Digamos que eu criptografe todo o meu HDD com Truecrypt e, em seguida, use o CD de recuperação para remover completamente o bootloader do HDD. Eu tenho 2 perguntas:
1) Não ter o bootloader no HDD significa que é impossível tentar forçar a senha com força bruta?
2) Se eu tiver um CD DBAN próximo ao meu computador, é plausível dizer 'acabei de chicotear o HDD com DBAN quando estou prestes a reinstalar?
Obrigado.
Responder1
Não sou um especialista em segurança. Siga todos os meus conselhos com um punhado de sal, onde o tamanho da mão varia de acordo com a quantidade de segurança desejada.
Acredito que seja esse o caso, mas não sou especialista em TrueCrypt. Obviamente, você precisa do disco de recuperação disponível para inicializar o computador; portanto, se um invasor descobrir isso, ele ainda poderá tentar forçar a senha com força bruta.
Embora esse seja um dos objetivos do TrueCrypt (veja o segundo ponto na página Plausible Deniability), não tenho certeza se isso seria plausível, por dois motivos. A primeira é que se você simplesmente remover o bootloader e não substituí-lo por dados aleatórios, obviamente há algo acontecendo. Talvez o CD substitua o bootloader por dados aleatórios, então isso não é um problema; caso contrário, seria possível substituí-los por dados aleatórios de uma forma diferente. O segundo problema é que você precisa manter o CD TrueCrypt próximo ao computador para que ainda possa inicializá-lo. Isso pode limitar a negação plausível. Uma maneira de contornar isso seria ter o CD DBAN sempre dentro do computador, exceto durante a inicialização, e ter o CD TrueCrypt por perto. Digamos que o disco rígido anteriormente continha um volume TrueCrypt, mas agora não contém, pois você acabou de apagá-lo. Isso ainda é um pouco suspeito: por que usar DBAN se os dados já estão criptografados?
Para saber se o TrueCrypt Rescue CD substitui o bootloader por dados aleatórios, inicialize a partir de algum live CD ou unidade USB do Linux e execute o seguinte comando:
dd if=/dev/sda bs=512 count=1 | hexdump | tail
Se o resultado for um monte de lixo que NÃO termina em 55aa, então são dados aleatórios. Se terminar em 55aa, então é um bootloader válido. Se for
0000000 0000 0000 0000 0000 0000 0000 0000 0000
*
0000200
então a trilha do bootloader foi escrita com zeros (tenho certeza que você percebeu isso) e você mesmo precisa substituí-la por dados aleatórios. Isto pode ser conseguido com
dd if=/dev/urandom of=/dev/sda bs=512 count=1
NOTA: NÃO executei este comando. Ele pode gravar dados aleatórios em mais do que o bootloader e pode tornar o seu sistema não inicializável. Use com cuidado! Observe também que /dev/urandom não é tão seguro quanto /dev/random, mas você NÃO precisa de dados aleatórios de alta qualidade para esta curta sequência de bytes.
Agora, execute o primeiro comando para ter certeza de que não termina em 55aa. Isso é altamente improvável, mas é possível, por isso é melhor ter certeza. Na probabilidade extremamente improvável (1 em mais de 65 mil) de que isso aconteça, simplesmente execute o segundo comando novamente.
Agora você tem um disco completamente aleatório que poderia ter sido gerado com DBAN. Se alguém vir este disco com o disco DBAN na máquina, presumirá que é um disco rígido aleatório. Eles podem fazer com que você prossiga com sua alegação de instalar um sistema operacional nele, mas é altamente improvável que consigam provar que existe um volume Truecrypt lá.
Espero que isso tenha ajudado, mas, novamente, estouNÃOum especialista em segurança.