Просмотр исходного текста страницы LXF161:Шифрование TrueCrypt при вас

[[Категория: Учебники]] 

'''Сделайте шифрование портативным с помощью TrueCrypt'''

==Безопасность: Шифруем данные==
''Нейл Ботвик покажет, как обезопасить ваши данные с помощью TrueCrypt, независимо от того, на скольких ПК или ОС вы собираетесь их использовать.''
[[Файл: LXF158.tut security.ex..png|left |100px |thumb|'''Наш эксперт.'''У Нейла Ботвика по компьютеру в каждой комнате, но по соображениям безопасности он ни за что не скажет, где находится центральный сервер.]]
Шифрование данных бывает жизненно важным – как для личной жизни, так и для работы. Есть разные возможности для хранения шифрованных данных: так, Ubuntu применяет виртуальную файловую систему ecryptfs, включенную в ядро, для шифрования домашних директорий. Ядро также включает dmcrypt для шифрования целых разделов – именно так я предпочитаю защищать свой ноутбук от посторонних глаз. Однако иногда нужен более мобильный подход: иногда важные данные приходится хранить на USB-брелке, чтобы смотреть их на другом компьютере или в другой ОС. Здесь-то и выходит на первый план TrueCrypt. TrueCrypt (www.truecrypt.org) – это инструмент, который шифрует все устройство или создает шифрованный файл, рассматриваемый как устройство, где хранятся файлы. Программа мультиплатформенная, и данные, шифрованные ею, можно прочитать в системах Mac или Windows; и в ней имеются статичные портативные бинарники, так что вам даже не нужно устанавливать никаких программ на компьютер, в котором вы собираетесь читать свои файлы. Также, в отличие от опций ядра, TrueCrypt имеет GUI, и вам нужно лишь помнить свой пароль, чтобы получать доступ к своим данным.

===Создание тома===

Установив TrueCrypt обычным для вашего дистрибутива способом – практически все дистрибутивы имеют этот пакет в своих репозиториях, так что используйте стандартный менеджер пакетов – подключите носитель USB с достаточным объемом свободного места, запустите TrueCrypt и нажмите на Create Volume [Создать том]. У вас есть выбор: создать том в файле или зашифровать весь диск или раздел; на данный момент выбирайте файл. Это не только проще, но также позволит вам оставить место на носителе для незашифрованных файлов, что очень важно, если вы хотите включить программу TrueCrypt. Создайте стандартный том и выберите имя файла. При попытке использовать существующий файл тот будет перезаписан – отдельные файлы TrueCrypt не шифрует. Если вы создаете контейнер на устройстве, отформатированном в FAT, например, USB-брелке, размер тома не должен превышать 4 ГБ, потому что FAT не работает с файлами такого размера.

Далее вам предложат выбрать применяемый алгоритм шифрования; для большинства случаев прекрасно подойдет выбор по умолчанию. По кнопке Test можно убедиться, что выбранный вами алгоритм поддерживается вашей системой – нажмите Test, затем Auto-Test All. Кнопка Benchmark демонстрирует производительность алгоритмов. Если вы намерены шифровать большие файлы в медленной системе, вам, возможно, стоит выбрать алгоритм побыстрее, но если вы сохраняете данные на USB-брелок, основным ограничивающим фактором будет, скорее всего, скорость записи устройства. Установите размер тома и выберите, использовать ли пароль или файл ключа; здесь мы выберем пароль. Выберите файловую систему. Максимальную портативность обеспечит опция FAT; для использования только в Linux более логичным будет выбрать одну из файловых систем ext. Нажмите Next, дайте мыши поработать, чтобы сгенерировать случайные данные, используемые для шифрования, и нажмите Format.

Монтирование вашего зашифрованного тома также делается из GUI. Нажмите на Select File и выберите только что созданный файл, затем дважды щелкните по одному из номеров слотов в верху дисплея. Вам предложат ввести пароль, а затем на дисплее отобразится информация о томе, в том числе и точка монтирования – по умолчанию это /media/truecryptN, где N – номер слота. Кнопка Options [Параметры] в окне запроса пароля позволит изменить точку монтирования и другие настройки. Размонтирование не менее просто: выберите слот и нажмите Dismount. Можно сделать это и командной строкой, вместо того, чтобы загружать GUI – например, при монтировании из скрипта:

truecrypt /path/to/file

Вам предложат ввести пароль и затем монтировать том в первом имеющемся слоте, используя точку монтирования /media/truecryptN. Можете монтировать ее где угодно, указав точку монтирования в командной строке:

