Pobieranie ze strony
Mimo że znalazłem prywatne repozytorium z pakietem deb TrueCrypta, preferuję korzystanie z wersji ze strony. Na przykład, aktualnej (w momencie pisania artykułu) wersji konsolowej TrueCrypta:
# wget http://www.truecrypt.org/download/truecrypt-7.0a-linux-console-x64.tar.gz
Archiwum rozpakowałem poleceniem:
# tar zxvf truecrypt-7.0a-linux-console-x64.tar.gz
W wyniku otrzymałem plik wykonywalny truecrypt-7.0a-setup-console-x64.
Instalacja TrueCrypta
Aby TrueCrypt działał, należy zainstalować dodatkowe pakiety:
# aptitude install libfuse2 fuse-utils dmsetup
Po instalacji uruchamiam wcześniej wypakowany z archiwum plik truecrypt-7.0a-setup-console-x64:
# ./truecrypt-7.0a-setup-console-x64 TrueCrypt 7.0a Setup ____________________ Installation options: 1) Install truecrypt_7.0a_console_amd64.tar.gz 2) Extract package file truecrypt_7.0a_console_amd64.tar.gz and place it to /tmp To select, enter 1 or 2: 1 Before you can use, extract, or install TrueCrypt, you must accept the terms of the TrueCrypt License. Press Enter to display the license terms... Читаю лицензионное соглашение до самого конца и набираю yes Requirements for Running TrueCrypt: ----------------------------------- - FUSE library and tools - device mapper tools Press Enter to continue... Uninstalling TrueCrypt: ----------------------- To uninstall TrueCrypt, please run 'truecrypt-uninstall.sh'. Installing package... usr/bin/truecrypt usr/bin/truecrypt-uninstall.sh usr/share/truecrypt/doc/License.txt usr/share/truecrypt/doc/TrueCrypt User Guide.pdf Press Enter to exit...
Szyfrowanie partycji i tworzenie kontenera
Szyfrowanie partycji i tworzenie kontenera różnią się niewiele. W pierwszym przypadku jako argument polecenia podaje się partycję, a w drugim – plik. Podczas szyfrowania partycji wszystkie dane na niej są niszczone. Partycji nie trzeba formatować przed szyfrowaniem.
W przykładzie przedstawię szyfrowanie partycji.
# truecrypt -c /dev/sda8 Volume type: 1) Normal 2) Hidden Select [1]: 1
Na tym etapie wybiera się typ tworzonego woluminu. Normal – zwykły, w pełni zaszyfrowany wolumin. Hidden – niewidoczny, ukryty wolumin, umieszczony wewnątrz rzeczywistej, sformatowanej partycji. Dla rzeczywistej partycji-donora zaleca się wybór partycji z systemem plików FAT32, aby zmieścić więcej danych i zmniejszyć ryzyko uszkodzenia ukrytego woluminu.
Encryption algorithm: 1) AES 2) Serpent 3) Twofish 4) AES-Twofish 5) AES-Twofish-Serpent 6) Serpent-AES 7) Serpent-Twofish-AES 8) Twofish-Serpent Select [1]:
Algorytm szyfrowania AES jest najszybszy i prawdopodobnie warto go wybrać dla woluminów, z których będą uruchamiane programy. Do przechowywania informacji można wybrać dowolny algorytm z przedstawionej listy.
Hash algorithm: 1) RIPEMD-160 2) SHA-512 3) Whirlpool Select [1]:
Po prostu wciskam Enter. Pierwsza funkcja skrótu jest idealna.
Filesystem: 1) None 2) FAT 3) Linux Ext2 4) Linux Ext3 5) Linux Ext4 Select [2]: 5
System plików dla nowego woluminu. Wybrałem ext4.
Enter password: Re-enter password:
Wprowadziłem (i powtórzyłem) wystarczająco długi hasło: K.,k.nt,z?j.,rfljhjufz?Rjulf?vtyzgjldtxhj;blfz. Chciałbym zauważyć, że najlepsze hasło to nie strofy z wierszy, ale naprawdę losowy zestaw znaków. Albo pseudolosowy: Lxq-weqp=9Mhft9E&ad_W[\8^",2nJqo-b$kQ[Hz['qV.
Enter keyfile path [none]:
Dobrym pomysłem jest utworzenie pliku klucza na pendrive i wskazanie go podczas szyfrowania. Najważniejsze to nie zgubić go w przyszłości. Można jednak jako plik klucza użyć zwykłego pliku tekstowego z dobrze znanym tekstem. Na przykład:
Artykuł 23 1. Każdy ma prawo do poszanowania życia prywatnego, tajemnicy osobistej i rodzinnej, ochrony swojego czci i dobrego imienia. 2. Każdy ma prawo do tajemnicy korespondencji, rozmów telefonicznych, poczty, telegrafu i innych komunikatów. Ograniczenie tego prawa jest dopuszczalne wyłącznie na podstawie wyroku sądu. Artykuł 24 1. Zbieranie, przechowywanie, wykorzystywanie i rozpowszechnianie informacji o życiu prywatnym osoby bez jej zgody są niedozwolone. 2. Organy władzy państwowej i samorządu terytorialnego oraz ich urzędnicy są zobowiązani zapewnić każdemu możliwość zapoznania się z dokumentami i materiałami bezpośrednio dotyczącymi jego praw i wolności, chyba że inaczej stanowi prawo. Artykuł 25 Mieszkanie jest nienaruszalne. Nikt nie ma prawa wchodzić do mieszkania przeciwko woli osób w nim zamieszkujących, z wyjątkiem przypadków przewidzianych ustawą federalną lub na podstawie wyroku sądu.
