» TrueCrypt (часть 2)

Цитата:

Забыть о контейнере

Скорее всего так и будет...

Люди делятся на две категории: кто еще не делает бэкапы, и кто их уже делает (с)

Народ, работает ли нормально последняя версия TrueCrypt с текущей версий Windows 8 для WDE-шифрования системного или хотя бы несистемного раздела.
В начале прошлого года уже обсуждалось, и выяснилось, что не работает.
За 1,5 года что-то изменилось?

Ответьте, пожалуйста, кто точно знает. Гугл я и сам умею юзать, но там полно взаимоисключающих мнений.

Спасибо!

З.Ы.
Понятно, что с виртуальными контейнерами проблем нет, но речь не про них.


Добавлено:
А ещё вопрос на смежную тему. Как можно зарегистрироваться на официальном английском форуме сабжа? В целях борьбы со спамом одмины форума не сумели придумать ничего лучшего, чем запретить регистрацию (точнее, создание новых постов), если почтовый адрес юзера зарегистрирован на любом из бесплатных почтовых сервисов. Попробовал около десятка разных, от Gmail.com до Mail.ru, все в чёрном списке. Требуют указать адрес платного сервиса!! А где я им возьму платный? Да и в лом как-то платить за право доступа на форум сабжа

Кто раскрыл секрет при создании скрытой ОС деление диска?
Так я не поняла, винт неужели лучше всего делить чуть ли не напополам (45% на 55%)?
А потом же эти 45% копируются в шифрование (на лету) чуть ли не неделю (например у меня винт на 500 Гб)?

Или я чо не догоняю или есть еще какой-нить способ?

Или, может существует метод потом раздел с зашифрованной ОС увеличить или уменьшить, может проги какие а?

A1eksandr1
Спасибо за ответ. Смотри, зашифрован весь диск. Кейфайл не подойдет, т.к. юзеры выполняют свою работу. Говорить им лишнего не стоит, каждый знает свой пароль и этого достаточно. Я вообще думал - нанять еникейщика, и чтобы он с утра запускал ноуты. Но опять таки - человеческий фактор. Я бываю в офисе редко. Так что наверное пока мой вариант актуальнее, если он выполним и за адекватную плату. Вообще думал все на удаленный сервер вынести, и по рдп, но моих знаний не хватит и дорого все это..

snkreg

Цитата:

Добавить хот-кей и "админский" пароль, который задействуется при принудительном выключении компа нажатием данного хот-кея. Соответственно, даже если кто-то сообщит свой пароль - нужно будет предварительно ввести "админ-пароль".

Похоже ваша задача не допустить слива информации, если кто-то разболтает пароль. Как возможный вариант - автоматическое затирание загрузчика ТС в MBR (и рекавери ключи не помню есть ли они в системном для ТС?) при форс мажоре, прямо перед выключением света. Это возможно и даже ковыряться в ТС не надо. Просто написать демон который периодически проверяет или даже пингует какую то фигню на вашем серваке. Если ответа нет (т.е. форсмажор началася) то демон затирает быстренько что надо и может даже рапортовать на тот же сервер о результате. Потом тушим свет. Разумеется надо держать копии загрузчиков с мастеркодами и например их варианты где пароль изменен на админ-пароль в надежном укромном месте.

ТС не предусматривает множественные пароли. Закодить это в него не изменяя стандартный формат раздела сложно если вообще возможно

terminat0r
Воо, это ближе к делу.

Цитата:

Закодить это в него не изменяя стандартный формат раздела сложно если вообще возможно

За это - отдельное спасибо. Теперь понял, что идея не факт, что выполнима, а если и выполнима - то затрат будет множество.
Скажите, а что можно демону проверять? Манагеры работают с офисом, 1с, и тд. Но они же могут отлучится на обед\перекур\по нужде. И еще - МБР же можно самому восстановить, соответственно потом ввести слитый пароль, или нет?А демон можно наверное и на AutoIT написать. Кстати о нем и о сабже, но уже не о всей системе а просто о контейнерах:
Есть скрипт(сорец приведен ниже) который монтирует контейнер при подключении флешки. Довольно удобно, если отлучаешься от компа не на долго. Правда его косяк в том что пароль хранится в нем, и можно отреверсить, тем более, что AutoIT декомпиллится отлично.
Возможности:
1.Валидность USB накопителя проверяется по хэшу серийного номера USB накопителя.
2. Все данные в реестре шифруются по вашему ключу с помощью алгоритма RC4.
3. Ключевой файл хранится только в самой программе и генерируется лишь после того как подключен привязанный USB накопитель, после чего сразу удаляется.
4. При извлечении валидного USB накопителя, зашифрованный контейнер отключается с параметром /force.
5. Никаких лишних окон и вопросов, все прозрачно.
Минусов хватает, но мб найдется энтузиаст и допилит сие творение.
[more=исходник]
Код: #include <md5.au3> ; библиотека для работы с md5
#include <constants.au3>
#include <string.au3>

