Jak zaszyfrować pendrive'a w VeraCrypt — krok po kroku

W maju napisałem, dlaczego przestałem ufać programom do szyfrowania dołączanym przez producentów pendrive'ów, i obiecałem praktyczną część. Potem zrobiłem jeszcze tekst o ukrytych wolumenach, czyli o rzeczy dla wąskiej grupy. A obietnica z maja wciąż wisiała.

Więc dziś rzecz podstawowa i najbardziej praktyczna: bierzesz zwykłego pendrive'a i sprawiasz, że bez Twojego hasła jest bezużytecznym kawałkiem plastiku. Twojej uwagi wymaga to przez kilka minut — potem nośnik pracuje sam i możesz się zająć czymś innym.

Czego potrzebujesz przed startem

Pendrive, którego zawartość możesz stracić. To nie jest ostrzeżenie na wyrost — wybrany wariant kasuje wszystko, co jest na nośniku. Jeśli masz tam cokolwiek potrzebnego, najpierw skopiuj to gdzie indziej.

VeraCrypt w wersji 1.26.29 lub nowszej. Pobierz z veracrypt.io. Numer ma znaczenie: w wersjach od 1.26.6 do 1.26.28 szybkie formatowanie kontenerów plikowych zapisywało do pliku niezaszyfrowane, wyzerowane sektory w regularnych odstępach. Przy zwykłym szyfrowaniu pendrive'a nie jest to katastrofa, ale nie ma powodu zostawać na wadliwej wersji.

Program jest darmowy, otwartoźródłowy i działa na Windowsie, macOS-ie i Linuksie. Zrzuty poniżej pochodzą z polskiej wersji na Windowsie — jeśli masz angielski interfejs, nazwy podaję w nawiasach.

Czas — ale nie taki, jak myślisz. Przeklikanie kreatora to kilka minut. Potem zaczyna się formatowanie i to jest zupełnie osobna bajka: może potrwać kwadrans, może trzy godziny, zależnie od tego, jak szybki masz nośnik. Dobra wiadomość jest taka, że nie musisz przy tym siedzieć — program pracuje w tle, a komputera używasz normalnie.

Warto to zaplanować: nie zaczynaj pięć minut przed wyjściem z domu.

Kontener czy cały pendrive — co wybrać

Pierwszy ekran kreatora stawia Cię przed decyzją, która przesądza o wszystkim dalszym.

Stwórz zaszyfrowany plik (magazyn) (Create an encrypted file container) tworzy na pendrivie jeden duży zaszyfrowany plik. Nośnik działa dalej normalnie: wkładasz go do dowolnego komputera, widzisz zwykły dysk, a na nim plik, którego nikt nie otworzy bez hasła. Reszta miejsca zostaje wolna i możesz z niej korzystać jak zawsze.

Zaszyfruj bezsystemową partycję lub dysk (Encrypt a non-system partition/drive) szyfruje cały nośnik. Nic na nim nie zostaje w postaci jawnej, ale też nic się nie da z niego odczytać bez VeraCrypta.

Trzecia opcja dotyczy dysku z Windowsem i to zupełnie inna historia.

Który wybrać? Zależy od tego, co ma być chronione:

• Cały pendrive — gdy nośnik ma służyć wyłącznie do wożenia rzeczy poufnych. Zaleta: nie da się przypadkiem zapisać czegoś ważnego poza zaszyfrowanym obszarem, bo takiego obszaru nie ma. Wada: na obcym komputerze bez VeraCrypta pendrive jest bezużyteczny, a Windows zacznie namawiać do sformatowania.
• Kontener plikowy — gdy pendrive ma robić dwie rzeczy naraz: wozić dokumenty i normalnie służyć do przenoszenia zdjęć czy plików. Zaleta: elastyczność. Wada: sam widok pliku o rozmiarze dziesięciu gigabajtów mówi, że coś tam jest — co to jest, nie wiadomo, ale że jest, widać.

