Шифрование системы

VeraCrypt позволяет "на лету" шифровать системный раздел или весь системный диск, то есть раздел или диск, где установлена Windows и с которого она загружается.

Шифрование системы обеспечивает наивысший уровень надёжности и безопасности, так как все файлы, включая любые временные файлы, создаваемые Windows и приложениями в системном разделе (как правило, без вашего ведома и согласия), файлы гибернации, файлы подкачки и т. д., всегда остаются зашифрованными (даже при внезапном пропадании питания). Кроме того, Windows записывает множество данных, которые потенциально могут нести конфиденциальную нагрузку, например имена и пути открываемых вами файлов, запускаемые вами программы и др. Все такие файлы-журналы и записи в реестре также всегда остаются зашифрованными.

Примечание касательно SSD-накопителей и операции TRIM: При шифровании системы на твердотельных накопителях (SSD) важно учитывать последствия операции TRIM, которая потенциально может раскрыть информацию о том, какие сектора на диске не используются. Инструкции о том, как операция TRIM работает с VeraCrypt и как управлять её настройками для повышения безопасности, см. в документации в главе Операция TRIM.

Шифрование системы включает в себя предзагрузочную аутентификацию, означающую, что любому пользователю для получения доступа, возможности работы в зашифрованной системе, чтения и записи файлов на системном диске и т. д. будет нужно вводить правильный пароль перед каждой загрузкой (стартом) Windows. Предзагрузочную аутентификацию обеспечивает загрузчик VeraCrypt (Boot Loader), расположенный в первой дорожке загрузочного диска и на Диске восстановления VeraCrypt (Rescue Disk, см. далее).

Обратите внимание, что VeraCrypt выполняет шифрование имеющегося незашифрованного системного раздела/диска "на месте", то есть прямо при работе операционной системы (во время шифрования системы можно продолжать пользоваться компьютером как обычно, без каких-либо ограничений). Аналогично, зашифрованный с помощью VeraCrypt системный раздел/диск можно расшифровать "на месте", во время работы операционной системы. Процесс шифрования/дешифрования можно прервать в любой момент, оставить раздел/диск частично незашифрованным, перезагрузить или выключить компьютер, а затем возобновить операцию с той точки, в которой она была остановлена.

При шифровании системы применяется режим XTS (см. раздел Режимы работы). Технические детали шифрования системы см. в разделе Схема шифрования главы Технические подробности.

Чтобы зашифровать системный раздел или весь системный диск, выберите Система > Зашифровать системный раздел/диск и следуйте инструкциям мастера. Чтобы расшифровать системный раздел/диск, выберите Система > Окончательно расшифровать системный раздел/диск.

Из-за требований BIOS предзагрузочный пароль вводится с использованием американской раскладки клавиатуры. Во время шифрования системы VeraCrypt автоматически и прозрачно переключает клавиатуру на американскую раскладку, чтобы гарантировать, что введённый пароль будет соответствовать паролю, введённому в предзагрузочном режиме. Однако эту защитную меру может обойти вставка пароля из буфера обмена. Чтобы предотвратить любые проблемы, возникающие из-за этого, VeraCrypt отключает возможность вставки паролей из буфера обмена в мастере системного шифрования. Таким образом, чтобы избежать ошибок из-за неверного пароля, необходимо вводить пароль, используя те же клавиши, что и при шифровании системы, обеспечивая постоянный доступ к зашифрованной системе.

Примечание. Windows 7 и более новые версии Windows по умолчанию загружаются с особого маленького раздела. Этот раздел содержит файлы, необходимые для загрузки системы. Право записи в этот раздел Windows даёт только приложениям с административными привилегиями (при работе системы). В режиме загрузки EFI, который используется по умолчанию на современных ПК, VeraCrypt не может зашифровать этот раздел, поскольку он должен оставаться незашифрованным, чтобы BIOS мог загрузить из него загрузчик EFI. Это, в свою очередь, означает, что в режиме загрузки EFI программа предлагает зашифровать только системный раздел, на котором установлена Windows (позже пользователь может вручную зашифровать другие разделы с данными с помощью VeraCrypt). В устаревшем режиме загрузки MBR программа выполняет шифрование этого раздела, только если вы выбрали шифрование всего системного диска (а не шифрование только раздела, в котором установлена Windows).