If WinExists(@ScriptName) Then Exit ; Запрещаем повторный запуск скрипта
AutoItWinSetTitle(@ScriptName)

AutoItSetOption ("TrayIconHide", 1 ) ; Спрятать иконку в трее
AutoItSetOption ("TrayIconDebug", 1 )

$key = "0x1234Af3d21" ; Ключ шифрования, должен быть такой-же как и в конфигураторе
$truecrypt = "C:\Program Files\TrueCrypt\TrueCrypt.exe" ; Путь до TrueCrypt

$drive = BinaryToString(_StringEncrypt(0,RegRead("HKCU\Software\USBToken","Flash"),$key,2))
$serial = _StringEncrypt(0,RegRead("HKCU\Software\USBToken","Serial"),$key,2)
$passwd = BinaryToString(_StringEncrypt(0,RegRead("HKCU\Software\USBToken","Master"),$key,2))
$path = BinaryToString(_StringEncrypt(0,RegRead("HKCU\Software\USBToken","Path"),$key,2))
$mount = _StringEncrypt(0,RegRead("HKCU\Software\USBToken","Mount"),$key,2)

While 1

if DriveStatus($drive) <> "READY" OR md5(DriveGetSerial($drive)) <> $serial AND DriveStatus($mount) = "READY" then
Run($truecrypt & ' /f /q /d ' & $mount)
endif

if DriveStatus($drive) = "READY" AND md5(DriveGetSerial($drive)) = $serial AND DriveStatus($mount) <> "READY" then

$file = FileOpen(@TempDir & "\master.key", 2)
FileWrite ($file, _StringEncrypt(1,RegRead("HKCU\Software\USBToken","Serial") & RegRead("HKCU\Software\USBToken","Master") & RegRead("HKCU\Software\USBToken","Mount") & RegRead("HKCU\Software\USBToken","Flash") & RegRead("HKCU\Software\USBToken","Path") & @ComputerName & @UserName, $key,2))
FileClose($file)
Run($truecrypt & ' /a /q /s /b /v ' & $path & " /l " & $mount & " /k " & @TempDir & "\master.key" & " /p " & $passwd)
Sleep(2000)
FileDelete(@TempDir & "\master.key")

else
endif
Sleep(5000)
WEnd

snkreg

Цитата:

Скажите, а что можно демону проверять? Манагеры работают с офисом, 1с, и тд. Но они же могут отлучится на обед\перекур\по нужде.

Да что угодно, даже наличие какого то файла на серваке или слова на хтмл странице. При чем здесь менеджеры? Ведь есть же человек который будет отключать свет? Так пусть несколько секунд перед этим и включает "ахтунг" для демонов на затирание


Цитата:

И еще - МБР же можно самому восстановить, соответственно потом ввести слитый пароль, или нет?

Я неправильно выразился, и имел ввиду "volume header" т е место где находятся соль и зашифрованые мастер ключи (для системного и обычного раздела они немного разные как и их местоположение на диске)
Если у кого то и есть пароль то без заголовка тома ТС он бесполезен. По аналоги у нападающего есть ключик (пароль) к замку сейфа(ваш винт) , но в сейфе теперь напрочь отсутствует дырка, куда этот ключик втыкать можно (после затирания зоны с мастер ключами)

Это конечно при условии что вас не пасут достаточно долго ибо тогда копии всех заголовков будут уже давно приготовлены не только вами


Цитата:

Кстати о нем и о сабже, но уже не о всей системе а просто о контейнерах:

Использование контейнеров особенно на незащищенной системе это _абсолютно_ несерьезно.


