Vioittunut VeraCrypt-, LUKS- tai BitLocker-salattu säilö: Sulautetun varmuuskopion taltion otsikon palauttaminen¶

Kirjoita 100-prosenttisesti oikea salaussalasanasi kohtaan a VeraCrypt tiedostosäilö tai osio, Linux LUKS (dm-crypt) -taltio, Windows BitLocker ajaa tai a Cryptomator pilviholvi - vain osuma Operation failed due to one or more of the following: Incorrect password / Not a valid volume, Device /dev/nvme0n1p3 is not a valid LUKS device tai Windowsin osiointikehotteet, joissa kysytään "Sinun on alustettava levy asemassa D: ennen kuin voit käyttää sitä" - laukaisee välittömän pelon. Miksi yksittäinen sähkökatkos, pakotettu USB- irrottaminen tapahtuu vahingossa? Quick Format / diskpart clean, tai yksi viallinen sektori tavusiirrolla 0 aiheuttaako koko 2 teratavun salatun aseman hylkäävän kelvollisen salasanan? Koska lohkotason levyn salaus (XTS-AES-256) ei koskaan tarkista salasanaasi suoraan tiedostoihisi: sen sijaan salasanasi purkaa pienen taltion otsikon (avainpaikka-alue), joka on tallennettu säilön alkuun ja sisältää 256- tai 512-bittisen pääsalausavaimen (VMK / Volume Master Key). Jos ensimmäiset 512 tavua 131 072 tavuun (128 KB). Onneksi molemmat VeraCrypt ja BitLocker upottaa automaattisesti täydellisen, identtisen toisen varmuustaltion otsikon taltion loppuun, ja jos jossakin koneessa on edelleen (tai äskettäin ollut) taltio asennettuna RAM-muistiin, raaka AES Pääavain voidaan veistää suoraan haihtuvasta muistista. Jos lukittuuksesi johtuu sen sijaan unohdetusta BitLockerin 48-numeroisesta palautusavaimesta tai TPM-emolevyn nollauksesta ehjässä otsikossa, siirry oheiseen oppaaseemme BitLocker-, FileVault- ja LUKS-salauksen palautusavaimen lukitus ja TPM-nollaus. Jos fyysinen asema napsahtaa tai putoaa offline-tilassa, ota yhteyttä kiintolevyvika ja tietojen palautus, tai jos olet vahingossa alustanut salaamattoman osion, katso tiedostojen tahaton poisto, alustettu asema ja valokuvien palautus. Jos tämä salausvirhe vaikuttaa kriittiseen sairaalainfrastruktuuriin, hätälähetykseen tai aktiiviseen kiristystapahtumaan, soita paikalliseen hätänumeroon (911 Yhdysvalloissa ja Kanadassa, 112 kaikkialla Euroopan unionissa, 999 Isossa-Britanniassa) tai tutustu kansainväliseen hakemistoomme hätänumerot.

