TrueCrypt est un outil de chiffrement de volumes qui souffre de deux défauts majeurs : il n'a pas d'activité récente, et pour des raisons de licence n'est pas inclus dans Debian. Son alternative libre est tcplay, disponible dans les dépôts.
Package: tcplay
Maintainer: Laszlo Boszormenyi (GCS) <gcs@debian.org>
Description-en: Free and simple TrueCrypt Implementation based on dm-crypt tcplay is a free (BSD-licensed), pretty much fully featured (including multiple keyfiles, cipher cascades, etc) and stable TrueCrypt implementation.
This implementation supports mapping (opening) both system and normal TrueCrypt volumes, as well as opening hidden volumes and opening an outer volume while protecting a hidden volume. There is also support to create volumes, including hidden volumes, etc.
Since tcplay uses dm-crypt it makes full use of any available hardware encryption/decryption support once the volume has been mapped.
Homepage: https://github.com/bwalex/tc-play
L'approche utilisée ici est d'utiliser un disque dur entier dédié au stockage sécurisé. Nous mettrons en place un volume normal qui contiendra des données de leurre, ainsi qu'un volume caché dédié au travail réel.
Notes techniques :
- le disque dur utilisé dans cet exemple est accessible via
/dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853[1]. Il contiendra uniquement un volume normal; pas même une table des partitions ; - les volumes sont successivement montés dans le répertoire courant
./tc; - on utilise
/dev/mapper/truecryptpour le mappage des volumes ; - on utilise des méthodes de chiffrement différentes pour le volume normal et le volume chiffré. Si une méthode est cassée, ça serait dommage que tous les volumes soient affectés.
Mise en place des volumes de leurre et caché
Opérations réalisées ici :
- créer les volumes ;
- remplir le volume de leurre, ainsi que le volume caché ;
- fermer les volumes et nettoyer le système.
Sur le disque entier, créer un volume normal avec un volume caché dedans
sudo tcplay --create --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853 \ --cipher TWOFISH-256-XTS,AES-256-XTS \ --pbkdf-prf=whirlpoe-erase \ --hidden --cipher-hidden AES-256-XTS,SERPENT-256-XTS \ --pbkdf-prf-hidden RIPEMD160
Ouvrir le volume normal, en protégeant le volume caché. Le volume normal est mappé sur /dev/mapper/truecrypt
sudo tcplay --map=truecrypt \ --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853 \ --protect-hidden
Formater le volume normal
sudo mkfs.xfs /dev/mapper/truecrypt
Monter le volume normal
sudo mount /dev/mapper/truecrypt ./tc/
Remplir le volume normal avec des données de leurre. Par exemple des clés privées ssh, des données bancaires, des reçus des impôts… Le but est de justifier l'usage d'un volume chiffré.
sudo cp ~/.ssh/id_ecdsa ./tc/
Démonter le volume normal
sudo umount ./tc
Supprimer le mappage du volume normal
sudo dmsetup remove /dev/mapper/truecrypt
Ouvrir le volume caché Le volume caché est lié à /dev/mapper/truecrypt
sudo tcplay --map=truecrypt --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853
Formater le volume caché
sudo mkfs.xfs /dev/mapper/truecrypt
Monter le volume caché
sudo mount /dev/mapper/truecrypt ./tc/
Remplir le volume caché avec des données sensibles. Par exemple, des clés privées PGP, des photos personnelles, votre plan de conquête du monde, etc.
sudo cp ~/.gnupg/secring.gpg ./tc/
Démonter le volume caché
sudo umount ./tc
Supprimer le mappage du volume caché
sudo dmsetup remove /dev/mapper/truecrypt
Travailler dans les volumes de leurre et caché
Actualiser les données du volume normal :
- ouvrir le volume caché :
sudo tcplay --map=truecrypt --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853 - monter le volume caché :
sudo mount /dev/mapper/truecrypt ./tc/ - travailler
- démonter le volume caché :
sudo umount ./tc - supprimer le mappage du volume caché :
sudo dmsetup remove /dev/mapper/truecrypt
Actualiser les données du volume normal :
- ouvrir le volume normal, en protégeant le volume caché :
sudo tcplay --map=truecrypt --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853 --protect-hidden - monter le volume normal :
sudo mount /dev/mapper/truecrypt ./tc/ - actualiser les données de leurre
- démonter le volume normal :
sudo umount ./tc - supprimer le mappage du volume normal :
sudo dmsetup remove /dev/mapper/truecrypt
Note
[1] Disque dur Quantum Fireball TM1280A provenant de mon vénérable PowerMac 4400 (processeur PPC 603ev, 96Mo de RAM) datant 1996. Ce disque de 1,2Go présente toujours zéro secteur défectueux et tourne comme un charme. Pas comme les saloperies de disques durs actuels qui meurent au bout de 3 ans, alors qu'ils bossent à peine
Commentaires récents