Как создать скрытый зашифрованный том в TrueCrypt

Скрытый том TrueCrypt дает правдоподобное отрицание: вы создаёте внешний зашифрованный том с «фейковыми» файлами и внутри него — настоящий скрытый том с важными данными. Покажите внешний пароль, и вторичный том останется недоступен. В статье — пошаговая инструкция, советы по безопасности, чек-листы и сценарии отказа.

Что такое скрытый том и зачем он нужен

Скрытый том — это зашифрованный контейнер внутри другого зашифрованного контейнера. Внешний том выглядит как единственный и содержит «слишком мало» или «подходящий» набор файлов, чтобы не вызывать подозрений. Внутри него находится скрытый том с реальными секретами. Такая конструкция обеспечивает возможность правдоподобного отрицания: если вас принуждают раскрыть пароль, вы отдаёте пароль от внешнего тома и ничто не укажет на существование внутреннего.

Краткое определение: скрытый том — это вложенный зашифрованный контейнер, видимый только при вводе правильного пароля.

Важно: скрытый том защищает только от вынужденного раскрытия пароля. Он не защищает от глубокого криминалистического анализа, ошибок в эксплуатации или утечек через небезопасное ПО.

Понадобится

• Переносной диск или второй внутренний диск — весь носитель будет отформатирован, поэтому заранее сделайте резервные копии.
• Установленный TrueCrypt (или поддерживаемая альтернатива, например VeraCrypt, если вам нужен живой проект).
• Компьютер с правами администратора для работы с разделами и монтирования томов.
• Набор «фейковых» файлов для внешнего тома — домашние видео, фотографии, документы, которые уместно показывать.

Примечание: я использовал macOS в примере, но на Windows и Linux интерфейс схож по шагам. Сохраните установщик TrueCrypt заранее.

Создание раздела (пример macOS)

1. Подключите диск и откройте Дисковую утилиту (Disk Utility).
2. Выберите диск в колонке слева.
3. Перейдите на вкладку Раздел (Partition).
4. Создайте один раздел, задайте имя и примените изменения.

Важно: если вы создаёте раздел на уже используемом диске — данные будут удалены. Убедитесь, что у вас есть резервные копии.

Создание зашифрованного внешнего тома

1. Запустите TrueCrypt и нажмите Create Volume.
2. Выберите Create a volume within a partition/drive.
3. Укажите устройство/раздел, который вы подготовили.
4. На этапе типа тома выберите Hidden TrueCrypt Volume.

5. После выбора устройства программа сначала создаст внешний том, затем внутри него — скрытый.
6. Выберите алгоритмы шифрования по умолчанию, если не уверены. Они подходят для большинства сценариев.

7. Придумайте надёжный пароль для внешнего тома. Этот пароль вы будете показывать при необходимости. Он должен принципиально отличаться от пароля скрытого тома.

8. Перемешивайте указатель мыши по подсказкам TrueCrypt для повышения энтропии, затем нажмите Format.

Шифрование большого носителя может занять значительное время. Это однократная операция.

Заполнение внешнего тома «фейковыми» файлами

1. Монтируйте внешний том через Open Outer Volume.
2. Скопируйте туда набор файлов, которые выглядят правдоподобно: домашние фото, нелицензионные фильмы маленьких размеров, старые документы.
3. Не переписывайте внешний том после создания скрытого тома — любые записи во внешнем томе могут перезаписать область скрытого тома и привести к его повреждению.

Важно: если размер внешних файлов кажется несоответствующим общему объёму носителя (например, 1 ТБ диск, а на нём только 100 МБ файлов), это может выглядеть подозрительно. Оставьте правдоподобное заполнение.

Создание скрытого тома и выбор пароля

После заполнения внешнего тома TrueCrypt предложит автоматически вычислить доступное свободное пространство для скрытого тома. Выберите размер для внутреннего тома и задайте надёжный пароль.

Рекомендации по паролю для скрытого тома:

• Длина 16+ символов.
• Смешение заглавных и строчных букв, цифр и знаков пунктуации.
• Лучше использовать фразу-пароль или менеджер паролей для случайности.

Отметьте опцию хранения больших файлов, если планируете хранить фильмы или образы дисков — это предотвратит ограничения размером файла.

Монтирование и использование скрытого тома

1. С помощью TrueCrypt нажмите Mount All Devices.
2. Введите пароль скрытого тома — достаточно только одного пароля.
3. Если том смонтирован, работайте с ним как с обычным диском.
4. После работы не забудьте отмонтировать том через кнопку Dismount или Per-Volume Dismount.

