如果有人偷了我的笔记本电脑，他们可以访问已安装的 TrueCrypt 驱动器吗？

Question

我在我的计算机上使用 TrueCrypt 加密硬盘驱动器来存储我所有的工作文件。通常，当我离开我的笔记本电脑时，我只是锁定 Windows 会话，但保留安装的 TrueCrypt 驱动器。

现在我想知道，如果有人在我的笔记本电脑处于这种状态时偷了它（即安装了 TrueCrypt 驱动器但会话已锁定），他们是否有可能访问我加密硬盘上的数据？

一些澄清：

我意识到卸载驱动器是最安全的方法，但我经常有几个进程从中运行，如果我只离开 5 分钟，我不想关闭所有内容。

假设小偷不知道我的会话密码并且没有在我的机器上安装键盘记录器（并且无法访问 NSA 的高科技工具:)，他是否有可能绕过 Windows 登录屏幕并访问我的TrueCrypt 数据？

Answer 1

一旦安装了 truecrypt 驱动器，它就“可用”，因此在您的情况下，驱动器与任何可能的窥探者之间的唯一障碍是锁定的 Windows 会话 - 因此您的数据与您设置 Windows 密码一样安全。

如果您真的担心有人访问您的数据，您应该在机器无人看管或不需要访问它时卸载 TrueCrypt 驱动器。

Answer 2

如果您是普通用户并且普通小偷拿走您的笔记本电脑，您真的没有什么可担心的，因为他们不知道如何检索您的数据，甚至不关心这样做。如果您的数据成为目标，窃贼可能会做一些事情。

1. 使用 DMA 端口（例如 Firewire）连接另一台计算机并保存 RAM，然后恢复加密密钥（请参阅Passware）
2. 使用一些东西来冷却 RAM 棒，然后使用实用程序将 RAM 保存到闪存驱动器或取出棒并将它们放在另一台计算机中。
3. 可以从 pagefile.sys 或 hiberfil.sys 恢复密钥

如果您想避免这些攻击，您需要使用 truecrypt 全盘加密并利用休眠。它应该再次需要密码才能从休眠状态启动它。

如果您不想休眠，您应该禁用它powercfg -h off并通过运行fsutil behavior set encryptpagingfile 1. 页面文件使用启动时生成并在关闭时丢失的随机密钥进行加密。

然后首先将计算机设置为从 HDD 启动并设置 BIOS 密码，这将阻止有人尝试冷却 ram 并使用同一台计算机来恢复它。它不会阻止他们这样做，但它可能会减慢他们的速度，以至于在他们试图清除 CMOS 时丢失数据。

如果你有 FireWire 而你不使用它，你应该在 BIOS 中禁用它以避免这种攻击..另一个具有 DMA 的端口是新的 Thunderbolt 端口，但它还没有推出。