VeraCrypt隐藏操作系统

如果您的系统分区或系统驱动器是使用VeraCrypt加密的，则在打开或重新启动计算机后，您需要在VeraCrypt Boot Loader屏幕中输入您的预引导身份验证密码。可能会发生有人强迫您解密操作系统或泄露预引导身份验证密码的情况。在很多情况下，你不能拒绝这样做(例如，由于敲诈勒索)。VeraCrypt允许您创建一个隐藏的操作系统，它的存在应该是不可能被证明的(只要遵循特定的指导原则-参见下文)。因此，您不必解密或显示隐藏操作系统的密码。

在继续阅读本节之前，请确保您已经阅读了隐藏卷一节，并且了解什么是隐藏的VeraCrypt卷。

隐藏操作系统是安装在隐藏VeraCrypt卷中的系统(例如，Windows 7或Windows XP)。应该不可能证明隐藏的VeraCrypt卷存在(如果遵循某些准则；有关详细信息，请参阅隐藏卷一节)，因此，应该不可能证明隐藏的操作系统存在。

但是，为了引导由VeraCrypt加密的系统，必须将VeraCrypt Boot Loader的未加密副本存储在系统驱动器或VeraCrypt修复盘上。因此，仅存在VeraCrypt Boot Loader就可以表示计算机上存在由VeraCrypt加密的系统。因此，为了提供VeraCrypt Boot Loader存在的合理解释，VeraCrypt向导在创建隐藏操作系统的过程中帮助您创建第二个加密操作系统，即所谓的诱饵操作系统。诱饵操作系统不能包含任何敏感文件。它的存在不是秘密的(它没有安装在隐藏卷中)。诱饵操作系统的密码可以安全地泄露给任何人，迫使您公开您的预引导身份验证密码。*。

您应该像使用计算机一样频繁地使用诱饵操作系统。理想情况下，您应该将其用于所有不涉及敏感数据的活动。否则，隐藏操作系统的似是而非的否认性可能会受到不利影响(如果您将诱骗操作系统的密码泄露给对手，他可能会发现该系统不经常使用，这可能表明您的计算机上存在隐藏操作系统)。请注意，您可以随时将数据保存到诱饵系统分区，而不会有任何隐藏卷被损坏的风险(因为诱饵系统没有安装在外部卷中-请参见下文)。

将有两个预引导身份验证密码-一个用于隐藏系统，另一个用于诱骗系统。如果要启动隐藏系统，只需在VeraCrypt Boot Loader屏幕(打开或重新启动计算机后出现)中输入隐藏系统的密码即可。同样，如果您想启动诱饵系统(例如，当对手要求您这样做时)，您只需在VeraCrypt Boot Loader屏幕中输入诱饵系统的密码即可。

注意：当您输入预引导身份验证密码时，VeraCrypt Boot Loader首先尝试解密(使用输入的密码)系统驱动器第一个逻辑磁道的最后512个字节(通常存储非隐藏加密系统分区/驱动器的加密主密钥数据)。如果失败并且活动分区后面有一个分区，VeraCrypt Boot Loader(即使驱动器上实际上没有隐藏卷)会自动尝试解密(再次使用相同输入的密码)活动分区后面的第一个分区的区域，其中可能存储了可能隐藏卷的加密头(但是，如果活动分区的大小小于256MB，则会从活动分区后面的第二个分区读取数据，因为默认情况下，Windows 7和更高版本不会从活动分区后面的第二个分区启动。请注意，VeraCrypt永远不会事先知道是否有隐藏的卷(隐藏的卷头无法识别，因为它似乎完全由随机数据组成)。如果标头成功解密(有关VeraCrypt如何确定其已成功解密的信息，请参阅加密方案一节)，则会从解密的标头(仍存储在RAM中)检索有关隐藏卷大小的信息，并装入隐藏卷(其大小还决定其偏移量)。有关更多技术详细信息，请参阅“技术详细信息”一章中的“加密方案”一节。

运行时，隐藏操作系统似乎安装在与原始操作系统(诱饵系统)相同的分区上。但是，实际上，它安装在它后面的分区中(在隐藏卷中)。一个

请注意，还将有第三个密码-用于外部卷的密码。它不是预引导身份验证密码，而是常规VeraCrypt卷密码。它可以安全地泄露给任何人，强迫您透露隐藏卷(包含隐藏操作系统)所在的加密分区的密码。因此，隐藏卷(和隐藏操作系统)的存在将保持秘密。如果您不确定您了解这是如何实现的，或者不确定什么是外部卷，请阅读隐藏卷一节。外部卷应该包含一些您实际上不想隐藏的看起来敏感的文件。

