Как защищать конфиденциальную информацию и как работать с ней

Пользуюсь верой уже много лет (сейчас 7.1а, но было много других), до этого трукриптом. Давно обратил внимание, что у веры есть одна странная проблема, не зависящая ни от мощности компа, ни от объема и скорости дисков - через некоторое время активного использования криптотома (чтение, запись разных файлов) скорость доступа к нему снижается, даже мелкий докфайл открывается в разы дольше, чем в первый раз. Почему так, вообще непонятно - машины разные, с разной производительностью и разной текущей нагрузкой. Но сразу отмечу и предупрежу очевидное предположение - антивирусов нет, ни виндового, ни сторонних. Может, что в курсе, что это. На ум приходит только то, что вера использует какой-то метод кэширования который не очень хорошо работает.

например, открыть на диске "С" папку Program Files, выбрать там папку часто используемой программы и переместить этот контейнер туда. В этом случае никто в жизни никогда не догадается, где лежит ваш защищенный контейнер.

Смешно и наивно. Если контейнер большой (>1 Гб), даже я его за 5 минут вычислю в Program Files при помощи windirstat или тотал коммандером. А если он более 10Гб, как в статье, то вообще пофиг где вы его спрячете и как назовете - он будет торчать, как баобаб среди чистого поля. Даже, если вы его попытаетесь спрятать среди больших файлов видео например, все равно найду. Ну т.е. контейнер от спеца на компе спрятать очень трудно. А дальше вообще все просто - в 99,99999% случаев достаточно помахать терморектальным криптоанализатором перед носом. Даже в розетку включать не надо.

Если контейнер маленький (до 100 мб), тогда его заныкать значительно проще.

Такая прога должна быть обязательно портабельной и находиться на флешке. Ибо при обнаружении ее на компе, сразу понятно, что клиент что-то скрывает и можно расчехлять и прогревать тероморектальный криптоанализатор.

А чем он лучше (или хуже) чем LUKS ?

У меня была проблема с Vera Crypt: по неизвестным причинам содержимое смонтированного диска стало кашей. Куча папок с названиями странными символами (такие символы иногда печатают принтеры при сбоях). Все попытки привезти в чувство файловую систему диска к успеху не привели.

Поэтому да, бэкапы контейнеров обязательны.

Давно пользуюсь TrueCrypt 7.1a
Всё устраивает.
Какие VeraCrypt преимущества по сравнению с TrueCrypt?

> после архивирования саму папку удаляете
Только с моющим средством. Т.е. с переписыванием удалённых секторов. Самым параноидальным написать такую прогу можно самим, но и здесь ОС может держать копию файла.

Такие способы хороши когда нужно спрятать фото любовницы от жены, или наоборот. При столкновении с кем-то более подготовленным, то они прекрасно знают что есть такие фокусы как скрытый том и всё подобное. Они-то тоже могут прочитать в интернете эту статью, как минимум. Ну а сделать так, чтоб клиент выдал нужную информацию там умеют.

Статья хорошая, но надо чётко понимать, что она для домохозяек и для защиты от домохозяек.
Из того что бросилось в глаза, как айтишнику, но не (!) специалисту по безопасности и доступу к информации.
1. Размер контейнера - выдаёт себя сам, т.е. от случайного взгляда защитит, но при обследовании диска методично - он будет торчать как слон среди пигмеев.
2. Само наличие VeraCrypt может служить подсказкой, что на диске есть контейнеры.
3. Бэкап, бэкап и ещё раз бэкап, причём не только контейнера, но и БД менеджера паролей. И на съемные носители, ибо один шифровальщик и адьё.
4. Авторазмонтирование - не защищает от экспозии временных файлов, например, редактор может хранить временную копию в профильной папке Temp, браузер может хранить кэш и сохранённые пароли в папке профиля, а не в контейнере и тд. Т.е. шифрование диска - в дополнение к контейнеру отнюдь не лишняя идея.

Я немного добавлю с профессиональной точки зрения. Алгоритм шифрования (AES) трогать не нужно, это контрпродуктивно (я когда-то писал статью, в которой рассказывал, почему так). А вот алгоритм хэширования - можно и даже рекомендуется: для SHA-512 довольно быстро работает перебор; более современные алгоритмы хэширования паролей значительно медленнее, а, следовательно, гораздо медленнее будут работать и атаки, и, следовательно, с той же степенью безопасности можно использовать более короткий (в разумных пределах!) пароль. Кроме того, есть такая вещь, как значение PIM (оно показано на одном из скриншотов). Это значение влияет на число итераций вычисления ключа шифрования из введённого пароля (но не равно ему, там формула). Чем больше PIM - тем больше итераций - тем больше усилий нужно потратить злоумышленнику, чтобы проверить каждый следующий пароль, тем медленнее идёт атака. А нам как пользователю - всё равно, будет том с правильным паролем открываться четверть секунды или целую секунду, а то и две. Дополнительный бонус PIM - далеко не все программы для перебора паролей его поддерживают, т.е. вообще высока вероятность, что с нестандартным PIM ваш пароль, даже если он "123", никто никогда не найдёт, т.к. не угадали правильный PIM. Ещё по-другому скажу: с нестандартным значением PIM атака превращается из линейной (перебор только паролей) в двумерную (для каждого пароля надо попробовать все разумные значения PIM, причём если ваш PIM не попал в заданный промежуток, то атака не сможет обнаружить пароль).

Кроме того, в VC есть функция обфускации ключа шифрования в памяти, что сильно затрудняет атаки, когда компьютер захватили включённым (но заблокированным) или выключенным, но в состоянии гибридного сна или гибернации.

Это весьма наивный способ спрятать контейнер и сработает разве что против "домохозяек". Обычно так дети прячут порнуху от родителей. Вычисляется очень просто - тупо смотрим размер папок в файловом менеджере и если видим что условная папка winrar весит 30гиг, то понимаем что туда стоит заглянуть. Если уж так сильно хочеться скрыть существование контейнера, то лучше создавать его на неразмеченном диске вообще, предварительно забив диск мусорными данными. Тогда уже потребуется чуть больше компетенция чтобы найти такой контейнер. Второй вариант попроще - создание контейнера с "двойным дном", насколько помню VeraCrypt это умеет. Для сторонних это будет выглядеть как один контейнер, в котором для прикрытия можно разместить немного своих нюдсов(ценной инфы), но основная информация будет хранится в отдельной скрытой части этого контейнера.

Также можно поставить компонент Hyper-V, сделать виртуалку на зашифрованном томе.
Работает очень даже хорошо.

Это ж вроде статья не реклама, а ликбез...

Тогда, просто для сравнения: список 80+ приложений, которые делают где-то тоже самое, со сравнением характеристик (много с открытым кодом).

Есть еще Personal Vault который включен в OneDrive от Windows.

А если вы собираетесь переустанавливать систему, то проще при установке зашифровать весь диск целиком системными средствами

Особенно если это ноутбук

В подобные программы надо бы еще kill слово добавлять. При вводе которого будет убиваться все зашифрованное содержимое - как средство от крипторектального взлома.
Вводишь "ромашка" - том монтируется.
Вводишь "одуванчик" - содержимое убивается без возможности восстановления.

А вот TrueCrypt когда закрылся, то "прощальным письмом" было двусмысленное сообщение "не надейтесь отсутствие бекдоров". Насколько можно доверять VeraCrypt?

Вот насчет бесплатности WinRAR это как-то крутовато....