在这种情况下,如何轻易破解 truecrypt 和 EFS

信息安全 加密 身体的 真加密
2021-08-31 20:06:52
  • 我怀疑过去几个月从我的笔记本电脑中减去了一些信息。因此,我正在寻找加密数据的方法。我想尝试对敏感文件夹使用 truecrypt,对分区中的文件使用 EFS。我不是专家,所以我怀疑这个问题有多容易破解。

  • 上下文是一个办公室工作环境,一些同事愿意(并等待)从我的笔记本电脑上复制有价值的个人信息。我们通常在只有一张桌子的同一个“会议室”中工作,因此很容易接触到笔记本电脑。由于安全检查,窃取笔记本电脑的机会很低。当我在那个房间时,通常会安装带有受保护数据文件夹的真正加密卷。

  • 结合本地和远程方法的计划攻击很可能发生。也就是说,安装一个可以物理访问笔记本电脑的木马/键盘记录程序,以便以后使用它来窃取信息。

-弱点:即使我每次离开共享房间时都尝试锁定窗户屏幕,但有几次我忘记了它(例如,如果我需要在外面匆忙做某事并且稍后生病回来)。此外,即使我将屏幕保护程序设置为在 5 分钟不活动后锁定 Windows 帐户,攻击者仍可以在我离开房间后移动鼠标垫使其保持活动状态。我安装了防病毒软件,但我们知道有时这还不够。

  • 攻击者在精神上与笔记本电脑单独进行攻击的时间可能约为 3 -5 分钟。

  • 可能的攻击如下所示:

    1. 我离开房间,帐户没有被封锁,攻击者看到了机会并安装了木马/键盘记录器。
    2. Windows 帐户密码被捕获。
    3. hibersys 文件稍后会上传到攻击者服务器以及目标文件夹。
    4. 这些文件是用一些工具解密的。(如 elcomsoft ) http://blog.crackpassword.com/2012/12/elcomsoft-decrypts-bitlocker-pgp-and-truecrypt-containers/ 会那么容易吗?我在这里错过了什么吗?生病应该担心吗?

你会建议什么来避免这种情况?

提前致谢。

PDTA:在第一次事件之后,我格式化了我的硬盘驱动器,自从假期以来我一直没有在办公室。我下周要回去。

3个回答

攻击者的物理存在是最难防御的。一些产品将“物理存在”视为所有权的标志,并允许机器前的人拥有全部权利。例如,允许重置 BIOS 密码的主板,以免锁定忘记密码的用户。

EFS + TrueCrypt 解决方案很好,但它取决于您密码的安全性您的数据已被安全加密,但您的密码并未受到保护以防被截取。键盘记录是一种拦截密码的简单方法,但大多数已知的键盘记录器都会被防病毒软件检测到。攻击者可以在您的计算机上运行一个看起来像 TrueCrypt 的程序,并将您的密码发送给攻击者。

如果您将计算机解锁在恶劣的环境中,您将无法对隐私和安全抱有任何期望没有办法 100% 确定您可以在事后检测并破坏入侵。锁定您的计算机非常容易,您应该养成这样做的习惯。按下Windows key + L将锁定 WindowsCTRL + ALT + L并将锁定大多数 Linux 桌面环境。

Windows Vista 及更高版本中的 EFS 将加密pagafile.sys但不能hyberfil.sys用于提取 TrueCrypt 密钥。

RAM 中的 TrueCrypt 未加密数据

Microsoft 没有提供任何适当的 API 来处理休眠和关机,当计算机休眠、关机或重新启动时,用于系统加密的主密钥不能可靠地(也不会)从 RAM 中擦除。

使用 TrueCrypt 全盘加密来加密您的所有硬盘。

TrueCrypt 全盘加密的一个弱点是攻击者可以多次物理访问。该攻击的名称为Evil Maid,并通过使用TPM得到缓解。基本上,攻击者会修改 TrueCrypt 密码检查代码,以明文形式存储键入的密码以供以后检索。其他全盘加密产品也是如此。如果您的笔记本电脑提供 TPM 功能,请使用它们。如果您想要比 Truecrypt 提供的更多安全性,请将您的笔记本电脑带回家或用钥匙将其锁定。

更新:

一种自动锁定计算机的巧妙解决方案是使用此程序: http ://stevetarzia.com/sonar/ 。如果您不再在计算机前,它会使用回声“查看”。

使用网络摄像头也有类似的解决方案。https://www.keylemon.com/product/

我同意@CristianDobre 所写的所有内容,您手头的安全状况极其困难,Truecrypt 无法解决。如果您的同事可以不受限制地访问您的机器并且存在恶意,那么您将无法保护您的机器,或者您的机器上的任何信息都可能被读取,因为您的密码可能会被读取。即使他们不是您的攻击者,也可以在您启动并运行 truecrypt 并安装驱动器并以这种方式访问​​它的情况下入侵您的计算机并登录它。或者他们可以编写一个简单的 powershell 脚本,该脚本将按计划运行以查找对驱动器号的访问权,并在获得访问权后立即将其全部复制。

我的建议是在 USB 记忆棒或硬盘驱动器上设置一个强化的 Linux 虚拟机,并在你在房间里时运行它。您需要暂停它并移除媒体,每次离开房间时随身携带. 完成所有工作,将所有数据存储在 truecrypt 加密卷中,truecrypt 在虚拟操作系统上运行,而不是在您的机器上运行。使用虚拟键盘(即单击按键的图形)来输入密码,以击败安装在物理机器上的任何按键记录器。永远不要让那个 U 盘离开你的身体,哪怕只有一分钟,并且每晚使用不同的计算机更改虚拟机上的密码。执行所有这些措施将是一件非常痛苦的事情,但是如果您的情况如此糟糕并且您确实需要保护这些数据,那么您将需要遵守纪律。

每天在工作计算机上更改密码也很有意义。它可能不会阻止它们,但至少它可能会减慢它们的速度。

我不明白为什么禁用休眠和从系统中删除火线驱动程序不是解决方案。正如上面链接的文章所暗示的那样,绕过火线方法的方法是删除驱动程序。第二。我们不断听到解密程序从休眠文件中删除密钥。美好的。通过注册表项禁用它。这不会使它现在安全吗?