VeraCrypt ile Şifreli Kapsayıcılar

VeraCrypt, TrueCrypt'in 2014'te gizemli koşullar altında kullanımdan kaldırılmasının ardından oluşturuldu. VeraCrypt, önemli güvenlik iyileştirmeleri içeren bir çatallanmadır: birim üstbilgisi anahtarı türetme için yineleme sayısı artırılmıştır (TrueCrypt'teki birkaç yüz yerine on binlerce); bu da kaba kuvvet saldırılarını çok daha zor hâle getirir. Bağımsız bir güvenlik denetiminde (OSTIF, 2016) VeraCrypt'te kritik güvenlik açığı bulunmadı.

VeraCrypt standart birimi, bir dosya sisteminde saklanan ve herhangi bir boyutta olabilen bir kapsayıcı dosyadır. Oluşturmak için VeraCrypt'i açın, Birim Oluştur'a tıklayın, Şifrelenmiş dosya kapsayıcısı oluştur'u seçin, birimin konumunu ve boyutunu belirleyin, algoritmaları seçin, bir parola belirleyin ve biçimlendirin. Ortaya çıkan dosya, parola olmadan herkes için rastgele veriler gibi görünür. Herhangi bir dosya gibi taşınabilir, kopyalanabilir veya yedeklenebilir.

VeraCrypt birden fazla şifreleme seçeneği sunar: AES-256, Serpent, Twofish ve algoritma zincirleri (AES-Twofish-Serpent). XTS modundaki AES-256, çoğu kullanıcı için önerilen seçenektir: AES-NI aracılığıyla modern CPU'larda donanım hızlandırmasından yararlanır, kapsamlı biçimde analiz edilmiştir ve bilinen pratik bir zayıflığı yoktur. Algoritma zincirleri ek güvenlik payı sağlar, ancak önemli ölçüde daha yavaştır. XTS modu özellikle disk şifreleme için tasarlanmıştır ve sektörleri birbirinden bağımsız olarak işler.

VeraCrypt, birimin şifreleme anahtarını parolanızdan türetmek için bir anahtar türetme işlevi (KDF) kullanır. Seçenekler arasında PBKDF2-RIPEMD-160, PBKDF2-SHA-512, Whirlpool ve yakın zamanda eklenen Argon2id bulunur. SHA-512 veya Argon2id güncel önerilerdir: bunlar belleğe ve hesaplama gücüne yüksek gereksinim duyar; bu nedenle kısa parolalara karşı yapılan çevrimdışı kaba kuvvet saldırılarını bile son derece maliyetli hâle getirir.

Bir VeraCrypt birimini bağlamak, birime sanal sürücü olarak erişilebilmesini sağlar. VeraCrypt, parolanızdan anahtar türetme işlemini gerçekleştirir, ana anahtarı kurtarmak için birim üstbilgisinin şifresini çözer ve kapsayıcıyı dosya sistemi olarak eşler. Bağlanan sürücüye yazılan dosyalar anlık olarak şifrelenir. Ayırma işlemi eşlemeyi kaldırır ve kapsayıcı dosyası yeniden rastgele veriler gibi görünür.

VeraCrypt'in temel yeteneği, şeffaf anlık şifrelemedir. Bağlanmış bir VeraCrypt birimine dosya yazdığınızda dosya, kapsayıcı dosyasına yazılmadan önce bellekte şifrelenir. Bir dosyayı okuduğunuzda dosyanın şifresi okuma sırasında çözülür. Bağlanmış birimi kullanan uygulamalar normal bir dosya sistemi görür; altlarında çalışan şifreleme katmanından haberdar olmazlar.

VeraCrypt, standart birimlerin içinde gizli birimleri destekler. Dış birim, zararsız içeriği gösteren tek bir parolaya sahiptir. Gizli birim, dış birimdeki kullanılmayan alanı kaplar ve hassas içeriği gösteren farklı bir parolaya sahiptir. Bir parolayı açıklamaya zorlandığınızda dış birimin parolasını verebilirsiniz. Kriptografik açıdan gizli birimin varlığını kanıtlamanın hiçbir yolu yoktur; bu da makul inkâr edilebilirlik sağlar.

VeraCrypt, aşırı düzeyde makul inkâr edilebilirlik sağlamak için gizli bir işletim sistemi bölümü oluşturabilir. Dış sistem bölümü, normal şekilde açılan ve meşru görünen bir sahte OS içerir. Gizli bölüm, gerçek hassas OS'yi içerir. Bir parolayla önyükleme yapıldığında sahte sistem, başka bir parolayla önyükleme yapıldığında gerçek sistem açılır. Uygulama için belirli bir bölüm düzeni ve dikkatli bir kurulum süreci gerekir.

Bir birim oluşturmadan önce VeraCrypt performans ölçüm aracı, donanımınızdaki desteklenen tüm algoritma bileşimlerinin şifreleme aktarım hızını ölçer. Bu, tekil algoritmalar ile algoritma zincirleri arasında gerçekçi performans beklentileriyle seçim yapmanıza yardımcı olur. AES-NI kullanan modern bir CPU'da AES-256-XTS genellikle 3 GB/sn'nin üzerinde hızlara ulaşır; bu nedenle normal dosya erişiminde fark edilmez. Algoritma zincirleri 3-5 kat daha yavaş olabilir.

VeraCrypt, işletim sistemi de dâhil olmak üzere sistem bölümünün tamamını şifreleyebilir. Windows açılmadan önce, MBR veya EFI bölümünde saklanan VeraCrypt önyükleyicisi parolayı ister. Parola doğru girildikten sonra önyükleyici Windows bölümünün şifresini çözer ve denetimi OS'ye devreder. Bu, saldırganın sürücüyü çıkarıp harici bir ortamdan önyükleme yaptığı fiziksel saldırılara karşı koruma sağlar.

VeraCrypt'in 2016 tarihli OSTIF/Quarkslab denetiminde 8 güvenlik açığı belirlendi: 1 kritik (tam disk şifrelemesini etkileyen önyükleyicide), 3 orta ve 4 düşük önem dereceli. VeraCrypt geliştiricileri tüm sorunları hızla düzeltti. Denetim, arka kapı bulunmadığını doğruladı ve gizli birim uygulamasının kriptografik açıdan sağlam olduğunu ortaya koydu. Bu kamuya açık denetim, TrueCrypt'in yerine geçen bir çözüm olarak VeraCrypt'e duyulan güveni önemli ölçüde artırdı.

VeraCrypt gizli biriminin amacı nedir?

VeraCrypt özeti: güvenlik iyileştirmeleri ve olumlu bir denetim sonucu sunan TrueCrypt ardılı; kapsayıcı dosyalarını şifreli birimler olarak oluşturma; performans ve güvenlik için önerilen AES-256-XTS; anahtar türetme için SHA-512 veya Argon2id; anlık şifreleme sayesinde uygulamalar için şifrelemenin şeffaf olması; gizli birimlerin makul inkâr edilebilirlik sağlaması ve sistem bölümü şifrelemesinin OS'yi fiziksel saldırılara karşı koruması.