Stahování ze stránek
Ačkoli jsem našel soukromé úložiště s balíčkem deb truecryptu, upřednostňuji použití verze ze stránek. Například aktuální, v době psaní článku, konzolová verze truecryptu:
# wget http://www.truecrypt.org/download/truecrypt-7.0a-linux-console-x64.tar.gz
Archiv jsem rozbalil příkazem:
# tar zxvf truecrypt-7.0a-linux-console-x64.tar.gz
Výsledkem byl spustitelný soubor truecrypt-7.0a-setup-console-x64.
Instalace Truecryptu
Aby truecrypt fungoval, je třeba nainstalovat další balíčky:
# aptitude install libfuse2 fuse-utils dmsetup
Po instalaci spustím dříve z archivu extrahovaný soubor truecrypt-7.0a-setup-console-x64:
# ./truecrypt-7.0a-setup-console-x64 TrueCrypt 7.0a Setup ____________________ Installation options: 1) Install truecrypt_7.0a_console_amd64.tar.gz 2) Extract package file truecrypt_7.0a_console_amd64.tar.gz and place it to /tmp To select, enter 1 or 2: 1 Before you can use, extract, or install TrueCrypt, you must accept the terms of the TrueCrypt License. Press Enter to display the license terms... Читаю лицензионное соглашение до самого конца и набираю yes Requirements for Running TrueCrypt: ----------------------------------- - FUSE library and tools - device mapper tools Press Enter to continue... Uninstalling TrueCrypt: ----------------------- To uninstall TrueCrypt, please run 'truecrypt-uninstall.sh'. Installing package... usr/bin/truecrypt usr/bin/truecrypt-uninstall.sh usr/share/truecrypt/doc/License.txt usr/share/truecrypt/doc/TrueCrypt User Guide.pdf Press Enter to exit...
Šifrování oddílu a vytvoření kontejneru
Šifrování oddílu a vytvoření kontejneru se příliš neliší. V prvním případě je jako argument příkazu uveden oddíl, ve druhém případě – soubor. Při šifrování oddílu jsou všechna data na něm zničena. Oddíl před šifrováním nemusí být formátován.
Jako příklad uvedu šifrování oddílu.
# truecrypt -c /dev/sda8 Volume type: 1) Normal 2) Hidden Select [1]: 1
V této fázi se vybírá typ vytvářeného svazku. Normal – běžný, plně šifrovaný svazek. Hidden – neviditelný, skrytý svazek uvnitř skutečně naformátovaného oddílu. Pro skutečný donorový oddíl je vhodné vybrat oddíl se souborovým systémem FAT32, aby se do oddílu vešlo více informací a snížila se pravděpodobnost poškození skrytého svazku.
Encryption algorithm: 1) AES 2) Serpent 3) Twofish 4) AES-Twofish 5) AES-Twofish-Serpent 6) Serpent-AES 7) Serpent-Twofish-AES 8) Twofish-Serpent Select [1]:
Algoritmus AES je nejrychlejší a pravděpodobně je nejlepší ho vybrat pro svazky, ze kterých budou spouštěny programy. Pro ukládání informací lze vybrat libovolný algoritmus ze zobrazeného seznamu.
Hash algorithm: 1) RIPEMD-160 2) SHA-512 3) Whirlpool Select [1]:
Jednoduše stisknu Enter. První hashovací funkce je přesně ta pravá.
Filesystem: 1) None 2) FAT 3) Linux Ext2 4) Linux Ext3 5) Linux Ext4 Select [2]: 5
Souborový systém pro nový svazek. Vybral jsem ext4.
Enter password: Re-enter password:
Zadal jsem (a znovu potvrdil) poměrně dlouhé heslo: K.,k.nt,z?j.,rfljhjufz?Rjulf?vtyzgjldtxhj;blfz. Chci poznamenat, že nejlepší heslo není verš ze strofy básní, ale skutečně náhodná sada znaků. Nebo pseudonáhodná: Lxq-weqp=9Mhft9E&ad_W[\8^",2nJqo-b$kQ[Hz['qV.
