikan pada 2014 dalam keadaan yang misterius. VeraCrypt merupakan cabang dengan peningkatan keamanan yang signifikan: jumlah iterasi untuk derivasi kunci header volume ditingkatkan (puluhan ribu dibandingkan beberapa ratus pada TrueCrypt), sehingga serangan coba-coba menyeluruh menjadi jauh lebih sulit. Audit keamanan independen (OSTIF, 2016) tidak menemukan kerentanan kritis dalam VeraCrypt.

Volume standar VeraCrypt adalah berkas wadah berukuran bebas yang disimpan dalam sistem berkas. Untuk membuatnya: buka VeraCrypt, klik Buat Volume, pilih Buat wadah berkas terenkripsi, tentukan lokasi dan ukuran volume, pilih algoritma, tetapkan kata sandi, lalu lakukan pemformatan. Berkas yang dihasilkan tampak seperti data acak bagi siapa pun yang tidak memiliki kata sandinya. Berkas ini dapat dipindahkan, disalin, atau dicadangkan seperti berkas apa pun.

VeraCrypt menyediakan beberapa pilihan enkripsi: AES-256, Serpent, Twofish, dan rangkaian algoritma (AES-Twofish-Serpent). AES-256 dengan mode XTS merupakan pilihan yang direkomendasikan bagi sebagian besar pengguna: dipercepat oleh perangkat keras pada CPU modern melalui AES-NI, telah dianalisis secara ekstensif, dan tidak memiliki kelemahan praktis yang diketahui. Rangkaian algoritma memberikan margin keamanan tambahan, tetapi jauh lebih lambat. Mode XTS dirancang khusus untuk enkripsi disk dan menangani setiap sektor secara terpisah.

VeraCrypt menggunakan fungsi derivasi kunci (KDF) untuk menurunkan kunci enkripsi volume dari kata sandi Anda. Pilihannya mencakup PBKDF2-RIPEMD-160, PBKDF2-SHA-512, Whirlpool, dan Argon2id (yang baru ditambahkan). SHA-512 atau Argon2id merupakan rekomendasi modern: keduanya membutuhkan banyak memori dan komputasi, sehingga serangan coba-coba secara luring memerlukan sumber daya yang sangat besar bahkan terhadap kata sandi pendek.

Memasang volume VeraCrypt membuatnya dapat diakses sebagai drive virtual. VeraCrypt melakukan derivasi kunci dari kata sandi Anda, mendekripsi header volume untuk mendapatkan kunci master, dan memetakan wadah tersebut sebagai sistem berkas. Berkas yang ditulis ke drive yang terpasang dienkripsi secara langsung saat ditulis. Melepas volume menghapus pemetaan, dan berkas wadah kembali tampak seperti data acak.

Kemampuan inti VeraCrypt adalah enkripsi transparan secara langsung saat digunakan. Saat Anda menulis berkas ke volume VeraCrypt yang terpasang, berkas tersebut dienkripsi di memori sebelum ditulis ke berkas wadah. Saat Anda membaca berkas, berkas tersebut didekripsi selama proses pembacaan. Aplikasi yang menggunakan volume terpasang melihat sistem berkas normal; aplikasi tersebut tidak mengetahui adanya lapisan enkripsi yang bekerja di bawahnya.

VeraCrypt mendukung volume tersembunyi di dalam volume standar. Volume luar memiliki satu kata sandi yang menampilkan konten yang tidak mencurigakan. Volume tersembunyi menempati ruang yang tidak terpakai dalam volume luar dan memiliki kata sandi berbeda yang menampilkan konten sensitif. Saat dipaksa mengungkapkan kata sandi, Anda dapat memberikan kata sandi volume luar. Secara kriptografis, tidak ada cara untuk membuktikan bahwa volume tersembunyi ada, sehingga memberikan penyangkalan yang masuk akal.

VeraCrypt dapat membuat partisi sistem operasi tersembunyi untuk penyangkalan yang sangat kuat. Partisi sistem luar berisi OS umpan yang melakukan boot secara normal dan tampak sah. Partisi tersembunyi berisi OS sensitif yang sebenarnya. Melakukan boot dengan satu kata sandi akan menampilkan sistem umpan; melakukan boot dengan kata sandi lain akan menampilkan sistem yang sebenarnya. Implementasinya memerlukan tata letak partisi tertentu dan proses penyiapan yang cermat.

Sebelum membuat volume, alat pengukuran kinerja VeraCrypt mengukur laju enkripsi untuk semua kombinasi algoritma yang didukung pada perangkat keras Anda. Ini membantu memilih antara algoritma tunggal dan rangkaian algoritma berdasarkan perkiraan kinerja yang realistis. Pada CPU modern dengan AES-NI, AES-256-XTS biasanya mencapai lebih dari 3 GB/s, sehingga akses berkas normal tidak terasa terpengaruh. Rangkaian algoritma mungkin 3–5 kali lebih lambat.

VeraCrypt dapat mengenkripsi seluruh partisi sistem, termasuk sistem operasi. Sebelum Windows dimulai, pemuat sistem VeraCrypt (disimpan di MBR atau partisi EFI) meminta kata sandi. Setelah kata sandi dimasukkan dengan benar, pemuat sistem mendekripsi partisi Windows dan menyerahkan kendali kepada OS. Ini melindungi dari serangan fisik ketika penyerang melepas drive atau melakukan boot dari media eksternal.

Audit OSTIF/Quarkslab tahun 2016 terhadap VeraCrypt mengidentifikasi 8 kerentanan: 1 kritis (pada pemuat sistem, memengaruhi enkripsi seluruh disk), 3 sedang, dan 4 berkeparahan rendah. Pengembang VeraCrypt segera menambal semua masalah tersebut. Audit ini mengonfirmasi tidak adanya pintu belakang dan menemukan bahwa implementasi volume tersembunyi kokoh secara kriptografis. Audit publik ini secara signifikan meningkatkan kepercayaan terhadap VeraCrypt sebagai pengganti TrueCrypt.

Apa tujuan volume tersembunyi VeraCrypt?

Ringkasan VeraCrypt: penerus TrueCrypt dengan peningkatan keamanan dan hasil audit yang baik, membuat berkas wadah sebagai volume terenkripsi, AES-256-XTS direkomendasikan untuk kinerja dan keamanan, SHA-512 atau Argon2id untuk derivasi kunci, enkripsi langsung saat digunakan membuat enkripsi transparan bagi aplikasi, volume tersembunyi menyediakan penyangkalan yang masuk akal, dan enkripsi partisi sistem melindungi OS dari serangan fisik.