Завантаження з сайту
Незважаючи на те, що я знайшов приватний репозиторій з deb-пакетом truecrypt'а, віддаю перевагу використанню версії з сайту. Наприклад, поточна, на момент написання статті, консольна версія truecrypt'а:
# wget http://www.truecrypt.org/download/truecrypt-7.0a-linux-console-x64.tar.gz
Розпакував архів командою:
# tar zxvf truecrypt-7.0a-linux-console-x64.tar.gz
На виході отримав виконуваний файл truecrypt-7.0a-setup-console-x64.
Встановлення Truecrypt
Для роботи truecrypt'а треба встановити додаткові пакети:
# aptitude install libfuse2 fuse-utils dmsetup
Після встановлення запускаю, раніше витягнутий з архіву, файл truecrypt-7.0a-setup-console-x64:
# ./truecrypt-7.0a-setup-console-x64 TrueCrypt 7.0a Setup ____________________ Installation options: 1) Install truecrypt_7.0a_console_amd64.tar.gz 2) Extract package file truecrypt_7.0a_console_amd64.tar.gz and place it to /tmp To select, enter 1 or 2: 1 Before you can use, extract, or install TrueCrypt, you must accept the terms of the TrueCrypt License. Press Enter to display the license terms... Читаю лицензионное соглашение до самого конца и набираю yes Requirements for Running TrueCrypt: ----------------------------------- - FUSE library and tools - device mapper tools Press Enter to continue... Uninstalling TrueCrypt: ----------------------- To uninstall TrueCrypt, please run 'truecrypt-uninstall.sh'. Installing package... usr/bin/truecrypt usr/bin/truecrypt-uninstall.sh usr/share/truecrypt/doc/License.txt usr/share/truecrypt/doc/TrueCrypt User Guide.pdf Press Enter to exit...
Шифрування розділу та створення контейнера
Шифрування розділу та створення контейнера мало чим відрізняються. У першому випадку, як аргумент команди, вказується розділ, а в другому випадку – файл. При шифруванні розділу всі дані на ньому знищуються. Розділ не треба форматувати перед шифруванням.
Наведу, як приклад, шифрування розділу.
# truecrypt -c /dev/sda8 Volume type: 1) Normal 2) Hidden Select [1]: 1
На цьому етапі вибирається тип створюваного тому. Normal - звичайний, повністю зашифрований, том. Hidden - непомітний, прихований том, всередині реального відформатованого розділу. Для реального розділу-донора бажано вибирати розділ з файловою системою FAT32, щоб всередину розділу помістилося більше інформації і зменшилася ймовірність пошкодження прихованого тому.
Encryption algorithm: 1) AES 2) Serpent 3) Twofish 4) AES-Twofish 5) AES-Twofish-Serpent 6) Serpent-AES 7) Serpent-Twofish-AES 8) Twofish-Serpent Select [1]:
Алгоритм шифрування AES найшвидший і його, ймовірно, краще вибрати для томів, з яких будуть запускатися програми. Для зберігання інформації можна вибрати будь-який алгоритм з представленого списку.
Hash algorithm: 1) RIPEMD-160 2) SHA-512 3) Whirlpool Select [1]:
Просто натискаю Enter. Перша хеш-функція саме те.
Filesystem: 1) None 2) FAT 3) Linux Ext2 4) Linux Ext3 5) Linux Ext4 Select [2]: 5
Файлова система для нового тому. Вибрав ext4.
Enter password: Re-enter password:
Ввів (і повторив введення) досить довгий пароль: K.,k.nt,z?j.,rfljhjufz?Rjulf?vtyzgjldtxhj;blfz. Хочу зауважити, що найкращий пароль це не строфи з віршів, а дійсно випадковий набір символів. Або псевдовипадковий: Lxq-weqp=9Mhft9E&ad_W[\8^",2nJqo-b$kQ[Hz['qV.