Замечание: после перезагрузки системы все тома автоматически отмонтируются. Не оставляйте смонтированные тома на постоянное время.

Практические советы по безопасности

• Никогда не используйте одинаковые пароли для внешнего и скрытого томов.
• Не записывайте дополнительные файлы во внешний том после создания скрытого.
• Не используйте заметные метки и имена файлов, которые могут выдать наличие скрытого тома.
• Подумайте об использовании живой операционной системы (Live USB) для доступа к скрытому тому в высокорискованных условиях.
• Делайте регулярные зашифрованные резервные копии содержимого скрытого тома.

Важно: скрытый том не защитит ваши данные, если злоумышленник имеет физический доступ к системе и может наблюдать ввод пароля или установить кейлоггер.

Когда скрытый том не поможет (контрпримеры)

• Если противник применяет форензик и находит следы специфического поведения вашей системы, указывающие на двойные пароли.
• Если вы были вынуждены ввести оба пароля под наблюдением.
• Если ваш компьютер скомпрометирован злоумышленником и передаёт содержимое в сеть.

Альтернатива в таких случаях — минимизировать метаданные, использовать air-gapped машины и дополнительные меры анонимности.

Альтернативные подходы

• VeraCrypt: поддерживаемая вилка TrueCrypt, активно обновляется и рекомендуется многими специалистами.
• Аппаратные шифровальные устройства (самозашифровывающиеся диски, HSM) для критичных сред.
• Полное шифрование системы + безопасная политика ключей и резервных копий.

Риск‑матрица и mitigations

• Риск: перезапись скрытого тома. Смягчение: не записывать данные во внешний том после создания скрытого тома.
• Риск: наблюдение ввода пароля. Смягчение: использовать физическую защиту, скрытую клавиатуру, ввод в безопасной среде.
• Риск: компрометация машины (кейлоггер). Смягчение: доступ через чистую загрузку или Live OS.

Пошаговый SOP (короткий)

1. Сделайте резервные копии всех данных с носителя.
2. Создайте раздел на носителе и отформатируйте.
3. В TrueCrypt выберите создание тома внутри раздела и опцию Hidden TrueCrypt Volume.
4. Создайте внешний том, заполните фейковыми файлами.
5. Создайте скрытый том, задайте надёжный пароль.
6. Смонтируйте скрытый том только при необходимости и отмонтируйте после использования.

Чек-листы по ролям

Пользователь:

• Создал резервные копии
• Выбрал правдоподобные фейковые файлы
• Не переписывает внешний том
• Регулярно делает зашифрованный бэкап скрытого тома

Юрист / консультант по безопасности:

• Помог выбрать политику паролей
• Оценил риски утечки данных
• Рекомендовал процедуры разъединения и восстановления

Журналист / активист:

• Использует живую ОС для доступа
• Минимизирует следы в основной системе
• Хранит ключи в разных местах

Критерии приёмки

• Внешний том монтируется и содержит правдоподобный набор файлов
• Скрытый том монтируется только при вводе второго пароля
• После монтирования скрытого тома файлы читаются и записываются корректно
• Перезагрузка системы приводит к автоматическому отмонтированию

Короткий глоссарий

• Том: зашифрованный контейнер или раздел, который монтируется как диск.
• Внешний том: первый созданный том, который вы показываете при принуждении.
• Скрытый том: том, созданный внутри внешнего, содержащий реальные секреты.
• Монтирование: процесс открытия тома и назначения буквы/пути.

Советы по совместимости и миграции

Если вы решаете перейти от TrueCrypt к VeraCrypt:

• Проверьте совместимость формата томов и инструкции по миграции на официальном сайте VeraCrypt.
• Сделайте полную резервную копию перед конвертацией.

Короткое резюме и рекомендации

Создание скрытого тома — эффективный инструмент правдоподобного отрицания при защите конфиденциальных данных. Он требует аккуратной эксплуатации: разные пароли, отсутствие записи во внешний том и регулярные зашифрованные бэкапы. Рассмотрите поддерживаемые альтернативы, если важна длительная поддержка проекта.

Загрузите TrueCrypt или рассмотрите VeraCrypt и протестируйте процедуру на ненужном носителе прежде чем переносить реальные данные.

Image credit: ShutterStock

Примечание

Стоит учитывать правовой контекст вашей юрисдикции. В некоторых странах существуют обязанности по раскрытию ключей шифрования. По вопросам юридической ответственности обратитесь к своему адвокату.