加密双启动笔记本电脑硬盘

Question

如果他们可以通过启动操作系统来访问机器，那么全盘加密将不起作用 - 无论如何，在 Windows 中，他们将能够访问文档和保存的密码文件，甚至如果他们愿意，还可以使用管理员帐户注入自己的病毒。您需要使用基于文件（而不是基于磁盘*）的加密方案，其中有一个加密容器，用于保存敏感文件，例如 TrueCrypt 或 VeraCrypt。

*您还可以拥有一个单独的磁盘分区，该分区使用 BitLocker 或其他磁盘加密（例如 LUKS）进行加密，用于保存您的敏感数据。也许 Veracrypt 在 Linux 和 Windows 上都受支持（我不确定 - 不过您需要使用两者都支持的加密方案），您可以在其中访问专用的加密分区，或者访问硬盘中的加密容器文件。

如果你希望商店不通过物理方式访问驱动器的任何部分，那么你需要FDE 类似 BitLocker - 故事结束。出于这个原因，您可能希望使用 FDE 加密您的 Windows 分区并且在您的硬盘上有一个单独的加密分区或加密容器。如今，许多笔记本电脑都配备了 TPM - 请在线查看规格。如果您没有或不想使用 TPM，您可能还想使用带有外部 USB 的 BitLocker 进行解密。

是的，剪贴板很可能存储在 RAM 中（除非你启用了剪贴板历史记录，具体取决于实现方式）。一旦计算机关闭或重新启动，它就会丢失 RAM，因此攻击者必须使用雷电或火线 DMA（以及零日漏洞）进行一些巧妙的欺骗，物理访问在它运行时，甚至可以控制它（或者病毒在你的系统上运行，但是，我会把病毒缓解留给你：P）

编辑评论问题：

1)“没有管理员会话的密码”..什么？他们将无法使用任何管理员密码，因为如果没有 BitLocker 密码或恢复密钥（您自己和您的亲戚都珍视这些密码 - 任何被允许启动 Windows 的人）他们将无法启动

2）Linux SSD 本身没有需要需要加密，但如果你不想被窥探（或者你不想让他们有窥探的可能性），那么可以使用 FDE（如 dm-crypt 或 LUKS）进行加密

3)FDE 或全盘加密在一个统一的加密方案中将所有块作为一个整体进行加密 - 所有内容，甚至毫无意义的系统文件都经过加密。没有密钥，您无法访问 Windows 系统的单个字节*。软件（从技术上讲 BitLocker 也是软件，但您知道我的意思）或加密容器会加密特定的文件夹或文件，这样任何人都仍然可以访问系统的其余部分，他们只是无法访问该容器中的内容。但这并不意味着他们不能复制它并在自己的时间内对其进行暴力破解，因此请使用长而安全的密码！

（* 好的，启动文件未加密，但那里没有任何用处 - 无论如何你都需要它来解密驱动器的其余部分......）

是的，FDE 在启动时会要求输入密码，而 Veracrypt 等软件会在操作系统本身上运行并要求解密容器 - 解密后，文件将可以访问，直到您重新锁定容器。“每次她打开 mp3” - 我不能说，因为这在很大程度上取决于所使用的加密软件。

4) 如果它有 TPM 并且您希望使用它，则在配置 BitLocker 时应该可以使用它。我不知道，因为我只使用 LUKS 进行 FDE，抱歉。不过这很容易在 Google 上找到。

5) 当您将计算机置于睡眠状态时，RAM 会存储起来，但无论如何都无法访问 - 他们需要打开它并输入您的密码（最有可能）才能获取您的文件，如果他们取出 RAM 棒，电源就会断电，数据也会很快丢失。他们必须非常迅速地使用液氮来保存 RAM。除非您处理的是非常敏感且备受追捧的信息，否则没有人会这样做 - 在这种情况下，您可能会被折磨以获取密码。长话短说，我不会担心 RAM。这就像如果您的计算机被锁定在锁定屏幕上一样 - 他们无论如何都无法进入，除非重新启动，如果他们重新启动，RAM 无论如何都会丢失。（我没有包括 DMA RAM 泄露之类的事情，因为它非常不可能，而且现在几乎所有操作系统都有针对它的保护措施）

Answer 1