有没有办法让除了我之外的所有人都无法访问我的硬盘？

Question

让我先给你一些备份故事：一位计算机技术人员挑战我把我的笔记本电脑给他，并要求他提供我想“隐藏”在我的硬盘驱动器中的任何信息。他声称无论我做什么来隐藏它，他都可以找回任何东西。

因为我不喜欢绝对的陈述，比如：“你对此无能为力”，我开始在脑海中思考这个问题。我意识到一个非常安全的操作系统不会削减它，因为他不需要从这个特定的硬盘驱动器启动来查找我硬盘驱动器中的东西。

这里的一般问题是：

有没有办法完全保护硬盘中的所有数据？（我不需要详细解释如何去做，我只需要你给我指明一个方向；我可以自己阅读更多相关信息）

具体来说，我怀疑我可能需要：

• 一个非常安全的操作系统，可能会对它存储的所有数据进行加密（不知道是否存在这样的东西）。

• 如果以上不存在，有没有办法手动加密我的硬盘驱动器中的数据，并且仍然能够从该硬盘驱动器启动？

一般来说，我想让非我的任何人尽可能少地访问硬盘驱动器（= 知道特定的密码/密钥），因此欢迎任何解决方案。

Answer 1

这足以加密大多数敏感文件。没有密码几乎不可能进入使用 AES 256 位加密的 ZIP 文件和一个很好的长密码。（避免使用称为 PKZIP 流密码/ZipCrypto 的传统 ZIP 加密 - 众所周知，它很弱。）

也可以加密整个分区，隐藏其中的所有内容。Truecrypt是家庭（和一些商业）分区/图像加密的事实上的标准程序。与操作系统内置的工具相比，Truecrypt 的最大优点可能是它的便携性：有一个适用于 Windows、Mac OS X 和 Linux 的版本，它们构成了绝大多数消费者操作系统。

如果您想隐藏所有内容，您可以加密系统中的每个分区，包括您从中启动的分区。在不知道密码/密钥的情况下，无法从加密驱动器读取数据。事实是，Windows 操作系统并不总是支持从加密硬盘启动。* Truecrypt 具有所谓的系统加密功能。他们总结的很好：

系统加密涉及预启动身份验证，这意味着任何想要访问和使用加密系统、读写系统驱动器上存储的文件等的任何人，每次在 Windows 启动（启动）之前都需要输入正确的密码。 ）。预引导验证由 TrueCrypt 引导加载程序处理，它位于引导驱动器的第一个轨道和 TrueCrypt 救援磁盘上。

因此 Truecrypt 引导加载程序将在您的操作系统之前加载并提示您输入密码。当您输入正确的密码时，它将加载操作系统引导加载程序。硬盘驱动器始终处于加密状态，因此即使是可引导 CD 也无法从中读取任何有用的数据。

加密/解密现有系统也不难：

请注意，TrueCrypt 可以在操作系统运行时就地加密现有的未加密系统分区/驱动器（当系统被加密时，您可以像往常一样使用您的计算机，没有任何限制）。同样，TrueCrypt 加密的系统分区/驱动器可以在操作系统运行时就地解密。您可以随时中断加密或解密过程，使分区/驱动器部分未加密，重新启动或关闭计算机，然后继续该过程，该过程将从停止的点继续。

*各种其他操作系统支持系统驱动器加密。例如，Linux 内核 2.6 和更新版本有dm-crypt，Mac OS X 10.7 和更新版本有FileVault 2。Windows 对BitLocker有这样的支持，但仅在企业/商业/服务器版本中，并且仅在 Vista 和更新版本中。如上所述，Truecrypt 更便携，但通常缺乏加密系统驱动器所需的集成，Windows 是个例外。

Answer 2

一个短语 - 全盘加密，最好有一个漂亮的、长的、非字典密钥。您还可以查看使用外部密钥文件执行此操作的系统。基本上，由于除了引导加载程序之外的整个系统都是加密的，因此没有直接内存访问攻击——也就是说，使用火线或其他具有 DMA 的设备来获取内存内容，或者使用冷启动攻击来获取信息。解决这个问题很简单 - 只需确保系统已关闭，并在您移交系统之前取出电池。如果它只是一个硬盘驱动器，这两种攻击都是不可能的

我可能只是给 truecrypt 一个机会，使用一个非常长的随机密码（长度使暴力破解更加困难，随机性可以防止字典攻击），然后让他带着它去城里。或者，某些版本的 Windows 具有 bitlocker - 这是 Windows 中内置的强大 FDE 选项。同样，也有针对 linux 的解决方案，例如 luks 和 dmcrypt。