Tee tämä nyt¶

1. LOPETA välittömästi äläkä KOSKAAN napsauta "Alusta levy" tai "Alusta levy" (GPT/MBR)," tai juokse chkdsk / fsck suoraan liittämättömällä raakalaitteella: Kun Windows tai macOS ei tunnista salattua VeraCrypt, LUKS, tai BitLocker osio (koska VeraCrypt-otsikot eivät ole tarkoituksella erotettavissa satunnaisesta kohinasta ja niiltä puuttuu pelkkä tekstin maaginen allekirjoitus), käyttöjärjestelmä avaa valintaikkunan, jossa lukee "Initialize Disk" tai "Format Drive". Napsauta Initialize (GPT) korvaa LBA-sektorit 0 kautta 33 (Bytes 0 to 17,408) levyn alussa ja viimeisenä 33 sektorit aivan levyn lopussa - tuhoaa sekä ensisijaisen VeraCrypt-otsikon ja sulautetun varmuuskopio-otsikon yhdellä napsautuksella.
2. Ennen kuin teet mitään muuta, tarkista, onko salattu taltio EDELLEEN liitetty (tai onko tietokone lepotilassa/lepotilassa), jotta voit purkaa pääsalausavaimen RAM-muistista: Jos taltion otsikko pyyhkiytyi levyltä, kun säilö on vielä asennettuna ja auki tietokoneellasi (tai onko VM/horrostilatiedosto) hiberfil.sys / /dev/mem olemassa, kun se oli auki), ÄLÄ irrota, lukitse tai käynnistä tietokonetta uudelleen. Kopioi kaikki tiedostot heti asennetusta asemasta ja tyhjennä ytimen muisti (dmsetup table --showkeys Linuxissa LUKS, tai aeskeyfind / Passware / Volatility RAM-vedoksista) poimiaksesi live 512-bit XTS-AES Master Key.
3. Kloonaa vioittunut salattu tiedostosäilö (.hc / .tc) tai fyysistä osiota bitti kerrallaan käyttämällä ddrescue ENNEN kuin napsautat "Palauta äänenvoimakkuuden otsikko": Älä koskaan muuta alkuperäistä vioittunutta .hc tiedosto tai osio paikallaan. Kopioi .hc säilötiedosto toiseen asemaan tai kuvaa vaurioitunut osio (sudo ddrescue -d -r3 /dev/sdb1 /mnt/backup/encrypted_clone.img /mnt/backup/mapfile.log) ja suorita kaikki otsikon palautukset ja testaa kiinnitykset tarkasti kloonia vastaan.
4. Jos käytät VeraCrypt (tai perintöä TrueCrypt), valitse ruutu "Use backup header embedded in volume" sisällä Mount Options juuri nyt: Jokainen VeraCrypt-taltio (sekä tiedostosäiliöt että osion/laitteen asemat) tallentaa ensisijaisen otsikon tavuina 0 kohtaan 65,535 (ensin 64 KB) ja kirjoittaa automaattisesti identtisen salatun varmuuskopion otsikon LAST 65,536 tavua (64 KB) aivan äänenvoimakkuuden lopussa (tai offsetissa Volume_Size - 131,072 jos Hidden Volume -alue on olemassa). Napsauta vain Kiinnitysasetukset -> tarkista "Use backup header embedded in volume" -> napsauta OK ohittaa tuhoutuneen etuotsikon ja asentaa koko aseman 3 sekunnissa.
5. Jos käytät BitLocker Windowsissa ja ensisijaisessa käynnistyssektorissa (-BOOT-) pyyhittiin vahingossa tapahtuneen Quick Formatin tai osion poiston takia repair-bde 3 redundantin BitLocker-metatietootsikon tarkistaminen levyltä: BitLocker ei luota yhteen otsikkoon sektorissa 0; se kirjoittaa kolme redundanttia 64 kilotavua -FVE-FS- Full Volume Encryption Metadata -lohkot hajallaan osiolla (Offset 1, Offset 2, ja Offset 3). Juoksemassa repair-bde D: E: -pw (tai -rp 48-digit-key) paikantaa eloonjääneet automaattisesti -FVE-FS- metatietolohko aseman keskellä ja purkaa koko taltion salauksen pelastuslevykkeeksi.
6. Jos käytät Linuxia LUKS2 (cryptsetup), tarkista osion ensimmäiset 16 megatavua toissijaista JSON-otsikkoa varten (SKB2) tai veistämällä LUKS maagiset tavut (4c 55 4b 53 ba be) jos osion raja on siirtynyt: Moderni LUKS2 tallentaa kaksi redundanttia binaari+JSON-metatietojen otsikkoa: ensisijainen otsikko siirtymäkohdassa 0x0000 (LUKS\xba\xbe) ja Toissijainen otsikko (SKB2\xba\xbe) offsetilla 0x4000 (16,384 bytes / 16 KB, tai suurempi riippuen näppäinpaikan kohdistuksesta). Jos vain sektori 0 nollattaisiin, LUKS2 voidaan korjata käyttämällä toissijaista otsikkoa.

Päätöspuu: vioittuneen VeraCrypt-, LUKS-, BitLocker- tai Cryptomator-taltion palauttaminen¶

Käytä tätä tarkkaa diagnostista vuokaaviota valitaksesi oikean palautuspolun ylikirjoittamatta säilyneiden varmuuskopioiden otsikoita:

flowchart TD
    Start["Salattu taltio hylkää oikean salasanan tai näyttää 'RAW / muotoilematon'"] --> StillMounted{"Onko salattu levy edelleen asennettu mihinkään käynnissä olevaan koneeseen (vai oliko kone horrostilassa asennettuna)?"}

    StillMounted -->|"KYLLÄ: Äänenvoimakkuus on auki tai horrostilassa"| ExtractRAM["KRIITTINEN PRIORITEETTI: Kopioi kaikki avoimet tiedostot heti ulos ja tyhjennä RAM/ytimen avaimet (dmsetup-taulukko --showkeys Linuxissa; Dump hiberfil.sys / RAM Windowsissa)"]

    StillMounted -->|"EI: Ääni on irrotettu / lukittu"| CloneFirst["VAIHE 1: Tee bittiä kohden sektoriklooni käyttämällä ddrescuea (älä koskaan koske alkuperäiseen asemaan tai .hc-tiedostoon)"]

    CloneFirst --> Platform{"Mikä salausalusta on vioittunut?"}

    Platform -->|"VeraCrypt tai TrueCrypt (.hc, .tc, osio tai järjestelmäasema)"| VeraPath["1. Napsauta 'Kiinnitysasetukset' -> Valitse 'Käytä taltioon upotettua varmuuskopiointiotsikkoa' -> Kiinnitä vain luku -vaihtoehto. 2. Jos onnistut, suorita kloonissa Tools -> Restore Volume Header. 3. Jos tiedostosäilö katkaistiin, täytä tiedosto takaisin alkuperäiseen tavukokoon tasataksesi loppuotsikon"]