Enter keyfile path [none]:
Dobrá myšlenka je vytvořit klíčový soubor na USB klíči a uvést jej při šifrování. Hlavní je, že ho v budoucnu neztratíte. Ale jako klíčový soubor lze použít i běžný textový soubor s široce známým textem. Například:
Článek 23 1. Každý má právo na nedotknutelnost soukromí, osobní a rodinné tajemství, ochranu své cti a dobré pověsti. 2. Každý má právo na tajemství korespondence, telefonních hovorů, poštovních, telegrafních a jiných zpráv. Omezení tohoto práva je přípustné pouze na základě soudního rozhodnutí. Článek 24 1. Sběr, ukládání, využívání a šíření informací o soukromém životě osoby bez jejího souhlasu nejsou přípustné. 2. Orgány státní moci a orgány samosprávy, jakož i jejich úředníci, jsou povinni zajistit každému možnost nahlížet do dokumentů a materiálů, které se přímo dotýkají jeho práv a svobod, pokud zákon nestanoví jinak. Článek 25 Bydliště je nedotknutelné. Nikdo nemá právo vstoupit do bydliště proti vůli v něm bydlících osob, ledaže by to bylo v případech stanovených federálním zákonem nebo na základě soudního rozhodnutí.
Přirozeně je lepší vybrat články z ústavy jiné země nebo použít jiné texty. Jinak byste při ztrátě klíčového souboru a pokusu o jeho obnovu mohli zjistit, že ústava již byla změněna a šifrovaný svazek se neotevře.
Please type at least 320 randomly chosen characters and then press Enter: (тут беспорядочно нажимаю на любые буквенные клавиши и иногда нажимаю Enter, чтобы увидеть сколько ещё раз надо долбить по клавишам, чтобы выполнить в сумме 320 случайных нажатий) Characters remaining: 307 Characters remaining: 299 Done: 6,166% Speed: 81 MB/s Left: 5 minutes The TrueCrypt volume has been successfully created.
Proces byl dokončen a šifrovaný svazek byl vytvořen.
Připojení šifrovaného svazku
Chceme-li jej připojit k existující složce, provedeme příkaz:
# truecrypt /dev/sda8 /mnt
Změna hesla na šifrovaném svazku
# truecrypt --new-password=new1pass2word3 -C /dev/sdb3 Enter password: (вводим существующий пароль) Enter new keyfile [none]: Please type at least 320 randomly chosen characters and then press Enter: (долбим по клавиатуре 320 раз и нажимаем Enter) (ждём какое-то время)
Password and/or keyfile(s) successfully changed.
Heslo bylo úspěšně změněno.
Přidání klíčového souboru k šifrovanému svazku
# truecrypt --new-keyfiles=/media/blabla.txt -C /dev/sdb3 Enter password: (вводим действующий пароль на том) Enter new password: (вводим новый пароль на том или нажимаем Enter для отключения пароля) Please type at least 320 randomly chosen characters and then press Enter: (жмём триста двадцать раз по клавишам на клавиатуре) Password and/or keyfile(s) successfully changed.
Nyní je pro připojení šifrovaného svazku pomocí klíčového souboru s prázdným heslem nutné zadat příkaz:
# truecrypt --keyfiles=/media/blabla.txt --password="" --protect-hidden=no /dev/sdb3 /media/1
Pokud heslo není prázdné a je třeba jej zadat přímo v příkazovém řádku, zapíšeme jej místo uvozovek.
Pokud heslo není prázdné, nemusíme uvést přepínač --password a heslo zadáme na výzvu.
Lze poznat, že je oddíl nebo soubor šifrován?
Někteří kladou tuto otázku s odkazem například na řádek z článku na Wikipedii věnovaného Truecryptu: Žádný svazek TrueCrypt nelze identifikovat (svazky TrueCrypt nelze odlišit od souboru náhodných dat, tj. soubor nelze nijak a v žádném kontextu spojit s programem TrueCrypt, který jej vytvořil).
Znovu zdůrazňuji, že v této větě je obsažen jiný význam. Je zde jasně řečeno, že při pohledu na oddíl nebo soubor s náhodnými daty nelze s jistotou tvrdit, že jsou šifrovány pomocí programu TrueCrypt. Stačí si přečíst celou větu do konce.
Šifrovaný oddíl nebo soubor lze snadno odlišit od nešifrovaného pouhým pohledem do něj pomocí nějakého nízkoúrovňového editoru. Pokud uvidíme příliš náhodná data, je to již důvod k zamyšlení nad šifrovaným obsahem.
Velmi zjednodušeně lze říci, že náhodná data představují sadu opakujících se sekvencí znaků, zbytky čitelných dat z určitých souborů a prázdné mezery. Příliš náhodná data jsou souborem neopakujících se znaků. Jde o šum, chaos a nárůst entropie. Taková „příliš náhodná“ data nelze stlačit žádným archivním nástrojem. Žádný běžný oddíl na pevném disku nebude obsahovat klastry zcela zaplněné příliš náhodnými daty.
Jistou podobnost šifrovaných souborů mají archivy. Avšak archivy mají hlavičky, podle kterých lze identifikovat program, který archiv vytvořil.