truecrypt /mnt/scratch/lxfcrypt ~/secretstuff

При этом должна существовать точка монтирования. Размонтирование производится добавлением опции -d или --dismount:

truecrypt --dismount /path/to/file

Вы также можете указать пароль в командной строке с помощью опции -p или --password:

truecrypt --password “some r3ally 10ng pa55word” /path/to/file

однако использовать в данном случае скрипт – не особенно умная мысль. Кавычки нужны, если пароль содержит пробелы или любые другие символы, которые могут запутать оболочку. Из GUI создавать тома TrueCrypt проще, но можно это делать и из командной строки – вот пример создания тома:

truecrypt --text --non-interactive –password=notmyrealone –volume-type=normal --size=1073741824 –encryption=AES --hash=RIPEMD-160 --filesystem=FAT –keyfiles=”” --create somefile

Но нужно прочесть документацию, чтобы разобраться с опциями.

Если вы пропустите какую-либо настройку, TrueCrypt сообщит об этом, что обесценивает использование командной строки как альтернативы (если только вы не создаете том в системе без рабочего стола). Опция --non-interactive нужна, чтобы TrueCrypt перестал просить вас использовать клавиатуру для генерации случайных данных для шифрования; но тогда данные будут менее случайны, а значит, менее безопасны. Вообще-то стоит использовать GUI для создания томов при любом удобном случае. TrueCrypt снабжен большим руководством в формате PDF, но там затронуты только версии опций командной строки для Windows. Более подробную и полезную информацию вы получите, запустив

truecrypt --help

Истинной портативности ради, вам нужно быть в состоянии расшифровать ваши тома TrueCrypt, где бы вы ни находились. Есть отдельные программы для Windows и Linux, доступные на truecrypt.org. Скачайте 32-битные пакеты для Windows и Linux и запустите каждый из них в соответствующей ОС. Пакет для Linux нужно распаковать до того, как вы сможете запустить оттуда хоть один файл. Можете запустить программу установки Windows с помощью Wine, если у вас нет под рукой Windows. В любом случае, выберите опцию Extract. Программа установки Windows разместит файлы в TrueCrypt в текущей директории, а программа установки Linux создаст tar-архив в /tmp, который вы должны распаковать. Скопируйте Windows TrueCrypt.exe и Linux Truecrypt на устройство, которая содержит ваш том, и можете запускать их непосредственно с него, без необходимости установки.

===Прячьте свои секреты===

Одним из недостатков шифрованных файловых систем является то, что, скрывая содержимое файловой системы, они в то же время не скрывают того факта, что вы что-то прячете. TrueCrypt заполняет новое устройство случайными данными, и у него нет подписи в начале файла, в отличие от разделов dmcrypt; поэтому раздел TrueCrypt выглядит, как неиспользованный раздел, заполненный случайными данными, но там нет скрытого многогигабайтного файла, содержащего случайные данные. Также могут возникнуть ситуации, когда вам придется передать кому-то ключи шифрования. В TrueCrypt имеется возможность найти обходной путь – скрытые тома, о которых мы говорили ранее.

TrueCrypt создает два зашифрованных тома, один внутри другого. Внешний файл – это стандартный том TrueCrypt, где вы можете сохранять файлы, как обычно. Внутри него находится еще один том, который не появляется ни в одном списке директории, и место, занятое им, видится всеми стандартными инструментами как свободное. По мере того, как TrueCrypt заполняет любой новый том случайными данными, тот факт, что все «свободное» место во внешнем пространстве содержит данные, не является подозрительным. Каждый том имеет свой пароль; используйте пароль к внешнему тому – и вы увидите только содержащиеся в нем данные; но если использовать пароль к скрытому тому, монтируется именно он. Это означает, что вы можете передать пароль к вашему скрытому тому, зная, что остальные данные, которые вам нужно сохранить в безопасности, спрятаны. Имеет смысл использовать для скрытого тома более длинные и более безопасные пароли, чтобы взломщики паролей сначала взломали пароль внешнего тома.

Процесс создания скрытого тома начинается во многом так же, как и для стандартного тома; затем вас просят скопировать некоторые данные в том перед тем, как будет создана скрытая часть. Это – повторение шагов для создания стандартного тома. Теперь вы можете открыть любой том, введя пароль. Однако, если вы откроете внешний том и запишете что-то в него, вы рискуете повредить скрытый том, потому что инструменты файловой системы не могут распознать, где он находится. Справочник расскажет, как избежать подобной ситуации. |