    Platform -->|"Linux LUKS1 / LUKS2 (dm-crypt)"| LuksPath["1. Tarkista, onko osion aloitussektoria vaihdettu heksadesikannauksella 'LUKS\\xba\\xbe' (4c 55 4b 53 ba be). 2. Jos kyseessä on LUKS2, valitse toissijainen otsikko 'SKB2\\xba\\xbe' kohdassa Offset 0x4000 (16 kt). 3. Palauta ulkoinen otsikon varmuuskopio cryptsetup luksHeaderRestoren kautta"]

    Platform -->|"Windows BitLocker (OS Drive tai Data Drive)"| BitPath["1. Tarkista osio '-FVE-FS-' -metadataallekirjoituksen varalta (3 levylle tallennettua ylimääräistä kopiota). 2. Suorita 'repair-bde Source: TargetDrive: -rp RecoveryKey' tai käytä Dislockeria / UFS Exploreria selviytyvän FVE-metatietolohkon jäsentämiseen"]

    Platform -->|"Cryptomator Cloud Vault (d/ Directory + masterkey.cryptomator)"| CryptoPath["1. Palauta masterkey.cryptomator automaattisesta masterkey.cryptomator.bkup- tai Cloud-versiohistoriasta (OneDrive/Dropbox/Google Driven 30 päivän tiedostohistoria). 2. Palauta orpotekstitiedostot suorittamalla Cryptomator Health Check"]

Vaihe 1: Kuinka salatut taltiootsikot todella toimivat levyllä (tavujen siirtymän anatomia)¶

Ennen kuin yrität korjata mitään, tarkasta laitteen tarkka tavuasetelma VeraCrypt, LUKS, BitLocker, ja Cryptomator nähdäksesi, miksi salasanasi epäonnistui ja missä redundantti varmuuskopion otsikko sijaitsee levylläsi:

Vaihe 2: Vaiheittainen palautus verkkotunnukselle VeraCrypt (ja Legacy TrueCrypt)¶

1. Asennus välittömästi käyttämällä Embedded Backup Volume Headeriä¶

Kun a VeraCrypt osio tai .hc tiedostosäilöön osuu vahingossa tehty Windowsin pikamuotoilu, osiotaulukon päällekirjoitus (fdisk / diskpart), tai viallinen sektori aseman alussa, ensimmäinen 64 KB on vioittunut - mutta Backup Header istuu viimeisessä 128 KB volyymin lopussa on edelleen 100 prosenttia ehjä.

Noudata näitä tarkat vaiheet luotuasi a ddrescue osiosi kloonaaminen tai kopioiminen .hc tiedosto: 1. Avaa VeraCrypt, napsauta Valitse tiedosto (valitse kloonattu .hc tiedosto) tai Valitse laite (valitseksesi kloonatun osion, esim. \Device\Harddisk2\Partition1 tai /dev/sdb1) ja valitse käyttämätön asemakirjain (Z:). 2. Napsauta Kiinnitys. 3. Salasana-valintaikkunassa: - Anna Password, PIM (jos käytössä) ja Keyfiles (jos käytössä). - Napsauta Mount Options...-painiketta salasana-ikkunan alaosassa. - Valitse Molemmat näistä ruuduista: - [x] Mount volume as read-only (Estää Windowsia/macOS:ää muokkaamasta vioittuneita tiedostojärjestelmärakenteita salauksen puretussa taltiossa pelastuksen aikana) - [x] Use backup header embedded in volume - Napsauta OK asentaaksesi. 4. Jos taltio kiinnittyy onnistuneesti (tai kiinnitetään a RAW asemakirjain Z: koska sisäinen NTFS/FAT32/exFAT käynnistyssektori tavussa 131,072 oli myös nicked): - Jos Z: avautuu normaalisti File Explorerissa: Kopioi 100 prosenttia tiedostoistasi Z: turvalliselle ajolle välittömästi. - Jos Z: kiinnitetään VeraCryptissä (näkyy VeraCrypt-paikassa), mutta Windows sanoo "Z: is not accessible / The volume does not contain a recognized file system": ÄLÄ vaivu epätoivoon. Tämä tarkoittaa, että VeraCrypt-salauksesi on 100-prosenttisesti auki ja vain sisäinen salaus NTFS / exFAT / ext4 salauksen purkamisen ensimmäisten megatavujen sisällä oleva superblock vaurioitui. Pidä taltio asennettuna VeraCrypt as Z: (tai /dev/mapper/veracrypt1 Linuxissa) ja suorita TestDisk, DMDE, UFS Explorer tai PhotoRec suoraan salattua VeraCrypt-virtuaaliasemaa vastaan (Z: / /dev/mapper/veracrypt1) - kaikki salatut tiedostot palautetaan välittömästi. 5. Kloonisi ensisijaisen äänenvoimakkuuden otsikon korjaaminen pysyvästi: - Kun tiedostosi on varmuuskopioitu turvallisesti, voit korjata aseman kloonin rikkinäisen etuotsikon pysyvästi napsauttamalla Volume Tools -> Restore Volume Header -> Palauta taltion otsikko taltioon upotetusta varmuuskopiosta ja antamalla salasanasi.

