คอนเทนเนอร์เข้ารหัสด้วย VeraCrypt

VeraCrypt ถูกสร้างขึ้นหลังจาก TrueCrypt ยุติการพัฒนาในปี 2014 ภายใต้สถานการณ์ที่ลึกลับ VeraCrypt เป็นโครงการแยกสายที่มีการปรับปรุงความปลอดภัยอย่างมาก ได้แก่ การเพิ่มจำนวนรอบสำหรับการสร้างกุญแจจากส่วนหัวโวลุ่มเป็นหลายหมื่นรอบ จากเดิมเพียงไม่กี่ร้อยรอบใน TrueCrypt ทำให้การโจมตีแบบลองทุกค่าเป็นไปได้ยากขึ้นมาก การตรวจสอบความปลอดภัยโดยหน่วยงานอิสระ (OSTIF, 2016) ไม่พบช่องโหว่ร้ายแรงใน VeraCrypt

โวลุ่มมาตรฐานของ VeraCrypt คือไฟล์คอนเทนเนอร์ขนาดใดก็ได้ที่จัดเก็บอยู่ในระบบไฟล์ วิธีสร้างโวลุ่มมีดังนี้ เปิด VeraCrypt คลิก Create Volume เลือก Create an encrypted file container เลือกตำแหน่งและขนาดโวลุ่ม เลือกอัลกอริทึม ตั้งรหัสผ่าน แล้วจัดรูปแบบ ไฟล์ที่ได้จะดูเหมือนข้อมูลสุ่มสำหรับผู้ที่ไม่มีรหัสผ่าน และสามารถย้าย คัดลอก หรือสำรองข้อมูลได้เช่นเดียวกับไฟล์ทั่วไป

VeraCrypt มีตัวเลือกการเข้ารหัสหลายแบบ ได้แก่ AES-256, Serpent, Twofish และการเข้ารหัสแบบลูกโซ่ (AES-Twofish-Serpent) สำหรับผู้ใช้ส่วนใหญ่ แนะนำให้ใช้ AES-256 กับโหมด XTS เนื่องจากใช้การเร่งความเร็วด้วยฮาร์ดแวร์ใน CPU รุ่นใหม่ผ่าน AES-NI ผ่านการวิเคราะห์มาอย่างกว้างขวาง และยังไม่มีจุดอ่อนที่ใช้โจมตีได้จริง การเข้ารหัสแบบลูกโซ่เพิ่มระดับความปลอดภัยสำรอง แต่ทำงานช้าลงอย่างมาก โหมด XTS ออกแบบมาโดยเฉพาะสำหรับการเข้ารหัสดิสก์ และจัดการแต่ละเซกเตอร์อย่างเป็นอิสระ

VeraCrypt ใช้ฟังก์ชันสร้างกุญแจ (KDF) เพื่อสร้างกุญแจเข้ารหัสโวลุ่มจากรหัสผ่านของคุณ ตัวเลือกต่าง ๆ ได้แก่ PBKDF2-RIPEMD-160, PBKDF2-SHA-512, Whirlpool และ Argon2id (เพิ่มเข้ามาเมื่อไม่นานมานี้) ปัจจุบันแนะนำให้ใช้ SHA-512 หรือ Argon2id เนื่องจากต้องใช้หน่วยความจำและการคำนวณสูง ทำให้การโจมตีแบบลองทุกค่าจากภายนอกมีต้นทุนสูงมาก แม้จะโจมตีรหัสผ่านสั้นก็ตาม

การเมานต์โวลุ่ม VeraCrypt ทำให้โวลุ่มดังกล่าวเข้าถึงได้ในรูปไดรฟ์เสมือน VeraCrypt จะสร้างกุญแจจากรหัสผ่านของคุณ ถอดรหัสส่วนหัวโวลุ่มเพื่อกู้คืนกุญแจหลัก และแมปคอนเทนเนอร์เป็นระบบไฟล์ ไฟล์ที่เขียนลงไดรฟ์ที่เมานต์จะถูกเข้ารหัสทันทีขณะใช้งาน การยกเลิกการเมานต์จะลบการแมปออก และไฟล์คอนเทนเนอร์จะกลับมาปรากฏเป็นข้อมูลสุ่มอีกครั้ง

ความสามารถหลักของ VeraCrypt คือการเข้ารหัสทันทีขณะใช้งานแบบโปร่งใส เมื่อคุณเขียนไฟล์ลงในโวลุ่ม VeraCrypt ที่เมานต์ ไฟล์นั้นจะถูกเข้ารหัสในหน่วยความจำก่อนเขียนลงไฟล์คอนเทนเนอร์ เมื่อคุณอ่านไฟล์ ไฟล์นั้นจะถูกถอดรหัสไปพร้อมกับการอ่าน แอปพลิเคชันที่ใช้โวลุ่มที่เมานต์จะมองเห็นระบบไฟล์ปกติ และไม่ทราบว่ามีชั้นการเข้ารหัสทำงานอยู่เบื้องหลัง