W tym poradniku idę wariantem drugim, czyli szyfruję cały nośnik, bo to on odpowiada na pytanie „jak zaszyfrować pendrive'a". Różnice przy kontenerze zaznaczam po drodze.

Krok po kroku: tworzenie zaszyfrowanego pendrive'a

W głównym oknie klikasz Utwórz wolumen (Create Volume). Windows poprosi o zgodę administratora — przy szyfrowaniu całego nośnika jest wymagana.

Na pierwszym ekranie wybierasz Zaszyfruj bezsystemową partycję lub dysk, a na następnym typ wolumenu.

Dalej Lokalizacja wolumenu (Volume Location). Klikasz Wybierz urządzenie… i wskazujesz swojego pendrive'a.

Sprawdź to dwa razy. Na liście widać wszystkie dyski w komputerze, a nazwy w rodzaju \Device\Harddisk3\Partition1 nie mówią nic. Jedynym pewnym wyróżnikiem jest pojemność. Jeśli masz wątpliwości, wyjmij pendrive'a, spójrz co znika z listy, włóż z powrotem.

Kolejny ekran wygląda groźnie, a jest prosty.

Stwórz zaszyfrowany wolumen i sformatuj go kasuje zawartość i buduje wszystko od zera. Zaszyfruj partycje w miejscu przepuszcza przez szyfrowanie dane, które już tam są — trwa znacznie dłużej i przy pustym pendrivie nie ma żadnego uzasadnienia.

Na ekranie Opcje szyfrowania nie zmieniaj nic. Domyślne AES i SHA-512 są w zupełności wystarczające i nie ma powodu ich ruszać, jeśli nie wiesz dokładnie po co.

Potem Hasło wolumenu. Tu jedna rzecz jest ważniejsza od wszystkich pozostałych: tego hasła nie da się odzyskać. Nie ma „przypomnij hasło", nie ma furtki serwisowej, nie ma nikogo, kto by pomógł. Zapomniane hasło oznacza, że dane przestają istnieć.

Dlatego nie wymyślaj go na kolanie. Albo wygeneruj w menedżerze haseł i tam je zapisz, albo ułóż z czterech–pięciu przypadkowych słów, które łatwo zapamiętać, a trudno zgadnąć. VeraCrypt sugeruje ponad dwadzieścia znaków i to rozsądna granica.

Formatowanie: ruchy myszą i pułapka szybkiego formatowania

Przed samym formatowaniem kreator pyta o duże pliki — czy zamierzasz trzymać na nośniku pliki większe niż 4 GB.

Program sam pisze, że to jedynie sugestia i system plików wybierzesz w kolejnym kroku. Warto to przeczytać, bo odpowiedź „Nie" prowadzi do FAT-u, a wtedy pierwszy większy film czy obraz płyty po prostu się nie skopiuje.

I dochodzimy do najciekawszego ekranu w całym kreatorze.

System plików. Dla pendrive'a wybieraj exFAT. Nie ma limitu 4 GB jak FAT, a czyta go i Windows, i macOS, i Linux. NTFS działa świetnie na Windowsie i kiepsko poza nim.

Tryb formatowania. Zostaw Pełne formatowanie. Szybkie jest bardzo kuszące, bo trwa sekundy zamiast godzin, ale pomija wypełnienie nośnika danymi losowymi — a to właśnie ono sprawia, że z zewnątrz nie widać, ile miejsca faktycznie zajmują Twoje dane. Po szybkim formatowaniu na nośniku zostają też ślady tego, co było tam wcześniej.

Uzbrój się w cierpliwość. Pełne formatowanie oznacza zapisanie całego nośnika danymi losowymi, więc trwa dokładnie tyle, ile zajmuje jednokrotne zapisanie go do końca. Ile konkretnie — zależy wyłącznie od Twojego pendrive'a: tanie nośniki na USB 2.0 zapisują kilkanaście megabajtów na sekundę, dobre na USB 3.0 potrafią dziesięć razy tyle. Różnica między dziesięcioma minutami a trzema godzinami bierze się z samego sprzętu, nie z programu.