2. Entä jos a VeraCrypt .hc Tiedostosäilö katkaistiin tai sen kokoa muutettiin pilvisynkronoinnin tai levyn kaatumisen aikana?¶

Odota: miksi "Use backup header embedded in volume" epäonnistua a .hc tiedostosäiliö? - Koska VeraCrypt paikantaa upotetun varmuuskopion otsikon etsimällä Exact_File_Size - 131,072 bytes (0x20000 tavua tiedoston lopusta). - Jos USB-kopio on epätäydellinen, rsync keskeytys tai tiedostojärjestelmän kaatuminen katkaistu tai liitetty jopa 1 ylimääräinen tavu tiedostosi loppuun .hc konttitiedosto, VeraCrypt etsii väärää tavupoikkeamaa tiedoston lopussa. - Väärin kohdistuksen tarkistaminen ja korjaaminen .hc tiedostosäiliö: - Jokaisen kelvollisen VeraCrypt-säilötiedoston koon TÄYTYY olla tarkka kerrannainen 512 tavua. Tarkista tarkka tavukoko .hc tiedosto (ls -l container.hc tai stat -c %s container.hc). - Jos ensisijainen otsikko on tavu 0 on edelleen ehjä (koska tiedoston päässä tapahtui korruptio siirron katkaisun aikana), täytä .hc tiedosto nollien avulla truncate -s tiedoston kopiossa seuraavaan monikertaan saakka 1,048,576 tavua (1 MB) - esimerkiksi jos se oli a 10 GB kontti, joka katkesi 9.4 GB, juokse truncate -s 10G container_copy.hc - ja asenna normaalisti käyttämällä Ensisijaista otsikkoa vain luku -tilassa.

3. Entä jos joku poistaisi osiotaulukon (fdisk / diskpart clean), joten et tiedä, mistä sektorista VeraCrypt-osio alkoi?¶

Koska VeraCrypt-otsikot eivät sisällä nollaa selkotekstitavua, tavalliset osion skannerit (TestDisk) ei näe, missä poistettu VeraCrypt-osio alkaa tai päättyy. - Kuinka löytää kadonneen VeraCrypt-osion tarkka aloitussektori (TestCrypt / VeraCrypt Volume Finder): 1. Lähes kaikki vuodesta 2010 lähtien luodut osiot on kohdistettu 1 megatavuun (1 MiB = 2,048 512-tavuiset sektorit = 1,048,576 tavua) rajat (erityisesti alkaen sektorista 2048 ensimmäiselle osiolle tai tarkalleen 2048-sektorin monikerta). 2. Vielä parempi: kun ensisijainen otsikko on osion alkussa, Varmuuskopiointiotsikko on osion viimeisessä 128 KB osion päässä (joka on lähes aina kohdistettu suoraan fyysisen levyn loppuun tai seuraavan osion alkuun.). 3. Käytä avoimen lähdekoodin työkaluaTestCrypt** tai lyhyt Python pyveracrypt / cryptsetup --type tcrypt silmukka, joka testaa tunnettua salasanaasi jokaista 1 MiB (2,048-sektori) rajan siirtymä levykuvassa (losetup -o $((offset * 1048576)) -r -f disk.img), kunnes salasanasi purkaa salauksen VERA maaginen otsikko.

Vaihe 3: Vaiheittainen palautus Linuxille LUKS1 ja LUKS2 (dm-crypt)¶

1. Diagnosoi vioittunut LUKS otsikko (hexdump tarkastus)¶

Käynnistä Linux Live USB:ltä (SystemRescue tai Ubuntu Live), tee a ddrescue kuva osiosta ja tarkasta ensimmäinen 32 KB osion muuttamatta yhtä tavua:

sudo head -c 32768 /dev/nvme0n1p3 | hexdump -C | head -n 40

2. Kiinnitys a LUKS2 osio, kun sektori 0 (Primary Header) pyyhkii wipefs, mkswaptai huono sektori¶

Jos wipefs tai hajakirjoitus nollasi ensimmäisen 4 KB (Offset 0x0000), cryptsetup luksOpen saattaa epäonnistua - ellei cryptsetup korjaa ensisijaisen otsikon ehjästä toissijaisesta otsikosta (SKB2) klo 0x4000: 1. Testaa jos cryptsetup repair voi automaattisesti rakentaa uudelleen ensisijaisen otsikon (LUKS\xba\xbe) ehjästä toissijaisesta otsikosta (SKB2\xba\xbe) kloonatussa kuvassasi:

sudo cryptsetup repair /mnt/backup/luks_clone.img

3. Löytää a LUKS otsikko, kun osiotaulukko (GPT/MBR) poistettiin tai siirrettiin¶

Jos poistit vahingossa LUKS jakaa sisään fdisk / gparted tai alustanut koko aseman uudella osiotaulukolla, the LUKS\xba\xbe otsikko on usein edelleen täysin koskemattomana alkuperäisellä tavusiirrolla (tyypillisesti 1 MiB = tavu 1,048,576, tai heti sen jälkeen EFI ja /boot väliseinät): 1. Tarkista koko raakalevyltä 6-tavuinen LUKS maaginen allekirjoitus (4c 55 4b 53 ba be):

sudo LC_ALL=C grep -a -b -o $'\x4c\x55\x4b\x53\xba\xbe' /dev/nvme0n1

sudo losetup -o 1074790400 --read-only -f --show /dev/nvme0n1
sudo cryptsetup open --readonly /dev/loop0 rescued_luks
sudo mount -o ro /dev/mapper/rescued_luks /mnt/rescue