Цитата:

Есть скрипт(сорец приведен ниже) который монтирует контейнер при подключении флешки. Довольно удобно, если отлучаешься от компа не на долго.

Удобство за счет безопасности? Ведь теперь не длина пароля, а факт непопадания флэшки в плохие руки + уровень защиты скрипта-программы задают ваш уровень безопасности (оставим человеческий фактор пока в стороне)

Если смысл спрятать оперативную систему и софт, то конечно можно работать и так как у вас, но если идет разговор о том чтобы спрятать данные то лучше отдельного файл-сервера в защищенном помещении пока ничего не придумали.

Цитата:

Ведь есть же человек который будет отключать свет?

Нет, это при условии, что ломается или выбивается дверь. В общем, если открывается не картой - то обрубается свет.

Цитата:

Использование контейнеров особенно на незащищенной системе это _абсолютно_ несерьезно.

Хмм, аргументируйте пожалуйста. Даже, если возьмут мой контейнер - что они с ним сделают? Будут брутить?)

Цитата:

Удобство за счет безопасности? Ведь теперь не длина пароля, а факт непопадания флэшки в плохие руки

Я написал, что скрипт не безопасный, но идея хороша, для индивидуального использования, если к примеру шифрована система и есть контейнер с данными, синхронизирующийся с дропбоксом. Надо отлучится от компа - вынимаете флешку и отходите. Если флешка попадает в руки врага - соответственно в офисе, при очередном штурме - гасится свет, вырубаются ноуты. Если попадает на улице или дома - не вопрос, а дальше? Что из этого на ней кейфайл и от какого контейнера? Т.е. в этом плане идея хороша, не айс тот факт, что отреверсить можно демон и что реестр промониторить можно.

Цитата:

По аналоги у нападающего есть ключик (пароль) к замку сейфа(ваш винт) , но в сейфе теперь напрочь отсутствует дырка, куда этот ключик втыкать можно (после затирания зоны с мастер ключами)

IMHO теперь у сейфа не то что дырки - замка совсем нету!

snkreg

Цитата:

Даже, если возьмут мой контейнер - что они с ним сделают? Будут брутить?)

Вы удивитесь узнав сколько можно, в открытой системе, найти информации о том, что у вас в контейнере.

Цитата:

По аналоги у нападающего есть ключик (пароль) к замку сейфа(ваш винт) , но в сейфе теперь напрочь отсутствует дырка, куда этот ключик втыкать можно (после затирания зоны с мастер ключами)

Вот ведь незадача! Зато дырка есть у владельца контейнера... А если в ней внезапно появляется паяльник..., то все пароли и кейфайлы появятся очень быстро.

Цитата:

Вы удивитесь узнав сколько можно, в открытой системе, найти информации о том, что у вас в контейнере.

Поэтому использование логвайперов и шифрование резервных копий хранимой внутри контейнера информации никто не отменял.

Regsnap

Цитата:

Вот ведь незадача! Зато дырка есть у владельца контейнера... А если в ней внезапно появляется паяльник..., то все пароли и кейфайлы появятся очень быстро.

Цитата:

Предполагается, что используя криптографию вы защищены от "атаки грубой силой" правовым или неправовым способом. Если это не так, то от обвинений в пиратстве вас не спасёт даже отсутствие компа. Паяльник заставляет вспомнить даже то, чего вы никогда не знали.

Цитата:

Поэтому использование логвайперов

Святая простота.

Цитата:

шифрование резервных копий хранимой внутри контейнера

WildGoblin

Цитата:

Вы удивитесь узнав сколько можно, в открытой системе, найти информации о том, что у вас в контейнере.

Удивлюсь, да. Расскажите подробнее пожалуйста.

[more]
Цитата:

Я так понимаю, что нужно сначала изменить настройки в биосе таким образом, чтобы комп грузился сначала с флэшке (вариант - с диска, если диск восстановления находится на диске). Потом отформатировать место в начале жесткого диска, где установлен загрузчик программы с помощью Acronis. А затем уже можно грузиться с переносного носителя. Так или что-то упустил?