Enter keyfile path [none]:
Гарна думка створити ключовий файл на флешці та вказати його при шифруванні. Головне надалі його не втратити. Але можна як ключовий файл використати простий текстовий файл із широко відомим текстом. Наприклад:
Стаття 23 1. Кожен має право на недоторканність приватного життя, особисту та сімейну таємницю, захист своєї честі та доброго імені. 2. Кожен має право на таємницю листування, телефонних розмов, поштових, телеграфних та інших повідомлень. Обмеження цього права допускається лише на підставі судового рішення. Стаття 24 1. Збирання, зберігання, використання та поширення інформації про приватне життя особи без її згоди не допускаються. 2. Органи державної влади та органи місцевого самоврядування, їхні посадові особи зобов'язані забезпечити кожному можливість ознайомлення з документами та матеріалами, що безпосередньо зачіпають його права і свободи, якщо інше не передбачено законом. Стаття 25 Житло недоторканне. Ніхто не вправі проникати в житло проти волі осіб, які в ньому проживають, інакше як у випадках, встановлених федеральним законом, або на підставі судового рішення.
Звичайно, краще вибрати статті з конституції іншої країни або використати інші тексти. Інакше можна виявити при втраті ключового файлу та спробі його відновлення, що конституція вже змінилася і зашифрований том не відкривається.
Please type at least 320 randomly chosen characters and then press Enter: (тут беспорядочно нажимаю на любые буквенные клавиши и иногда нажимаю Enter, чтобы увидеть сколько ещё раз надо долбить по клавишам, чтобы выполнить в сумме 320 случайных нажатий) Characters remaining: 307 Characters remaining: 299 Done: 6,166% Speed: 81 MB/s Left: 5 minutes The TrueCrypt volume has been successfully created.
Процес завершився і зашифрований том створено.
Монтування зашифрованого тому
Щоб змонтувати його до наявної папки виконую команду:
# truecrypt /dev/sda8 /mnt
Зміна пароля на зашифрованому томі
# truecrypt --new-password=new1pass2word3 -C /dev/sdb3 Enter password: (вводим существующий пароль) Enter new keyfile [none]: Please type at least 320 randomly chosen characters and then press Enter: (долбим по клавиатуре 320 раз и нажимаем Enter) (ждём какое-то время)
Password and/or keyfile(s) successfully changed.
Пароль успішно змінили.
Додавання ключового файлу до зашифрованого тому
# truecrypt --new-keyfiles=/media/blabla.txt -C /dev/sdb3 Enter password: (вводим действующий пароль на том) Enter new password: (вводим новый пароль на том или нажимаем Enter для отключения пароля) Please type at least 320 randomly chosen characters and then press Enter: (жмём триста двадцать раз по клавишам на клавиатуре) Password and/or keyfile(s) successfully changed.
Тепер для монтування зашифрованого за допомогою ключового файлу тому з порожнім паролем необхідно вводити команду:
# truecrypt --keyfiles=/media/blabla.txt --password="" --protect-hidden=no /dev/sdb3 /media/1
Якщо пароль не порожній і необхідно його вказати прямо в командному рядку, то записуємо його замість лапок.
Якщо пароль не порожній, то опцію --password можна не писати і ввести пароль у відповідь на запит.
Чи можна зрозуміти, що розділ або файл зашифровано?
Деякі задають це питання наводячи як приклад, наприклад, рядок зі статті вікіпедії присвяченій Truecrypt'у: Жоден том TrueCrypt не може бути ідентифікований (томи TrueCrypt неможливо відрізнити від набору випадкових даних, тобто файл не можна пов'язати з TrueCrypt як з програмою, що його створила, в жодній формі та рамках).
Ще раз відповідаю, що в цій фразі закладено інший сенс. Тут ясно написано, що побачивши розділ або файл з випадковими даними не можна сказати, що він точно зашифрований із застосуванням програми Truecrypt. Просто читати треба до кінця фрази.
Шифрований розділ або файл можна легко відрізнити від нешифрованого просто глянувши на нього якимось низькорівневим редактором. Якщо ми побачимо занадто випадкові дані, то це вже привід задуматися про шифрований контент.
Якщо дуже спростити, то можна сказати, що випадкові дані являють собою набір повторюваних послідовностей символів, уривків читабельних даних від якихось файлів, порожні проміжки. Занадто випадкові дані - це набір символів, що не повторюються. Це шум, хаос, сплеск ентропії. Стиснути такі "занадто випадкові" дані якимось архіватором не видається можливим. Жоден звичайний розділ на вінчестері не міститиме в собі кластерів, повністю забитих занадто випадковими даними.
Деяка подоба зашифрованих файлів - архіви. Але в архівів є заголовки, за якими можна ідентифікувати програму-архіватор, за допомогою якої було створено архів.