4. Purkaminen LUKS Pääavain (VMK) käynnissä olevasta tai horrostilassa olevasta Linux-järjestelmästä¶

Jos a LUKS levyn otsikko on 100-prosenttisesti tuhoutunut (esimerkiksi joku juoksi dd if=/dev/zero of=/dev/nvme0n1p3 bs=1M count=20), tarkista heti, onko Linux-järjestelmässä vielä /dev/mapper/... avata: 1. Jos järjestelmä on edelleen käynnissä volyymikartoituksen kanssa, ÄLÄ käynnistä uudelleen. Tulosta raaka heksadesimaalipääavain (VMK) suoraan ytimestä dm-crypt taulukko:

sudo dmsetup table --target crypt --showkeys

xxd -r -p master_hex.txt > master.key
sudo cryptsetup luksFormat --master-key-file master.key /mnt/backup/luks_clone.img

Vaihe 4: Vaiheittainen palautus Windowsille BitLocker (repair-bde & -FVE-FS- Metatietojen veistäminen)¶

Kun a BitLocker-salattu asema on vahingossa nopeasti alustettu, alustettu tai kärsii sektorista 0 vioittunut, Windowsin Resurssienhallinta näyttää aseman muodossa RAW tai Unallocated, ja sen kaksoisnapsauttaminen ei enää tuo esiin BitLocker-salasana/palautusavainkehotetta.

1. Miksi BitLocker lähes aina selviytyy pikamuodosta tai sektorista 0 pyyhkiä¶

Kun BitLocker salaa NTFS, FAT32, tai exFAT levylle, se luo kolme identtistä, itsenäistä 64 kilotavun metatietolohkoa levylle, joista jokainen alkaa 8-tavuisella ASCII-allekirjoituksella-FVE-FS- (2d 46 56 45 2d 46 53 2d): - Kopio 1: Sijaitsee lähellä osion alkua (yleensä muutaman sadan megatavun sisällä). - Copy 2 & Copy 3: Sijaitsee kymmeniä tai satoja gigatavuja syvemmällä osion sisällä. - Windowsin pikamuotoilu korvaa vain osion alun (käynnistyssektorin ja $MFT), jättäen kopiot 2 ja kopiot 3 -FVE-FS- BitLockerin metatietolohko (joka sisältää salatun volyymipääavaimesi VMK ja Full Volume Encryption Key FVEK) 100 prosenttia ehjä.

2. Microsoftin sisäänrakennetun ohjelman käyttäminen repair-bde.exe työkalu vioittuneen BitLocker-taltion salauksen purkamiseen¶

1. Avaa Järjestelmänvalvojan komentokehote (cmd.exe) Windows 10/11:ssä (tai käynnistys Windowsin palautus-USB:sta).
2. Liitä toinen tyhjä ulkoinen kiintolevy (E:) tarpeeksi suuri pitämään salauksen puretun osion.
3. Juokse repair-bde tarkistaaksesi vioittunut BitLocker-asema (D:) eloonjääneille -FVE-FS- metatietolohko ja kirjoita salaus purettu asema ulos E::
4. Jos avaat lukituksen 48-numeroisella BitLocker-palautussalasanalla:

   repair-bde D: E: -rp 111111-222222-333333-444444-555555-666666-777777-888888 -LogFile C:\repair_log.txt
   

5. Jos avaat BitLocker-To-Go-USB-aseman lukituksen käyttäjän salasanalla:

   repair-bde D: E: -pw -LogFile C:\repair_log.txt
   

6. Kerran repair-bde lopettaa sektoreiden salauksen purkamisen E:, jos sisäinen NTFS käynnistyssektori tai alku $MFT aiempi Quick Format, suorita DMDE, UFS Explorer tai TestDisk nyt purettua asemaa vastaan E:.

Vaihe 5: Vaiheittainen palautus verkkotunnukselle Cryptomator Pilviholvit (masterkey.cryptomator)¶

Toisin kuin VeraCrypt, LUKS, ja BitLocker (joka salaa koko levykuvan lohko lohkolta), Cryptomator salaa yksittäiset tiedostot kansiorakenteen sisällä (d/XX/XXXXXXXXXXXXXXXXXXXXXXXX.c9r) suunniteltu Dropboxille, Google Drivelle, OneDrivelle ja iCloudille.