В общем, попробовал. Основная загвоздка в форматировании того места, где установлен загрузчик. Acronis не форматирует незанятое пространство, в программе нет такой функции. Я обратился в соответствующую тему на форуме, мне посоветовали сделать fixmbr с помощью bootice, а потом затереть место hex-редактором. fixmbr вроде сделал (но не уверен), а что затирать с помощью hex-редактора - не знаю. Что-то затер - система не грузится даже с диском восстановления.


Цитата:

Можно так, что то я уже подзабыл можно ли сразу на системный диск не размещать загрузчик.
В биос естественно выбираешь устройство с загрузчиком для старта (двд, флешка, другой диск)

Нет, в TC загрузчик автоматически помещается на жесткий диск, выбора, куда разместить загрузчик, у пользователя нет. А затем возникают проблемы, как его затереть на харде и перенести на стороннее устройство. Считаю, это недостаток программы, так же, как и невозможность использовать ключевые файлы при шифровании всей системы. [/more]

townhost33
Не понял, к чему это..
Какие выводы то сделать по Вашему посту?

townhost33

Цитата:

Подробнее...

IMHO лучше использовать для полнодискового шифрования DiskCryptor - там нет таких проблем с загрузчиком.

WildGoblin


Цитата:

IMHO лучше использовать для полнодискового шифрования DiskCryptor - там нет таких проблем с загрузчиком.

Да я никак не могу разобраться с DC. Система после шифрования не загружается, при попытке создания бутлоадера программа виснет наглухо и пр. Устал уже виртуалки удалять.

TC более дружелюбная для пользователя, хотя 2 недостатка, о которых я и написал.

snkreg
К вашему вопросу это отношение не имеет. Я продолжаю обсуждение предыдущей темы о том, как разместить загрузчик программы на сторонний носитель и грузиться с него.

townhost33

Цитата:

Система после шифрования не загружается, при попытке создания бутлоадера программа виснет наглухо и пр.

У меня в VMware нормально всё работает.

Цитата:

Устал уже виртуалки удалять.

Так снапшот делайте!

Цитата:

TC более дружелюбная для пользователя

Это вы просто с DiskCryptor пока не разобрались.

Необходимо создать криптоконтейнеры TrueCrypt большого объема (несколько десятков Гб). Естественно, они будут находиться в виде файлов. Помогите, пожалуйста, подобрать расширение для таких файлов. Файлы с каким расширением могут быть 50-100 Гб?

блюрей фильмы например - m2ts
образы акрониса - tib

Цитата:

образы акрониса - tib

Ну, это вряд ли подойдет, потому что тоже вызовет интерес.


Цитата:

блюрей фильмы например - m2ts

Именно m2ts, а не просто mts?

mts тоже были, но это уже конвертированное вроде. в основном попадались m2ts

townhost33

Цитата:

Ну, это вряд ли подойдет, потому что тоже вызовет интерес.

Наоборот, если рядом реальный образ будет. Лежит себе, а что не монтируется, так это был такой образ, стирать жалко, вот и письмо в Акронис, с просьбой помочь восстановить...

Офигеть сколько тут тайных агентов. Интересно Анечка Чапман в этом топике не бывает?



А чем собственно стандартные средства защиты не устраивают?

Цитата:

townhost33

Обьясни пожалуйста, а зачем тебе чтобы контейнер имел правдоподобный вид? Соответственно у тебя должно быть с десяток блюрей-файлов, чтобы в голову не пришло их кликать к примеру. А это лишнее место тд. Я к тому, что ведь если нормально криптануть контейнер - его брутить бесполезно же. Тем более если с ключевым файлом. А вот ключевой файл - да, у меня всегда офисный документ, с табличкой или просто КП вордовское, подобный файлов сотни искать его долго. Ну и так не найдут, ибо надо открыть - изменить текст немного и сохранить) Паранойя она такая)
zveroyacher
А стандартные - это какие?

Цитата:

Интересно Анечка Чапман в этом топике не бывает?

Думаешь она в этом шарит? Ее учили спецы несколько иному....

snkreg
Да, это вариант.

townhost33

Цитата:

Файлы с каким расширением могут быть 50-100 Гб?

.trcrpt - самое лучшее расширение для таких контейнеров "замаскированных" под обычные файлы. (Можно ещё, для смеха, "спрятать" контейнер в альтернативный поток.)

Цитата:

.trcrpt

Не могу найти, что это за формат такой?

townhost33
ты не понял шутку