Стратегия шифрования диска

Question

Я только что заказал новую машину. Старый не зашифрован, но прежде чем я получу новый, я хотел спросить о стратегии нового шифрования. Мой главный страх - потерять пароль и сделать систему недоступной для себя.

Итак, у меня есть моя основная машина, на которой будет работать Windows 8, резервные жесткие диски (в настоящее время моей основной машиной является ноутбук, так что это USB), и мое устройство Android. У меня также есть yubikey, но я не пользуюсь им сейчас.

Я хочу, чтобы основная машина спрашивала пароль диска, прежде чем я смогу загрузиться Как я это сделаю, пока не решено, но я думаю, что это не играет роли для моего вопроса. Второй - пароль для учетных записей пользователей. Обычно это будет только мой аккаунт, но, возможно, будет гостевой аккаунт. Тогда резервные жесткие диски тоже должны быть зашифрованы. И, наконец, устройству Android нужен еще один пароль.

Итак, есть несколько паролей, которые должны быть длинными и не могут быть забыты. Yubikey может хранить один статический пароль, а второй слот можно использовать для двухфакторной аутентификации для моей учетной записи windows, но как я могу безопасно хранить другие пароли? Они должны быть длинными, но я не хочу каждый раз вводить пароль для внешних дисков.

Моя текущая идея заключается в следующем: машина запускается, и я позволил yubikey ввести статический пароль для расшифровки основного диска (возможно, для truecrypt или чего-то еще). Загрузка Windows, теперь я могу использовать 2-факторную аутентификацию для входа в систему. Сценарий, запущенный после входа в систему, может затем ввести пароль для внешних дисков и смонтировать их. (Что будет, пароль будет храниться на основном жестком диске.)

Это безопасно, или есть лучший способ сделать?

(Надеюсь, я объяснил это хорошо, и вопрос подходит здесь.)

Answer 1

Здесь есть несколько вопросов.

Во-первых, я не верю, что TrueCrypt будет работать с Windows 8.1. Скорее, он работает, но не может быть использован для шифрования загрузочного раздела из-за проблем с UEFI BIOS. Если у вас есть W8.1 Pro или Enterprise, вы можете использовать Bitlocker. В противном случае вам понадобится другой платный инструмент.

@JKM уже упоминал проблему со скриптом.

Лучшим способом было бы использовать что-то вроде Keepass для хранения паролей. Вам все равно придется разобраться с паролем загрузочного диска, паролем Windows и паролем Keepass. Но вы можете использовать Keepass для запуска сценариев, которым можно безопасно передавать идентификатор пользователя / пароль. Так что Keepass сохранит ваши пароли USB-дисков и сможет монтировать диски.

Я использую что-то подобное. У меня есть несколько файлов Truecrypt, которые я монтирую как виртуальные диски, когда они мне нужны, в Keepass есть записи, которые автоматически монтируют файлы как диски, когда они мне нужны. Мне нужно только запомнить пароль для Keepass.