1. Kiinnitys "Invalid Masterkey / Vault Config" tai puuttuu masterkey.cryptomator¶

Jokainen Cryptomator-varasto riippuu kahdesta pienestä JSON-tiedostosta varastokansion juuressa: vault.cryptomator (joka tallentaa JWT-holvin kokoonpanon ja salausyhdistelmän) ja masterkey.cryptomator (joka tallentaa sinun scrypt-kääritty 256-bittinen salauksen pääavain ja 256-bittinen HMAC Pääavain). - Korjaus 1: Palauta alkaen masterkey.cryptomator.bkup: Joka kerta kun avaat onnistuneesti Cryptomator-varaston lukituksen, Cryptomator kirjoittaa automaattisesti vahvistetun varmuuskopion nimeltä masterkey.cryptomator.bkup aivan vieressä masterkey.cryptomator. Jos pilvisynkronointiristiriita on vioittunut masterkey.cryptomator (nollatavuinen tiedosto tai osittainen JSON), kopioi masterkey.cryptomator.bkup kohtaan masterkey.cryptomator. - Korjaus 2: Käytä pilvipalveluntarjoajasi 30 päivän tiedostoversiohistoriaa: Kirjaudu Google Driven verkkokäyttöliittymään (Manage versions), Dropbox (Version history) tai OneDrive (Version history), napsauta hiiren kakkospainikkeella masterkey.cryptomator ja vault.cryptomatorja palauta versio ennen vioittumista. - Korjaus 3: Suorita sisäänrakennettu Cryptomator "Health Check" pelastamaan orvot .c9r tiedostot: Jos varastosi lukitus avautuu salasanallasi, mutta kansiot näyttävät tyhjiltä, ​​koska pilvisynkronointivirhe vioitti dir.c9s hakemisto-osoitintiedosto, napsauta Cryptomatorissa Vault Options -> Health Check. Terveystarkastus skannaa joka kerta d/XX/ alikansio orvoille salatuille .c9r tiedostot, joiden päähakemistolinkki katkesi ja muodostaa automaattisesti uudelleen Cryptomator_Recovery lukitsemattoman varastosi sisällä oleva kansio, joka sisältää kaikki pelastetut tiedostosi.

Alueelliset hätänumerot ja viraston protokollat¶

Vaikka vioittunut salattu säiliö henkilökohtaisessa tietokoneessa on tekninen tietojen palauttamisen hätätilanne, kryptografiset lukitukset, jotka vaikuttavat sairaaloihin, kuntien infrastruktuuriin, oikeuden määräyksen alainen oikeudellinen löytö tai säännellyt henkilötiedot (GDPR / HIPAA) voi vaatia muodollisen tapahtumaraportoinnin:

• Yhdysvallat ja Kanada:
• Hätä-Henkiturvallisuus / kriittisen infrastruktuurin katkos: Soita 911 jos salatun tietokannan vika vaikuttaa potilaan hoitoon tai fyysisiin turvatoimiin.
• Kyberturvallisuuden ja infrastruktuurin turvallisuusvirasto (CISA) (Yhdysvallat): Jos taltiootsikon vioittumisen aiheutti tuhoisa pyyhin tai kiristysohjelmahyökkäys LUKS / BitLocker / VeraCrypt otsikot, ilmoita välittömästi CISA:lle osoitteessa 1-844-Say-CISA (1-844-729-2472) ja FBI:n Internet Crime Complaint Center (ic3.gov).
• HIPAA / säänneltyjen tietojen saatavuus: Yhdysvaltain terveys- ja henkilöstöministeriön alaisuudessa (HHS) Kansalaisoikeustoimisto (OCR) opastus, pysyvä pääsy varmuuskopioimattomiin salattuihin sähköisiin suojattuihin terveystietoihin (ePHI) korruption tai kiristysohjelmien vuoksi edellyttää arviointia HIPAA Breach & Contingency Plan -sääntöjen mukaisesti (45 C.F.R. § 164.308(a)(7)).
• Iso-Britannia:
• Hätäpalvelut: Soita 999 (tai 101 ei-hätäpoliisin ilmoittamiseen).
• Tiedostopäällikön toimisto (ICO) - Yhdistyneen kuningaskunnan GDPR:n käytettävyyden loukkaukset: Yhdistyneen kuningaskunnan GDPR:n artiklan 32 ja 33 mukaan henkilötietojen pysyvä vahingossa tapahtuva saatavuuden menetys (kuten palauttamaton salattu taltio ilman varmuuskopiota) luokitellaan henkilötietojen tietoturvaloukkaukseksi ja saattaa edellyttää ilmoitusta ICO:lle (0303 123 1113) 72 tunnin kuluessa.
• Euroopan unioni:
• Hätäpalvelut: Soita 112 kaikissa EU-maissa.
• ENISA ja kansalliset tietosuojaviranomaiset (DPAs): Seuraa Euroopan tietosuojaneuvostoa (EDPB) Ohjeet 9/2022 henkilötietojen tietoturvaloukkausilmoituksesta saatavuuden menettämisestä, kun salausavaimet tai taltioiden otsikot tuhotaan ilman varmuuskopiota.
• Australia ja Uusi-Seelanti:
• Hätäpalvelut: Soita 000 Australiassa tai 111 Uudessa-Seelannissa.
• Australian Cyber Security Center (ACSC): Soita 1300 CYBER1 (1300 292 371) yritysten tai valtion salaushäiriöiden avustamiseen.
• Intia ja Aasian ja Tyynenmeren alue:
• Hätäpalvelut: Soita 112 Intiassa (tai 1930 tietoverkkorikollisuustapauksissa; kattamat yritystapahtumat CERT-In ajo-ohjeet on ilmoitettava 6 tunnin kuluessa incident@cert-in.org.in).