VeraCrypt รองรับโวลุ่มซ่อนเร้นภายในโวลุ่มมาตรฐาน โวลุ่มภายนอกมีรหัสผ่านหนึ่งชุดซึ่งจะแสดงเนื้อหาที่ดูไม่มีพิษมีภัย โวลุ่มซ่อนเร้นใช้พื้นที่ว่างในโวลุ่มภายนอก และมีรหัสผ่านอีกชุดหนึ่งซึ่งจะแสดงเนื้อหาที่มีความละเอียดอ่อน หากถูกบังคับให้เปิดเผยรหัสผ่าน คุณสามารถให้รหัสผ่านของโวลุ่มภายนอกได้ ในทางการเข้ารหัสไม่มีวิธีพิสูจน์ว่าโวลุ่มซ่อนเร้นมีอยู่จริง จึงทำให้สามารถปฏิเสธได้อย่างน่าเชื่อถือ

VeraCrypt สามารถสร้างพาร์ทิชันระบบปฏิบัติการซ่อนเร้นเพื่อการปฏิเสธที่น่าเชื่อถือในระดับสูงสุด พาร์ทิชันระบบภายนอกมีระบบปฏิบัติการลวงที่เริ่มระบบได้ตามปกติและดูน่าเชื่อถือ ส่วนพาร์ทิชันซ่อนเร้นมีระบบปฏิบัติการจริงที่เก็บข้อมูลละเอียดอ่อน การเริ่มระบบด้วยรหัสผ่านหนึ่งจะแสดงระบบลวง ส่วนการเริ่มระบบด้วยอีกรหัสผ่านหนึ่งจะแสดงระบบจริง การใช้งานฟีเจอร์นี้ต้องมีรูปแบบการแบ่งพาร์ทิชันเฉพาะและขั้นตอนการตั้งค่าที่รอบคอบ

ก่อนสร้างโวลุ่ม เครื่องมือทดสอบประสิทธิภาพของ VeraCrypt จะวัดอัตราการเข้ารหัสสำหรับชุดอัลกอริทึมที่รองรับทั้งหมดบนฮาร์ดแวร์ของคุณ ซึ่งช่วยให้เลือกได้ว่าจะใช้อัลกอริทึมเดี่ยวหรือการเข้ารหัสแบบลูกโซ่ โดยมีความคาดหวังด้านประสิทธิภาพที่ใกล้เคียงการใช้งานจริง บน CPU รุ่นใหม่ที่มี AES-NI โดยทั่วไป AES-256-XTS ทำความเร็วได้มากกว่า 3 GB/s จึงแทบไม่รู้สึกถึงความแตกต่างในการเข้าถึงไฟล์ทั่วไป การเข้ารหัสแบบลูกโซ่อาจช้าลง 3-5 เท่า

VeraCrypt สามารถเข้ารหัสพาร์ทิชันระบบทั้งหมด รวมถึงระบบปฏิบัติการ ก่อน Windows จะเริ่มระบบ ตัวโหลดระบบของ VeraCrypt (จัดเก็บอยู่ในพาร์ทิชัน MBR หรือ EFI) จะขอรหัสผ่าน เมื่อป้อนรหัสผ่านถูกต้อง ตัวโหลดระบบจะถอดรหัสพาร์ทิชัน Windows และส่งต่อการทำงานให้ OS วิธีนี้ป้องกันการโจมตีทางกายภาพที่ผู้โจมตีถอดไดรฟ์ออกหรือเริ่มระบบจากสื่อภายนอก

การตรวจสอบ VeraCrypt โดย OSTIF/Quarkslab ในปี 2016 พบช่องโหว่ 8 รายการ ได้แก่ ช่องโหว่ร้ายแรง 1 รายการ (อยู่ในตัวโหลดระบบและส่งผลต่อการเข้ารหัสดิสก์ทั้งลูก) ช่องโหว่ระดับปานกลาง 3 รายการ และช่องโหว่ระดับต่ำ 4 รายการ นักพัฒนา VeraCrypt แก้ไขปัญหาทั้งหมดอย่างรวดเร็ว การตรวจสอบยืนยันว่าไม่มีประตูหลัง และพบว่าการใช้งานโวลุ่มซ่อนเร้นมีความถูกต้องทางการเข้ารหัส การตรวจสอบที่เปิดเผยต่อสาธารณะนี้เพิ่มความเชื่อมั่นใน VeraCrypt ในฐานะตัวแทนของ TrueCrypt อย่างมาก

โวลุ่มซ่อนเร้นของ VeraCrypt มีไว้เพื่ออะไร

สรุป VeraCrypt: ผู้สืบทอด TrueCrypt ที่มีการปรับปรุงความปลอดภัยและผ่านการตรวจสอบโดยไม่พบปัญหาร้ายแรง สร้างไฟล์คอนเทนเนอร์เป็นโวลุ่มเข้ารหัส แนะนำ AES-256-XTS เพื่อประสิทธิภาพและความปลอดภัย ใช้ SHA-512 หรือ Argon2id ในการสร้างกุญแจ การเข้ารหัสทันทีขณะใช้งานทำให้แอปพลิเคชันมองไม่เห็นกระบวนการเข้ารหัส โวลุ่มซ่อนเร้นช่วยให้สามารถปฏิเสธได้อย่างน่าเชื่อถือ และการเข้ารหัสพาร์ทิชันระบบช่วยปกป้อง OS จากการโจมตีทางกายภาพ