根据这个问题，现代虚拟机可以访问RDRAND提供高质量随机数据的“CPU 指令”。

这表明是的，您可以在虚拟机中安全地使用 VeraCrypt。但是，重要的警告是您必须信任主机。如果攻击者可以完全控制主机，他们就可以完全控制虚拟机。

您可以确定虚拟机中 Veracrypt（或任何其他加密软件）的安全级别，方法是使用逻辑推导，并考虑（实际地）访问和/或写入数据时虚拟机管理程序修改了哪些虚拟机管理程序数据文件当 Hypervisor 来宾中的存储设备被修改时，往返。

考虑一下，与流行的看法相反，并不是每个发生的用户/系统操作都被管理程序记录下来。如果是这种情况，管理程序使用的配置和日志文件将至少与来宾操作系统和数据文件的大小相同。当然不是这样，因为这会浪费宝贵的磁盘空间。

因此，Hypervisors 只跟踪和记录适应硬件和软件状态变化所需的数据。管理程序不关心数据本身的状态，只关心与硬件状态相关的存储介质。

因此，例如，如果您创建一个 Vercrypt 标准卷（作为文件）并在该容器中保存数据，利用良好的可靠密码和加密实践，该数据将免受基于 Hypervisor 日志和配置文件中的任何数据的攻击文件。

（注意：SSD 数据只有在整个磁盘被加密时才被认为是安全加密的，这是由于 SSD 将数据写入内存位置的方式。简单地说，SSD 的固件根据最佳性能和驱动器寿命将数据写入内存位置，因此弱点是它可能会在加密容器内存空间之外写入数据。当您打开加密容器并向其中写入数据时，数据未加密。它在关闭时在容器内加密。因此 SSD 可能会写入数据（清楚地）到未加密的内存空间，并且该数据将是成熟的利用。不是一个很好的解释，但它是要点。所以对于高度敏感的数据，我总是使用 HDD（用于容器）或完全加密的 SSD 驱动器。完全加密我的意思是没有分区，选择设备本身并加密设备，尽管 Veracrypt 会向您发出有关数据丢失的警告）

话虽如此，在虚拟环境中，客户操作系统本身将是被利用的弱点。例如，Windows 10 收集了如此多的基于用户活动的数据，以至于相信任何加密容器都不会被利用的哪怕一秒钟都是鲁莽的。可悲的是，微软决定加入政府并积极收集大量用户活动数据（同时不允许任何真正的退出选项）使得 Windows 10 成为有史以来最不安全、最荒谬的代码。只是基本的用户活动数据，Microsoft 保留通过 Internet 收集和传输回 MS 服务器的权利，是一个超过 80 页的列表。请参阅：抱歉，该列表已从 Microsoft 网站上删除，这并不奇怪。如果你真的想要这份清单，只要你用谷歌搜索它，它就在那里。我有它，如果你给我发信息，我可以给你发一份副本无论如何，任何认为他们的数据在 Windows 10 上是安全的人都是盲目地相信 MS，这纯粹是愚蠢的。这就是为什么我放弃了 Windows，现在只运行 Linux。

长话短说，当涉及到虚拟客户中数据的安全性时，除了客户操作系统和存储介质之外，还有很多领域需要考虑。

必须考虑所涉及的网络和用户行为。

对于我的一个客户（一家律师事务所），他们需要便携式 VM 来宾，可以用来处理单个客户的数据。

所以我创建了一次性的 Windows 7 来宾。每个来宾都有一个 os .vdi 虚拟磁盘和一个用于数据的第二个 .vdi 磁盘。内部数据 .vdi 是加密卷。我写了一个批处理文件，当他们使用它时，除了数据 .vdi 之外的所有东西都被粉碎了。他们使用 vpn 客户端连接到主办公室，没有拆分隧道，并且访客 NIC 处于桥接模式。

这是您可以做的最好的事情，以保护 vm 来宾数据，而无需进行所有间谍与间谍活动。说到底，目标是保护数据免受普通黑客的攻击。如果 NSA 或政府实体想要这些数据，他们会以一种或另一种方式获得。

我敢肯定可以破解 Veracrypt，但如果你使用一个好的随机非常长的密码和可靠的加密方案，大多数黑客将无法访问数据，除非在你创建它时有一个键盘记录器在监视你，或者什么时候你打开它。

用户行为归结为确保使用强密码，输入密码时要小心（窥探等），并且在不使用时不要打开加密卷。

至于虚拟磁盘本身的底层技术，它们是数据，它们使用加密将数据存储在加密的数据空间中（关闭时），所以我看不到那里有利用条件。公平的头脑可能会争论，我总是建议在涉及安全性时考虑所有可用的意见，只要它们是合理且合乎逻辑的。

在数据安全方面，我们常常只见树木不见森林。一个完美的例子是关于隐藏卷的“似是而非的否认”的持续争论。几年前，我在 Veracrypt 论坛上向双方列出了讨论细节，得出的结论是，他们都没有真正理解法律概念本身，以及它如何在法庭上应用。所以说到底就这么简单，即使律师提供强有力的证据证明存在隐藏容器，这也不一定会破坏加密数据的合理可否认性，因为人们并不否认加密容器的存在，而是而不是你有一个密码可以真正打开容器。这么多错误会导致密码打不开容器，任何人都可以证明您知道隐藏容器的密码的想法完全是马......博洛尼亚。很简单，“我的客户为测试目的创建了一个隐藏容器，但随后他将大量数据写入主容器并损坏了隐藏容器，从那以后他们就无法打开它。最后一个密码工作的是 p@ssword123kissmybuttandcallitalovesong。