总而言之，总共有三个口令。其中两个可以泄露给攻击者(用于诱饵系统和外部卷)。第三个密码(用于隐藏系统)必须保密。

要开始创建隐藏操作系统，请选择System>；Create Hidden Operating System(系统&>创建隐藏操作系统)，然后按照向导中的说明进行操作。

最初，向导验证系统驱动器上是否有适合隐藏操作系统的分区。请注意，在创建隐藏操作系统之前，您需要在系统驱动器上为其创建分区。它必须是系统分区之后的第一个分区，并且必须至少比系统分区大5%(系统分区是安装当前运行的操作系统的分区)。然而，如果外部卷(不要与系统分区混淆)被格式化为NTFS，则隐藏操作系统的分区必须至少比系统分区大110%(2.1倍)(原因是NTFS文件系统始终将内部数据存储在卷的中间，因此，要包含系统分区的克隆的隐藏卷只能驻留在分区的后半部分)。

在接下来的步骤中，向导将在系统分区后面的第一个分区内创建两个VeraCrypt卷(外部卷和隐藏卷)。隐藏卷将包含隐藏的操作系统。隐藏卷的大小始终与系统分区的大小相同。原因是隐藏卷需要包含系统分区内容的克隆(见下文)。请注意，克隆将使用与原始密钥不同的加密密钥进行加密。在开始将一些看起来敏感的文件复制到外部卷之前，向导会告诉您文件应该占用的最大建议空间大小，以便外部卷上有足够的可用空间来容纳隐藏卷。

备注：在将一些外观敏感的文件复制到外部卷后，将扫描该卷的簇位图，以确定其末端与外部卷末端对齐的不间断可用空间区域的大小。此区域将容纳隐藏的体积，因此它限制了其可能的最大大小。将确定隐藏卷的最大可能大小，并将验证它是否大于系统分区的大小(这是必需的，因为需要将系统分区的全部内容复制到隐藏卷-请参见下文)。这确保外部卷上存储的数据不会被写入隐藏卷区域的数据覆盖(例如，当系统被复制到隐藏卷区域时)。隐藏卷的大小始终与系统分区的大小相同。

然后，VeraCrypt将通过将系统分区的内容复制到隐藏卷来创建隐藏的操作系统。被复制的数据将使用与用于诱饵操作系统的密钥不同的加密密钥进行动态加密。复制系统的过程在预引导环境中执行(在Windows启动之前)，可能需要很长时间才能完成；可能需要几个小时甚至几天(取决于系统分区的大小和计算机的性能)。您将能够中断该进程、关闭计算机、启动操作系统，然后恢复该进程。但是，如果您中断它，复制系统的整个过程将必须从头开始(因为系统分区的内容在克隆过程中不能更改)。隐藏的操作系统最初将是启动向导时使用的操作系统的克隆。

Windows在系统分区上创建(通常在您不知情或未经您同意的情况下)各种日志文件、临时文件等。它还将RAM的内容保存到系统分区上的休眠和分页文件。因此，如果对手分析了存储在原始系统(隐藏系统是其克隆)所在分区上的文件，他可能会发现，例如，您在隐藏系统创建模式下使用了VeraCrypt向导(这可能表示

注意：VeraCrypt将通过完全使用随机数据填充原始系统所在分区的内容来擦除该分区的内容。如果您向对手透露了诱饵系统的密码，而他问您为什么(诱饵)系统分区的空闲空间包含随机数据，您可以回答，例如：该分区以前包含由VeraCrypt加密的系统，但我忘记了预引导身份验证密码(或系统损坏并停止引导)，因此我必须重新安装Windows并重新加密该分区。"；

出于安全原因，当隐藏的操作系统正在运行时，veraCrypt会确保所有本地未加密的文件系统和非隐藏的veraCrypt卷都是只读的(即不能将任何文件写入此类文件系统或veraCrypt卷)。†数据可以写入隐藏的veraCrypt卷内的任何文件系统(前提是隐藏卷不在未加密文件系统或任何其他只读文件系统上存储的容器中)。

它支持创建用于装载隐藏的VeraCrypt卷的安全平台。请注意，我们正式建议仅在运行隐藏操作系统时才装入隐藏卷。有关详细信息，请参阅子部分关于隐藏卷的安全要求和预防措施。

在某些情况下，可以确定在特定时间，特定文件系统没有安装在操作系统的特定实例下(或者文件系统上的特定文件没有从操作系统的特定实例下保存或访问)(例如，通过分析和比较文件系统日志、文件时间戳、应用日志、错误日志等)。这可能表示计算机上安装了隐藏的操作系统。这些对策防止了这些问题的发生。