Nie musisz tego szacować — VeraCrypt liczy za Ciebie i pokazuje na bieżąco.

Nie zaznaczaj też Dynamiczny — przy szyfrowaniu urządzenia i tak nie ma to zastosowania, a przy kontenerach powoduje, że rozmiar pliku zdradza, ile w nim naprawdę jest.

I te ruchy myszą. Program prosi, żebyś poruszał kursorem w oknie, a pasek „Losowość zebrana z ruchów myszy" rośnie. To nie jest zabawka ani pasek postępu. VeraCrypt zbiera w ten sposób entropię — nieprzewidywalność potrzebną do wygenerowania klucza. Twoje ruchy są na tyle chaotyczne, że nikt nie odtworzy ich później, a im dłużej je zbierasz, tym trudniejszy do odgadnięcia klucz. Kilkanaście sekund machania kursorem to najtańsze bezpieczeństwo, jakie kupisz w całym procesie.

Gdy pasek dojdzie do końca, klikasz Sformatuj. Program upewni się jeszcze, że wiesz o skasowaniu zawartości, i zabiera się do pracy.

Litera dysku, która przestaje działać

Po zakończeniu formatowania pojawia się komunikat, który zdecydowanie warto przeczytać — i który odpowiada za większość paniki po pierwszym zaszyfrowaniu nośnika.

Sedno jest takie: pendrive był u mnie widoczny jako dysk G: i pod tą literą już nigdy nie będzie działał. Zaszyfrowany nośnik montuje się przez VeraCrypta, który przypisuje mu inną, wolną literę.

Co widzi Windows, gdy włożysz taki pendrive? Nierozpoznany dysk. I zrobi to, co zawsze w takiej sytuacji — wyświetli komunikat, że nośnik trzeba sformatować, zanim będzie można go użyć.

Jeśli kiedykolwiek klikniesz wtedy „Formatuj", skasujesz swoje zaszyfrowane dane. Bezpowrotnie.

To jest ta jedna rzecz, którą trzeba zapamiętać z całego artykułu. Windows nie wie, że nośnik jest zaszyfrowany — dla niego to po prostu dysk bez czytelnego systemu plików. Komunikat o formatowaniu zamykasz i sięgasz po VeraCrypta.

Program mówi też, kiedy tej starej litery użyć wolno: wyłącznie wtedy, gdy chcesz się szyfrowania pozbyć i świadomie sformatować pendrive z powrotem na zwykły.

Na koniec kreator potwierdza, że gotowe.

Codzienne używanie: montowanie i odłączanie

Najprościej użyć przycisku Podłącz automatycznie (Auto-Mount Devices). Program sam przegląda podłączone nośniki, pyta o hasło i montuje ten, który da się nim otworzyć — pod pierwszą wolną literą dysku.

Ta droga jest wygodniejsza i bezpieczniejsza od ręcznego wybierania. Nie musisz szukać właściwego urządzenia na liście, na której wszystkie wyglądają jak \Device\Harddisk3\Partition1, ani samodzielnie dobierać litery — a przede wszystkim nie ma jak trafić na tę pierwotną, o której program ostrzegał akapit wyżej. Sam VeraCrypt zaleca tę metodę w komunikacie po utworzeniu wolumenu.

Po podaniu hasła trzeba chwilę poczekać — kilkanaście sekund to norma. Program celowo liczy klucz wolno, żeby utrudnić łamanie hasła metodą siłową; ta zwłoka jest tu funkcją, nie usterką.

Jeśli wolisz robić to ręcznie, zaznaczasz wolną literę na liście, klikasz Wybierz urządzenie…, wskazujesz pendrive'a i naciskasz Podłącz. Efekt jest ten sam, tylko kroków więcej.