Usein kysytyt kysymykset¶

Miksi VeraCrypt sanoo "Väärä salasana tai ei VeraCrypt-taltio", kun olen 100% varma, että salasanani on oikea?¶

Koska VeraCrypt-volyymit on suunniteltu siten, että niitä ei voi erottaa satunnaisesta kohinasta (todennäköinen kiellettävyys), VeraCrypt tekee ei tallenna selvätekstiotsikko, jossa lukee "Olen VeraCrypt-taltio". Sen sijaan, kun napsautat Mount, VeraCrypt ottaa salasanasi ja johtaa otsikon salauksenpurkuavaimen kautta PBKDF2, purkaa taltion ensimmäiset 512 tavua ja tarkistaa, ovatko tavut 64 kohtaan 67 puretusta lähdöstä kirjoita ASCII-sana VERA (ja ohittaa a CRC-32 tarkistussumma). Kirjoititko väärän salasanan tai tiedoston/osion ensimmäiset 512 tavua ylikirjoitettiin levyvirheen tai Windowsin osiotyökalun takia, salauksen purettuja tavuja ei oikeinkirjoiteta VERA - joten VeraCrypt näyttää täsmälleen saman virheilmoituksen molemmille. Testaa asennus aina kanssa Kiinnitysvaihtoehdot -> Käytä taltioon upotettua varmuuskopiointiotsikkoa tarkistettu ensin.

Jos suoritin vahingossa "Pikamuotoilun" VeraCrypt- tai BitLocker-asemassani Windowsissa, ovatko kaikki tiedostoni poissa?¶

Ei - 99 prosenttia salatuista tiedostoistasi ovat edelleen ehjiä, jos lopetat kirjoittamisen levylle välittömästi. A Windows Nopea muotoilu kirjoittaa vain uuden salaamattoman NTFS tai exFAT käynnistyssektori ja tyhjä päätiedostotaulukko (MFT $) osion muutaman ensimmäisen megatavun aikana. On a VeraCrypt osio, joka pyyhkii ensisijaisen otsikon tavusta 0, mutta jättää upotetun varmuuskopion otsikon osion lopussa täysin koskemattomaksi. Kun olet asentanut VeraCrypt-osion vain luku -tilassa käyttämällä sulautettua varmuuskopion otsikkoa (tai suorita korjaus-bde kohdassa a BitLocker osio käyttämällä sen säilyvää keskikohtaa/päätä -FVE-FS- metatietolohkot), voit skannata salauksesta puretun virtuaalisen taltion TestDisk, DMDE, tai UFS Explorer palauttaaksesi koko kansiopuun toissijaisen hakemiston kautta $MFTMirr tai jäljellä MFT $ levyjä.

Toimiiko Linux LUKS (cryptsetup) onko levyn lopussa upotettu varmuuskopiootsikko, kuten VeraCryptillä?¶

Ei - ja tämä on kriittinen ero jokaisen Linux-käyttäjän on tiedettävä. Legacy LUKS1 siinä on vain yksi otsikko ja yksi sarja avainpaikkoja osion alussa (nolla varmuuskopiootsikkoa levyllä). Moderni LUKS2 (oletus Ubuntu 20.04 / RHEL 8 / Debian 10 jälkeen) tallentaa Toissijainen binaari- ja JSON-metatietojen otsikko (SKB2\xba\xbe) tavusiirrolla 0x4000 (16 kt) heti ensisijaisen otsikon jälkeen klo 0x0000 - joka säästää vain sektorin 0 pyyhittiin pyyhkeet - mutta LUKS2 EI kopioi salattua avainpaikkamateriaalia (0x8000 kohtaan 16 Mt) levyn lopussa. Jos ensimmäiset 2-16 megatavua a LUKS osio kirjoitetaan päälle ja asema ei ole tällä hetkellä auki RAM-muistissa, ainoa tapa palauttaa asema on ulkoisesta tiedostosta, joka on luotu etukäteen cryptsetup luksHeaderBackup.