В режиме загрузки EFI с включённым Secure Boot при установке, восстановлении/переустановке, обновлении или восстановлении после Windows PostOOBE VeraCrypt выбирает набор загрузчиков, подписанный Microsoft UEFI CA и разрешённый активной политикой Secure Boot прошивки: каждый требуемый CA должен присутствовать в базе разрешённых подписей (db) и отсутствовать в базе запрещённых подписей (dbx). Для набора загрузчиков VeraCrypt 2023 года требуются Microsoft UEFI CA 2023 и Microsoft Option ROM UEFI CA 2023, а для набора 2011 года — Microsoft Corporation UEFI CA 2011. Если активная политика db/dbx не разрешает ни один поддерживаемый набор, VeraCrypt прерывает операцию и не устанавливает загрузчик, который прошивка отклонит при следующей перезагрузке. Если вы вручную изменили записи db или dbx Secure Boot в прошивке, запустите восстановление/переустановку VeraCrypt, чтобы обновить установленный набор загрузчиков. Подробности, включая переход на сертификаты Microsoft 2023 года и процедуры восстановления, см. в разделе EFI Secure Boot.

Обновления компонентов Windows и файлы восстановления

Перед подготовкой обновления компонентов Windows установите текущую версию VeraCrypt. Прежде чем продолжать, устраните все предупреждения о поддержке обновлений компонентов Windows. Если программа установки Windows уже подготовила вспомогательные файлы, начните подготовку обновления компонентов заново, чтобы были скопированы обновлённые файлы. Обновление VeraCrypt изменяет регистрацию источника, но не заменяет скрипт, который программа установки Windows уже скопировала. Подробнее о подготовке скриптов см. в документации Microsoft по программе установки Windows.

Если установщику не удаётся обновить регистрацию VeraCrypt для обновлений компонентов Windows, установка завершается с предупреждением, в котором указаны соответствующий файл или параметр реестра. VeraCrypt не регистрирует папку установки, если не может определить её расположение или если в ней отсутствуют VeraCrypt.exe либо файлы драйвера; в этом случае существующие записи сохраняются. Системная служба VeraCrypt повторяет попытку обновления при каждом запуске. Если предупреждение сохраняется, устраните указанную ошибку и выполните восстановление/переустановку перед началом обновления компонентов Windows. Если исполняемый файл системной службы VeraCrypt используется во время обновления, он будет заменён при перезагрузке Windows, и до этого служба не будет запущена вновь.

Резервные копии для восстановления, созданные VeraCrypt 1.26.29 и более ранними версиями, хранятся в каталоге VeraCrypt внутри ProgramData, где обычные пользователи могли создавать файлы. VeraCrypt использует или переносит такую копию только в том случае, если она принадлежит учётной записи администратора или SYSTEM и ни один другой пользователь не может изменить или заменить её. VeraCrypt также удаляет из этого каталога скрипт программы установки Windows от старых версий и запрещает обычным пользователям создавать в нём файлы. В системах BIOS для автоматического восстановления исходного загрузчика требуется полная доверенная резервная копия. Если она недоступна, VeraCrypt запрашивает явное подтверждение перед расшифровкой или очисткой без автоматического восстановления загрузчика; сначала получите доверенный носитель восстановления. Если при обновлении появляется предупреждение о том, что резервная копия исходного загрузчика отсутствует, повреждена, недоступна для чтения или не заслуживает доверия, сохраните все имеющиеся резервные файлы и перед продолжением получите заведомо доверенный Диск восстановления VeraCrypt или проверенную исходную резервную копию. Одно лишь изменение владельца или разрешений не подтверждает безопасность старой копии. Не создавайте заменяющую резервную копию из текущей загрузочной области зашифрованной системы и не восстанавливайте незашифрованный загрузчик, пока диск остаётся зашифрованным.

Новые вспомогательные файлы хранятся в каталоге VeraCryptSystem внутри собственной папки Common Files системы (обычно C:\Program Files\Common Files), где создавать файлы могут только администраторы. Программа установки Windows добавляет драйвер VeraCrypt из папки установки VeraCrypt в обновлённую систему. При удалении приложения резервные копии для восстановления и каталог VeraCrypt внутри ProgramData сохраняются, чтобы обычные пользователи не могли создавать там файлы. При удалении и расшифровке регистрационные записи VeraCrypt для программы установки Windows удаляются; об ошибке удаления записей сообщается, но она не останавливает удаление приложения.

Следующий раздел >>