Download von der Website
Obwohl ich ein privates Repository mit dem TrueCrypt-deb-Paket gefunden habe, bevorzuge ich die Verwendung der Version von der Website. Zum Beispiel die aktuelle, zum Zeitpunkt des Artikelschreibens verfügbare, konsolenbasierte Version von TrueCrypt:
# wget http://www.truecrypt.org/download/truecrypt-7.0a-linux-console-x64.tar.gz
Das Archiv wurde mit folgendem Befehl entpackt:
# tar zxvf truecrypt-7.0a-linux-console-x64.tar.gz
Als Ergebnis erhielt ich die ausführbare Datei truecrypt-7.0a-setup-console-x64.
TrueCrypt installieren
Um TrueCrypt nutzen zu können, müssen zusätzliche Pakete installiert werden:
# aptitude install libfuse2 fuse-utils dmsetup
Nach der Installation starte ich die zuvor aus dem Archiv extrahierte Datei truecrypt-7.0a-setup-console-x64:
# ./truecrypt-7.0a-setup-console-x64 TrueCrypt 7.0a Setup ____________________ Installation options: 1) Install truecrypt_7.0a_console_amd64.tar.gz 2) Extract package file truecrypt_7.0a_console_amd64.tar.gz and place it to /tmp To select, enter 1 or 2: 1 Before you can use, extract, or install TrueCrypt, you must accept the terms of the TrueCrypt License. Press Enter to display the license terms... Читаю лицензионное соглашение до самого конца и набираю yes Requirements for Running TrueCrypt: ----------------------------------- - FUSE library and tools - device mapper tools Press Enter to continue... Uninstalling TrueCrypt: ----------------------- To uninstall TrueCrypt, please run 'truecrypt-uninstall.sh'. Installing package... usr/bin/truecrypt usr/bin/truecrypt-uninstall.sh usr/share/truecrypt/doc/License.txt usr/share/truecrypt/doc/TrueCrypt User Guide.pdf Press Enter to exit...
Partition verschlüsseln und Container erstellen
Die Verschlüsselung einer Partition und das Erstellen eines Containers unterscheiden sich kaum. Im ersten Fall wird als Befehlsargument die Partition angegeben, im zweiten Fall eine Datei. Bei der Verschlüsselung einer Partition werden alle darauf befindlichen Daten zerstört. Die Partition muss vor der Verschlüsselung nicht formatiert werden.
Als Beispiel zeige ich hier die Verschlüsselung einer Partition.
# truecrypt -c /dev/sda8 Volume type: 1) Normal 2) Hidden Select [1]: 1
In diesem Schritt wird der Typ des zu erstellenden Volumes gewählt. Normal – ein normales, vollständig verschlüsseltes Volume. Hidden – ein unauffälliges, verstecktes Volume, das sich innerhalb eines tatsächlich formatierten Bereichs befindet. Für das tatsächliche Donor-Volume sollte vorzugsweise eine Partition mit dem Dateisystem FAT32 gewählt werden, damit mehr Informationen in die Partition passen und die Wahrscheinlichkeit einer Beschädigung des versteckten Volumes verringert wird.
Encryption algorithm: 1) AES 2) Serpent 3) Twofish 4) AES-Twofish 5) AES-Twofish-Serpent 6) Serpent-AES 7) Serpent-Twofish-AES 8) Twofish-Serpent Select [1]:
Der Verschlüsselungsalgorithmus AES ist der schnellste und sollte wahrscheinlich für Volumes gewählt werden, von denen Programme gestartet werden. Zur Speicherung von Informationen kann jeder Algorithmus aus der angezeigten Liste gewählt werden.
Hash algorithm: 1) RIPEMD-160 2) SHA-512 3) Whirlpool Select [1]:
Ich drücke einfach Enter. Die erste Hash-Funktion ist genau richtig.
Filesystem: 1) None 2) FAT 3) Linux Ext2 4) Linux Ext3 5) Linux Ext4 Select [2]: 5
Dateisystem für das neue Volume. Ich habe ext4 gewählt.
Enter password: Re-enter password:
Ich habe ein ausreichend langes Passwort eingegeben (und zur Bestätigung wiederholt): K.,k.nt,z?j.,rfljhjufz?Rjulf?vtyzgjldtxhj;blfz. Ich möchte darauf hinweisen, dass das beste Passwort keine Strophen aus Reimen sind, sondern tatsächlich eine zufällige Zeichenfolge. Oder eine pseudozufällige: Lxq-weqp=9Mhft9E&ad_W[\8^",2nJqo-b$kQ[Hz['qV.
Enter keyfile path [none]:
Gute Idee, eine Schlüsseldatei auf einem USB-Stick zu erstellen und diese bei der Verschlüsselung anzugeben. Wichtig ist, sie später nicht zu verlieren. Man kann jedoch auch eine einfache Textdatei mit einem allgemein bekannten Text als Schlüsseldatei verwenden. Zum Beispiel:
Artikel 23 1. Jeder hat das Recht auf Unverletzlichkeit der Privatsphäre, auf Geheimnis des persönlichen und familiären Lebens, auf Schutz seiner Ehre und seines guten Rufs. 2. Jeder hat das Recht auf Brief-, Telefon- und Telegraphengeheimnis sowie auf Geheimnis anderer Nachrichten. Einschränkungen dieses Rechts sind nur auf Grundlage eines Gerichtsbeschlusses zulässig. Artikel 24 1. Die Sammlung, Speicherung, Nutzung und Verbreitung von Informationen über das Privatleben einer Person ohne deren Zustimmung sind unzulässig. 2. Organe der Staatsgewalt und Organe der lokalen Selbstverwaltung sowie ihre Bediensteten sind verpflichtet, jedem die Möglichkeit zu gewährleisten, sich mit Dokumenten und Materialien vertraut zu machen, die unmittelbar seine Rechte und Freiheiten betreffen, sofern das Gesetz nichts anderes vorsieht. Artikel 25 Die Wohnung ist unverletzlich. Niemand darf in die Wohnung gegen den Willen der dort lebenden Personen eindringen, außer in den Fällen, die durch ein föderales Gesetz vorgesehen sind, oder auf Grundlage eines Gerichtsbeschlusses.
