Bekas Disulitkan dengan VeraCrypt

VeraCrypt dicipta selepas TrueCrypt tidak lagi diteruskan pada tahun 2014 dalam keadaan yang penuh misteri. VeraCrypt ialah cabang dengan penambahbaikan keselamatan yang ketara: bilangan lelaran yang lebih tinggi untuk penerbitan kunci pengepala volum (puluhan ribu berbanding beberapa ratus dalam TrueCrypt), menjadikan serangan cuba jaya jauh lebih sukar. Pengauditan keselamatan bebas (OSTIF, 2016) tidak menemui kelemahan kritikal dalam VeraCrypt.

Volum standard VeraCrypt ialah fail bekas dalam apa-apa saiz yang disimpan dalam sistem fail. Untuk menciptanya: buka VeraCrypt, klik Cipta Volum, pilih Cipta bekas fail yang disulitkan, pilih lokasi dan saiz volum, pilih algoritma, tetapkan kata laluan, kemudian formatkan. Fail yang terhasil kelihatan seperti data rawak kepada sesiapa sahaja yang tidak mempunyai kata laluan. Fail itu boleh dipindahkan, disalin atau dibuat sandaran seperti mana-mana fail.

VeraCrypt menawarkan beberapa pilihan penyulitan: AES-256, Serpent, Twofish dan rantaian (AES-Twofish-Serpent). AES-256 dengan mod XTS ialah pilihan yang disyorkan untuk kebanyakan pengguna: dipercepatkan oleh perkakasan pada CPU moden melalui AES-NI, telah dianalisis secara meluas dan tiada kelemahan praktikal yang diketahui. Rantaian memberikan margin keselamatan tambahan tetapi jauh lebih perlahan. Mod XTS direka khusus untuk penyulitan cakera dan mengendalikan setiap sektor secara berasingan.

VeraCrypt menggunakan fungsi penerbitan kunci (KDF) untuk menghasilkan kunci penyulitan volum daripada kata laluan anda. Pilihannya termasuk PBKDF2-RIPEMD-160, PBKDF2-SHA-512, Whirlpool dan Argon2id (ditambah baru-baru ini). SHA-512 atau Argon2id ialah pilihan moden yang disyorkan: kedua-duanya memerlukan banyak memori dan pengiraan yang intensif, lalu menjadikan serangan cuba jaya luar talian amat mahal walaupun terhadap kata laluan pendek.

Melekapkan volum VeraCrypt menjadikannya boleh diakses sebagai pemacu maya. VeraCrypt melaksanakan penerbitan kunci daripada kata laluan anda, menyahsulit pengepala volum untuk mendapatkan semula kunci induk, kemudian memetakan bekas itu sebagai sistem fail. Fail yang ditulis ke pemacu yang dilekapkan akan disulitkan semasa digunakan. Menyahlekapkan volum membuang pemetaan tersebut, dan fail bekas kembali kelihatan seperti data rawak.

Keupayaan teras VeraCrypt ialah penyulitan telus semasa digunakan. Apabila anda menulis fail ke volum VeraCrypt yang dilekapkan, fail itu disulitkan dalam memori sebelum ditulis ke fail bekas. Apabila anda membaca fail, fail itu dinyahsulit semasa dibaca. Aplikasi yang menggunakan volum yang dilekapkan melihat sistem fail biasa; aplikasi tersebut tidak mengetahui kewujudan lapisan penyulitan yang beroperasi di bawahnya.

VeraCrypt menyokong volum tersembunyi di dalam volum standard. Volum luaran mempunyai satu kata laluan yang mendedahkan kandungan yang tidak mencurigakan. Volum tersembunyi menggunakan ruang yang tidak digunakan dalam volum luaran dan mempunyai kata laluan lain yang mendedahkan kandungan sensitif. Jika dipaksa mendedahkan kata laluan, anda boleh memberikan kata laluan volum luaran. Dari segi kriptografi, tiada cara untuk membuktikan kewujudan volum tersembunyi, sekali gus memberikan penafian munasabah.

VeraCrypt boleh mencipta petak sistem pengendalian tersembunyi untuk penafian munasabah yang ekstrem. Petak sistem luaran mengandungi OS umpan yang but secara normal dan kelihatan sah. Petak tersembunyi mengandungi OS sebenar yang sensitif. But dengan satu kata laluan mendedahkan OS umpan; but dengan kata laluan lain mendedahkan sistem sebenar. Pelaksanaannya memerlukan susun atur petak tertentu dan proses persediaan yang teliti.

Sebelum mencipta volum, alat penanda aras VeraCrypt mengukur daya pemprosesan penyulitan bagi semua gabungan algoritma yang disokong pada perkakasan anda. Ini membantu anda memilih antara algoritma tunggal dan rantaian berdasarkan jangkaan prestasi yang realistik. Pada CPU moden dengan AES-NI, AES-256-XTS biasanya mencapai lebih 3 GB/s, menjadikan penyulitan itu tidak dapat dirasakan semasa mengakses fail biasa. Rantaian mungkin 3-5 kali lebih perlahan.

VeraCrypt boleh menyulitkan seluruh petak sistem, termasuk sistem pengendalian. Sebelum Windows bermula, pemuat but VeraCrypt (disimpan dalam petak MBR atau EFI) meminta kata laluan. Selepas kata laluan yang betul dimasukkan, pemuat but menyahsulit petak Windows dan menyerahkan kawalan kepada OS. Ini melindungi daripada serangan fizikal yang melibatkan penyerang mengeluarkan pemacu atau memulakan sistem daripada medium luaran.

Pengauditan OSTIF/Quarkslab terhadap VeraCrypt pada tahun 2016 mengenal pasti 8 kelemahan: 1 kritikal (dalam pemuat but, menjejaskan penyulitan seluruh cakera), 3 sederhana dan 4 berperingkat rendah. Pembangun VeraCrypt menampal semua isu dengan segera. Pengauditan itu mengesahkan bahawa tiada pintu belakang dan mendapati pelaksanaan volum tersembunyi kukuh dari segi kriptografi. Pengauditan awam ini meningkatkan kepercayaan terhadap VeraCrypt sebagai pengganti TrueCrypt dengan ketara.

Ringkasan VeraCrypt: pengganti TrueCrypt dengan penambahbaikan keselamatan dan hasil pengauditan yang baik, penciptaan fail bekas sebagai volum disulitkan, AES-256-XTS disyorkan untuk prestasi dan keselamatan, SHA-512 atau Argon2id untuk penerbitan kunci, penyulitan semasa digunakan menjadikan penyulitan telus kepada aplikasi, volum tersembunyi memberikan penafian munasabah, dan penyulitan petak sistem melindungi OS daripada serangan fizikal.