Od tej chwili pendrive zachowuje się jak każdy inny dysk. Kopiujesz na niego pliki, otwierasz je, edytujesz — wszystko szyfruje się w locie, bez Twojego udziału i bez zauważalnego spowolnienia.

Odłączanie jest równie ważne co podłączanie. Zanim wyciągniesz pendrive'a z portu, wróć do VeraCrypta i kliknij Odłącz (albo Odłącz wszystko, jeśli masz zamontowanych więcej).

Odłączenie robi dwie rzeczy: zamyka system plików, żeby nic się nie uszkodziło, i usuwa klucz szyfrujący z pamięci. Zamontowany wolumen to wolumen otwarty — jeśli odejdziesz od komputera z podłączonym pendrivem, ochrona nie działa, bo dane są w tym momencie dostępne dla każdego, kto siądzie przed ekranem.

Co zrobić, gdy pendrive trafi do obcego komputera

Zaszyfrowanego całościowo nośnika nie otworzysz nigdzie, gdzie nie ma VeraCrypta. To cena za to, że nie widać na nim niczego.

Jeśli musisz mieć dostęp na cudzym sprzęcie, są dwa wyjścia. Pierwsze to tryb przenośny — VeraCrypta da się uruchomić bez instalacji, ale na Windowsie wymaga uprawnień administratora, więc na komputerze w pracy czy w bibliotece zwykle odpadnie. Drugie to wrócić do wariantu z kontenerem plikowym: wtedy pendrive jest normalnym nośnikiem, a zaszyfrowany jest tylko plik na nim.

I rzecz, o której łatwo zapomnieć: na obcym komputerze i tak nie masz kontroli nad tym, co się dzieje z Twoimi danymi po odszyfrowaniu. Keylogger albo złośliwe oprogramowanie zobaczą hasło i otwarte pliki tak samo dobrze jak Ty. Szyfrowanie chroni nośnik w drodze, nie chroni go w cudzym systemie.

Najczęstsze błędy i jak ich uniknąć

• Kliknięcie „Formatuj" w komunikacie Windowsa. Numer jeden. System będzie to proponował za każdym razem, gdy włożysz zaszyfrowany nośnik. Zamykasz okno i montujesz przez VeraCrypta.
• Wybór szybkiego formatowania. Kusi najbardziej właśnie dlatego, że pełne trwa długo — i psuje jedną z ważniejszych właściwości zaszyfrowanego nośnika. Zaplanuj czas zamiast iść na skróty.
• Wskazanie niewłaściwego urządzenia. Lista pokazuje wszystkie dyski. Sprawdź pojemność, zanim potwierdzisz.
• Hasło, którego nie ma nigdzie zapisanego. Nie istnieje procedura odzyskiwania. Jeśli hasło żyje wyłącznie w Twojej głowie, dane też.
• Wyciąganie pendrive'a bez odłączenia. Grozi uszkodzeniem systemu plików, a klucz zostaje w pamięci dłużej, niż powinien.
• Odpowiedź „Nie" przy pytaniu o duże pliki i pozostawienie FAT-u. Pierwszy plik powyżej 4 GB zwyczajnie się nie skopiuje.

Na koniec

Zaszyfrowany pendrive rozwiązuje jeden konkretny problem: nośnik zgubiony, ukradziony albo zostawiony w cudzym komputerze przestaje być Twoim problemem. To najprostsza rzecz z całej dziedziny i chyba najlepszy stosunek zysku do wysiłku — kilka minut Twojej uwagi jeden raz, trochę cierpliwości do formatowania, a spokój na zawsze.

Jeśli zastanawiasz się, dlaczego akurat VeraCrypt, a nie program dołączony do nośnika albo BitLocker, rozpisałem to w osobnym tekście. A jeśli Twój model zagrożenia jest poważniejszy niż zgubiony pendrive i ktoś może Cię zmusić do podania hasła, poczytaj o ukrytych wolumenach.