Oczywiście lepiej wybrać artykuły z konstytucji innego kraju lub użyć innych tekstów. W przeciwnym razie można się przekonać przy utracie pliku klucza i próbach jego odzyskania, że konstytucja uległa zmianie i zaszyfrowany wolumin nie może zostać otwarty.
Please type at least 320 randomly chosen characters and then press Enter: (тут беспорядочно нажимаю на любые буквенные клавиши и иногда нажимаю Enter, чтобы увидеть сколько ещё раз надо долбить по клавишам, чтобы выполнить в сумме 320 случайных нажатий) Characters remaining: 307 Characters remaining: 299 Done: 6,166% Speed: 81 MB/s Left: 5 minutes The TrueCrypt volume has been successfully created.
Proces zakończył się i zaszyfrowany wolumin został utworzony.
Montowanie zaszyfrowanego woluminu
Aby zamontować go do istniejącego katalogu, wykonuję polecenie:
# truecrypt /dev/sda8 /mnt
Zmiana hasła na zaszyfrowanym woluminie
# truecrypt --new-password=new1pass2word3 -C /dev/sdb3 Enter password: (вводим существующий пароль) Enter new keyfile [none]: Please type at least 320 randomly chosen characters and then press Enter: (долбим по клавиатуре 320 раз и нажимаем Enter) (ждём какое-то время)
Password and/or keyfile(s) successfully changed.
Hasło zostało pomyślnie zmienione.
Dodawanie pliku klucza do zaszyfrowanego woluminu
# truecrypt --new-keyfiles=/media/blabla.txt -C /dev/sdb3 Enter password: (вводим действующий пароль на том) Enter new password: (вводим новый пароль на том или нажимаем Enter для отключения пароля) Please type at least 320 randomly chosen characters and then press Enter: (жмём триста двадцать раз по клавишам на клавиатуре) Password and/or keyfile(s) successfully changed.
Teraz, aby zamontować wolumin zaszyfrowany przy użyciu pliku klucza z pustym hasłem, należy wpisać polecenie:
# truecrypt --keyfiles=/media/blabla.txt --password="" --protect-hidden=no /dev/sdb3 /media/1
Jeśli hasło nie jest puste i należy je podać bezpośrednio w wierszu poleceń, wpisujemy je zamiast cudzysłowów.
Jeśli hasło nie jest puste, opcji --password nie trzeba wpisywać, a hasło można podać w odpowiedzi na pytanie.
Czy można zrozumieć, że partycja lub plik jest zaszyfrowany?
Niektórzy zadają to pytanie, przywołując na przykład fragment artykułu w Wikipedii poświęconego Truecryptowi: Żaden wolumin TrueCrypt nie może zostać zidentyfikowany (woluminy TrueCrypt nie mogą być odróżnione od zestawu danych losowych, czyli pliku nie można w żaden sposób i w żadnych ramach powiązać z TrueCrypt jako programem, który go utworzył).
Jeszcze raz odpowiadam, że w tym zdaniu tkwi inny sens. Jasno tam napisano, że widząc partycję lub plik z danymi losowymi, nie można stwierdzić, że jest on dokładnie zaszyfrowany przy użyciu programu TrueCrypt. Po prostu należy czytać do końca zdania.
Zaszyfrowaną partycję lub plik można łatwo odróżnić od niezaszyfrowanej, po prostu patrząc na nią za pomocą edytora niskiego poziomu. Jeśli zobaczymy zbyt losowe dane, będzie to już powód do zastanowienia się nad zaszyfrowaną zawartością.
Jeśli bardzo uprościmy, można powiedzieć, że dane losowe to zestaw powtarzających się sekwencji znaków, resztek czytelnych danych z pewnych plików oraz puste przedziały. Zbyt losowe dane to zestaw niepowtarzających się znaków. To szum, chaos, wzrost entropii. Skompresowanie takich „zbyt losowych” danych za pomocą dowolnego archiwizatora jest niemożliwe. Żaden zwykły partycja na dysku twardym nie będzie zawierać klastrów całkowicie wypełnionych zbyt losowymi danymi.
Pewnego rodzaju zaszyfrowane pliki to archiwa. Ale archiwa mają nagłówki, na podstawie których można zidentyfikować program archiwizujący, za pomocą którego zostało utworzone archiwum.