Es ist natürlich besser, Artikel aus der Verfassung eines anderen Landes zu wählen oder andere Texte zu verwenden. Andernfalls kann es bei Verlust der Schlüsseldatei und beim Versuch ihrer Wiederherstellung passieren, dass man feststellt, dass die Verfassung bereits geändert wurde und das verschlüsselte Volume nicht geöffnet werden kann.
Please type at least 320 randomly chosen characters and then press Enter: (тут беспорядочно нажимаю на любые буквенные клавиши и иногда нажимаю Enter, чтобы увидеть сколько ещё раз надо долбить по клавишам, чтобы выполнить в сумме 320 случайных нажатий) Characters remaining: 307 Characters remaining: 299 Done: 6,166% Speed: 81 MB/s Left: 5 minutes The TrueCrypt volume has been successfully created.
Der Prozess ist abgeschlossen und das verschlüsselte Volume wurde erstellt.
Einbinden des verschlüsselten Volumes
Um es in einen vorhandenen Ordner einzubinden, führe ich den folgenden Befehl aus:
# truecrypt /dev/sda8 /mnt
Ändern des Passworts auf dem verschlüsselten Volume
# truecrypt --new-password=new1pass2word3 -C /dev/sdb3 Enter password: (вводим существующий пароль) Enter new keyfile [none]: Please type at least 320 randomly chosen characters and then press Enter: (долбим по клавиатуре 320 раз и нажимаем Enter) (ждём какое-то время)
Password and/or keyfile(s) successfully changed.
Das Passwort wurde erfolgreich geändert.
Hinzufügen einer Schlüsseldatei zum verschlüsselten Volume
# truecrypt --new-keyfiles=/media/blabla.txt -C /dev/sdb3 Enter password: (вводим действующий пароль на том) Enter new password: (вводим новый пароль на том или нажимаем Enter для отключения пароля) Please type at least 320 randomly chosen characters and then press Enter: (жмём триста двадцать раз по клавишам на клавиатуре) Password and/or keyfile(s) successfully changed.
Um nun ein mit einer Schlüsseldatei verschlüsseltes Volume mit einem leeren Passwort einzubinden, muss der folgende Befehl eingegeben werden:
# truecrypt --keyfiles=/media/blabla.txt --password="" --protect-hidden=no /dev/sdb3 /media/1
Wenn das Passwort nicht leer ist und direkt in der Befehlszeile angegeben werden muss, schreiben wir es anstelle der Anführungszeichen.
Wenn das Passwort nicht leer ist, kann die Option --password weggelassen und das Passwort als Antwort auf die Aufforderung eingegeben werden.
Kann man erkennen, ob eine Partition oder eine Datei verschlüsselt ist?
Einige stellen diese Frage und verweisen beispielsweise auf einen Satz aus dem Wikipedia-Artikel über TrueCrypt: „Kein TrueCrypt-Volume kann identifiziert werden (TrueCrypt-Volumes sind nicht von einer Menge zufälliger Daten zu unterscheiden, d. h. eine Datei kann in keiner Form und in keinem Zusammenhang mit TrueCrypt als der sie erstellenden Software in Verbindung gebracht werden).“
Noch einmal zur Klarstellung: In diesem Satz steckt eine andere Bedeutung. Hier wird klar gesagt, dass man bei Sicht auf eine Partition oder eine Datei mit zufälligen Daten nicht sagen kann, dass sie definitiv mit der TrueCrypt-Software verschlüsselt ist. Man muss den Satz einfach bis zum Ende lesen.
Eine verschlüsselte Partition oder Datei lässt sich leicht von einer unverschlüsselten unterscheiden, indem man sie mit einem Low-Level-Editor ansieht. Wenn wir zu zufällige Daten sehen, ist das bereits ein Grund, über verschlüsselten Inhalt nachzudenken.
Wenn man es stark vereinfacht, kann man sagen, dass zufällige Daten eine Menge sich wiederholender Zeichenfolgen, Fragmente lesbarer Daten aus bestimmten Dateien und leere Bereiche darstellen. „Zu zufällige“ Daten bestehen aus einer Menge nicht wiederholender Zeichen. Es handelt sich um Rauschen, Chaos und einen Anstieg der Entropie. Solche „zu zufälligen“ Daten lassen sich mit keinem beliebigen Archivierungsprogramm komprimieren. Keine normale Partition auf einer Festplatte enthält Cluster, die vollständig mit zu zufälligen Daten gefüllt sind.
Eine gewisse Ähnlichkeit mit verschlüsselten Dateien haben Archive. Allerdings besitzen Archive Header, anhand derer sich das Archivierungsprogramm identifizieren lässt, mit dem das Archiv erstellt wurde.