或者用随机数据填充磁盘......看看他多久才能弄清楚;）

Answer 3

不要迷恋任何技巧，例如“给我密码以便我检查结果”。

一开始我参加的一个安全会议要求输入密码。讲到一半，演讲者说最大的安全风险是你，因为大多数人都轻易地泄露了他们的密码。

（是的，只需加密相关数据。）

Answer 4

您可以将文件“隐藏”在图像中吗？这可能会让他失望——或者至少需要他花一点时间来弄清楚。可能。

http://lifehacker.com/282119/hide-files-inside-of-jpeg-images

Answer 5

我同意另一个 TrueCrypt 答案。但是，我要补充一点——TrueCrypt 的似是而非的否认特性。这意味着 TrueCrypt 不会在它加密的磁盘/文件上留下任何可识别的签名。因此，没有人可以证明磁盘上的一组位是随机位还是加密数据。这非常重要，以至于在最近的一个法庭案件中产生了影响。

Answer 6

发布的许多答案都是很好的答案。

另外，您可能需要查看 异步像GnuPG这样的非对称加密工具。这比在 ZIP 文件中加密要复杂一些，因为您要处理public 和 private keys。我想我可能听说过欧洲的一些大学在非常特殊的情况下破解了这种类型的加密。您仍然希望将密码和密钥放在 USB 驱动器上，或者您将提供给挑战者的驱动器以外的其他地方。

此外，我曾经有一位教授告诉我，如果您想要绝对隐藏的东西，请使用一组新密钥重新加密加密文件。 这样，如果第一级加密以某种方式被解密，攻击者就不会知道它，因为一切看起来仍然是加密的。

希望这可以帮助。

Answer 7

有趣的是，许多人必须将隐藏这个词放在引号中，因为他们似乎知道在他们的建议中实际上没有隐藏任何内容。我想知道那个计算机技术人员在说“隐藏”时是否也把手举在空中并做出了与引号相关的手部动作。

我对此表示怀疑。虽然加密可以阻止访问，但在桌面上放置一个名为“Nothing_to_see_here.zip”的加密 zip 文件并没有真正隐藏任何内容。

一些笔记本电脑带有密码保护驱动器的能力，一旦通过 bios 启用它，您有两个选择......输入密码或格式化驱动器。戴尔是具有此功能的公司之一。好的。您也可以在输入错误密码 3 次后致电戴尔，您可以向他们提供屏幕上显示的质询代码，他们将向您提供绕过密码的响应代码……但他们也对该服务收费如果您的保修已过期。再次......这并没有隐藏任何东西。

允许某人进入房间以便他们可以搜索隐藏在视线之外的东西（隐藏）与完全禁止他们进入（加密）之间存在天壤之别。

因为我不喜欢绝对的陈述，比如：“而且你对此无能为力”

不。你不喜欢这个技术人员本质上告诉你他知道一些你不知道的东西，和/或他在某些方面比你更好。这就是为什么你立即试图思考如何改进这个技术员，而不是真正意识到他说的话毫无意义！在那里承认至少不会伤害你，然后也许他实际上可以找到你隐藏的任何文件。当然，你需要让他定义隐藏在这种情况下的含义......因为（再次）似乎“隐藏”对不同的人来说显然意味着不同的东西。无论如何，你对他的挑战的问题与他的吹嘘无关，而与你无法接受他实际上可能在某些方面比你更好的可能性有关。这就是为什么你不能独自面对挑战。这就是为什么你不欣赏这样的绝对陈述。因为事实是，有时生活中会发生事情，而您对此无能为力。

您想要一种方法来防止您经常访问的文件被发现吗？让它们远离你的电脑。那个怎么样？将它们存储在闪存驱动器上。然后，您可以随时将文件随身携带，当您不在笔记本电脑附近时，没有人可以访问您的笔记本电脑来获取它们。谁制定了所有文件必须始终保留在笔记本电脑上的愚蠢规则？我不是在谈论这个技术人员幼稚的吹嘘和你把它变成什么游戏。一旦您加密文件，或将其隐藏在图像中，或将其从计算机中删除到闪存驱动器上，那么他的游戏就结束了。为什么？因为你没有定义这个挑战的参数......我可以猜到它们是什么。

• 该文件必须在某个可访问的地方。
• 你需要扮演一个无知的傻瓜的角色，他认为只要把文件放在远离人迹罕至的某个目录中就可以被隐藏。

一旦你离开其中任何一个，游戏就结束了，你“不明白他的意思”。