它可以防止数据损坏，并允许安全休眠。当Windows从休眠状态恢复时，它假定所有装载的文件系统都处于与系统进入休眠状态相同的状态。VeraCrypt通过对可从诱饵和隐藏系统内访问的任何文件系统进行写保护来确保这一点。如果没有这种保护，当一个系统挂载而另一个系统处于休眠状态时，文件系统可能会损坏。

如果需要将文件从诱饵系统安全地传输到隐藏系统，请执行以下步骤：

如果您将文件保存到VeraCrypt卷，请挂载它(它将自动以只读方式挂载)。

对手可能会问，为什么您在单个驱动器(系统分区和非系统分区)上创建了两个VeraCrypt加密分区，而不是使用单个加密密钥加密整个磁盘。这么做有很多可能的原因。但是，如果您不知道任何操作(除了创建隐藏操作系统)，则可以提供以下解释之一，例如：

如果系统驱动器上有两个以上的分区，而您只想加密其中两个分区(系统分区及其后面的分区)，而不加密其他分区(例如，为了在读取和写入数据时获得最佳性能，这对这些未加密的分区不敏感)，则唯一的方法是分别加密这两个分区(请注意，使用单个加密密钥，VeraCrypt可以加密整个系统驱动器及其上的所有分区，但它不能只加密两个分区。因此，系统驱动器上将有两个相邻的VeraCrypt分区(第一个是系统分区，第二个是非系统分区)，每个分区都使用不同的密钥加密(创建隐藏操作系统时也是如此，因此可以这样解释)。如果您根本不知道系统驱动器上应该有多个分区的原因：通常建议将非系统文件(文档)与系统文件分开。要做到这一点，最简单、最可靠的方法之一是在系统驱动器上创建两个分区；一个用于操作系统，另一个用于文档(非系统文件)。推荐此做法的原因包括：如果其中一个分区上的文件系统损坏，则该分区上的文件可能会损坏或丢失，而另一个分区上的文件不会受到影响。

在不丢失文档的情况下重新安装系统更容易(重新安装操作系统涉及格式化系统分区，之后存储在系统分区上的所有文件都将丢失)。如果系统损坏，完全重新安装通常是唯一的选择。

级联加密算法(例如AES-Twofish-Serpent)可能比非级联加密算法(例如AES)慢很多倍。然而，级联加密算法可能比非级联加密算法更安全(例如，例如，由于密码分析的进步，三个不同的加密算法将被破解的概率显著低于它们中仅有一个将被破解的概率)。因此，如果您使用级联加密算法加密外部卷，而使用非级联加密算法加密诱骗系统，则可以回答您希望系统分区具有最佳性能(和足够的安全性)，而非系统分区(即外部卷)需要尽可能高的安全性(但性能较差)，非系统分区(即外部卷)存储最敏感的数据，您不需要经常访问这些数据(与您经常使用的操作系统不同，因此您需要它具有尽可能最佳的性能)。在系统分区上，您存储的数据比您在非系统分区(即外部卷)上存储的数据不那么敏感(但您需要经常访问这些数据)。

如果您使用级联加密算法(例如AES-Twofish-Serpent)加密外部卷，使用非级联加密算法(例如AES)加密诱饵系统，您也可以回答您想要防止用户尝试选择级联加密算法进行系统加密时VeraCrypt警告的问题(请参见下面的问题列表)。因此，为了防止这些问题，您决定使用非级联加密算法加密系统分区。但是，您仍然希望对最敏感的数据使用级联加密算法(因为它比非级联加密算法更安全)，因此您决定创建第二个分区，该分区不受这些问题的影响(因为它是非系统的)，并使用级联加密算法对其进行加密。在系统分区上，您存储的数据不如存储在非系统分区(即外部卷)上的数据敏感。注意：当用户尝试使用级联加密算法加密系统分区时，VeraCrypt会警告他或她这可能会导致以下问题(并隐含建议改用非级联加密算法)：对于级联加密算法，VeraCrypt Boot Loader比正常情况下大，因此，第一个驱动器磁道中没有足够的空间来备份VeraCrypt Boot Loader。因此，每当VeraCrypt被损坏时(例如，在某些程序的反盗版激活过程中经常发生这种情况)，用户必须使用VeraCrypt救援盘来修复VeraCrypt Boot Loader或进行引导。

与非系统VeraCrypt卷的密码不同，每次打开或重新启动计算机时都需要键入预引导身份验证密码。因此，如果预引导身份验证密码很长(出于安全目的，这是必需的)，那么频繁键入它可能会非常麻烦。因此，您可以回答说，使用缩写(A)对您来说更方便