Entä jos VeraCrypt-taltioni liitetään varmuuskopion otsikon kanssa, mutta Windows sanoo "Sinun on alustettava levy asemassa Z: ennen kuin voit käyttää sitä"?¶

ÄLÄ napsauta Muotoile. Juhli sen sijaan: sitä tosiasiaa, että VeraCrypt liitti aseman asemakirjaimeen Z: todistaa, että salasanasi on hyväksytty ja 512-bittinen XTS-AES Pääavain purkaa nyt aktiivisesti koko aseman salausta reaaliajassa. Windows valittaa vain, koska sisäinen tiedostojärjestelmän ensimmäinen sektori (sijaitsee tavusiirrossa 131,072 osion) vaurioitui myös ensisijaisen VeraCrypt-otsikon vioittamisesta. Jätä äänenvoimakkuus asennettuna Z: VeraCryptissä (vain luku -tilassa), avaa DMDE, TestDisk, tai UFS Explorerja valitse asennettu virtuaalinen asema Z: (ei raaka fyysinen levy.). Palautusohjelmisto lukee välittömästi puretut tiedostosi ja kopioi ne turvallisesti.

Voinko palauttaa VeraCrypt- tai LUKS-taltion, jos muistan 90 % salasanastani (esim. tiedän perussanat, mutta unohdin mitkä symbolit tai numerot kirjoitin isolla)?¶

Kyllä, jos Volume Header (tai Backup Header) on ehjä ja tiedät salasanasi rakenteen. Toisin kuin pääavaimen otsikon (joka on satunnainen 512-bittinen avain, jota ei voi koskaan pakottaa raa'asti) menettäminen, osittain muistettu ihmissalasana voidaan murtaa offline-tilassa käyttämällä Hashcat mukautetulla säännöllä tai maskihyökkäyksellä purettuja otsikkotavuja vastaan: for VeraCrypt, pura ensimmäinen 512 tavua ensisijaisesta otsikosta (dd if=container.hc of=vc.hash bs=512 count=1tai poimi tavut Loppu - 131072 varmuuskopion otsikkoa varten) ja suorita hashcat -m 13721 (SHA-512 + AES); varten LUKS, pura ensimmäinen 2 Mt kohtaan 16 Mt otsikko ja käyttö hashcat -m 14600 (LUKS1) tai -m 29511 / 29541 (LUKS2).

Kuinka tarkistan, onko SSD-levyni TRIM komento tuhosi vioittuneen salatun säilöni?¶

Jos salattu asemasi on a tiedostosäiliö (.hc) istut aktiivisella SSD-levyllä ja poistit sen vahingossa .hc tiedosto (ja käyttöjärjestelmä julkaisi rivin TRIM), allokoimattomat lohkot voidaan nollata. Jos kuitenkin salattu asemasi on a raaka salattu osio tai täysi levy (`VeraCrypt` laitteen isännöimä, `LUKS`, tai `BitLocker`), SSD-ohjaimella ei ole aavistustakaan, mitkä salatut sektorit ovat "vapaita", ellei tiedostojärjestelmän liitin lähetä aktiivisesti hylätä / TRIM komento salauskerroksen kautta (itse asiassa VeraCrypt estää TRIM oletuksena ei-järjestelmälevyille salaussuojausta varten ja Linuxissa LUKS lohkot TRIM läpikulku, ellei salli-hylkääminen lisättiin nimenomaisesti /etc/crypttab).

Aiheeseen liittyviä oppaita¶

• BitLocker-, FileVault- ja LUKS-salauksen palautusavaimen lukitus ja TPM-nollaus
• Vahingossa rm -rf tai Shift-Delete Linuxissa, macOS:ssä tai Windowsissa: välitön vain luku -uudelleenasennus
• Kiintolevyvika ja tietojen palautus
• Tiedoston vahingossa poisto, alustettu asema ja valokuvien palautus
• Salasanahallinnan lukitus, pääsalasanan menetys ja varaston palautus
• Hätänumerot maittain

Lähteet ja virallinen ohje¶

• National Institute of Standards and Technology (NIST) (Yhdysvallat): Erikoisjulkaisu 800-38E: Suositus lohkosalauskäyttötapoille: XTS-AES Tallennuslaitteiden ja SP:n luottamuksellisuustila 800-111: Tallennussalaustekniikoiden opas.
• IDRIX (veracrypt.fr): VeraCryptin virallinen tekninen dokumentaatio - Volumeformaatin määritykset, ensisijaisten ja sulautettujen varmuuskopioiden tavupoikkeamaasettelu (Bytes 0-65535 vs End-131072), ja otsikon palautusmenettelyt.
• Red Hat & The cryptsetup / LUKS Projekti (gitlab.com/cryptsetup/cryptsetup):LUKS2 On-Disk Format -määritykset (ensisijainen LUKS\xba\xbe ja toissijainen SKB2\xba\xbe Binaari/JSON-otsikkoarkkitehtuuri ja luksHeaderBackup pöytäkirjat).
• Microsoft Learn (learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/): BitLocker-asemasalauksen tekninen yleiskatsaus, tarpeeton -FVE-FS- Metatietojen validointi ja repair-bde Komentoriviviittaus.
• Skymatic GmbH (docs.cryptomator.org): Cryptomator Security Architecture (scrypt Masterkey Derivation, masterkey.cryptomator.bkup Palautus ja Vault Health Check -määritykset).