TrueCrypt 實戰指南：打造軍事級加密虛擬磁碟守護核心資料

前言：為什麼選 TrueCrypt？

雖然 TrueCrypt 官方於 2014 年停止開發，但其 7.1a 版經過多方安全審計（NCC Group、Fraunhofer SIT），核心加密演算法無後門。對於無法購買 BitLocker 授權（Home 版）、需跨平台（Windows/Linux/macOS）、需隱藏卷合理否認性的用戶，TrueCrypt 仍是最佳開源選擇。本文手把手教你建立標準/隱藏卷、掛載使用、備份恢復全流程。

準備工作

• 下載 TrueCrypt 7.1a（官網已關閉，建議從 VeraCrypt 官網「Legacy Versions」 或 GitHub 經驗證鏡像獲取，SHA-256 核對）
• 安裝時選「不安裝啟動器」、取消關聯 .tc 副檔名（降低特徵碼）
• 中文化：將 Language.zh-cn 複製至安裝目錄，重啟軟體選擇語言

建立標準加密卷（適用個人專用電腦）

步驟詳解

1. 主介面選擇一個未使用磁碟機代號（如 H:）→ 點「建立加密卷」
2. 卷類型選「標準 TrueCrypt 卷」→ 下一步
3. 卷位置：
   檔案容器模式： 點「選擇檔案」→ 路徑如 D:\Data\MyVault.tc（副檔名自訂，建議 .dat/.bin 降低特徵）
   分區/裝置模式： 點「選擇裝置」→ 選整顆 USB/次要硬碟分區（資料將全毀，謹慎！）
4. 加密演算法：AES（預設）、雜湊 RIPEMD-160 → 下一步
5. 卷大小：依容量與需求輸入（如 50 GB），預留 10% 空間給檔案系統元資料
6. 密碼設定：長度 ≥ 20 字元、大小寫數字符號混合，勿用字典詞。可勾選「使用金鑰檔」額外綁定 USB 金鑰檔（雙因子）
7. 檔案系統：NTFS（支援 >4GB 單檔、權限、壓縮、EFS）或 exFAT（跨平台不支援權限）
8. 格式化：搖滑鼠 30 秒以上 增強亂數熵 → 格式化 → 完成

建立隱藏卷——合理否認性的核心

原理

外層「外部卷」存放假機密檔（真密碼 A），內層「隱藏卷」存真機密（真密碼 B）。外部卷剩餘空間實為隱藏卷空間。被脅迫輸入密碼時給 A，對方只見假資料，無法證明隱藏卷存在。

建立流程（接續上述第 2 步）

1. 卷類型選「隱藏的 TrueCrypt 卷」
2. 模式選「正常模式」（先建外部卷，再建隱藏卷）
3. 外部卷參數同標準卷，密碼設 A，放入可公開的假文件
4. 隱藏卷參數：加密演算法同外部卷，大小 ≤ 外部卷剩餘空間，密碼設 B（高強度）
5. 完成後：切勿再向外部卷寫入新檔案，否則會覆蓋隱藏卷資料！

日常掛載與使用

掛載標準卷

1. 主介面選磁碟機代號（H:）→ 「選擇檔案」選 MyVault.tc → 「掛載」
2. 輸入密碼（+ 金鑰檔）→ 確定 → 「我的電腦」出現 本地磁碟 (H:)
3. 正常讀寫、複製、編輯，所有 I/O 即時加密/解密

掛載隱藏卷

1. 同樣選檔案 → 掛載 → 輸入 隱藏卷密碼 B
2. TrueCrypt 偵測到隱藏卷標頭 → 直接掛載隱藏卷（外部卷不可見）
3. 若輸入外部卷密碼 A → 掛載外部卷（隱藏卷受保護，但外部卷寫入會損毀隱藏卷）

保護隱藏卷免受外部卷寫入破壞

掛載外部卷時，輸入密碼 A → 點「掛載選項」→ 勾選「保護隱藏卷免受損壞」→ 輸入隱藏卷密碼 B → 確定。此模式下，外部卷寫入超過可用空間會報錯，隱藏卷安全。

卸載與安全習慣

• 右鍵系統托盤 TrueCrypt 圖示 → 「卸載 H:」或「卸載所有」
• 關機/休眠/鎖定工作站前 務必完全卸載，否則記憶體殘留金鑰可被冷啟動攻擊提取
• 啟用「設定」→「偏好設定」→「登出/鎖定/螢幕保護啟動時卸載」

備份與災難恢復

• 卷標頭備份： 主介面「工具」→「備份磁碟區標頭」→ 存至離線 USB/列印紙本。標頭損壞時可用「還原磁碟區標頭」救回資料
• 容器檔案備份： 直接複製 MyVault.tc 至異地/雲端（已加密，雲端服務商無法解讀）
• 金鑰檔備份： 若使用金鑰檔，務必多地備份，遺失即永久無法掛載

常見問題與避坑

結語：加密只是開始，習慣才是防線

TrueCrypt 給你 AES-256/XTS、隱藏卷合理否認、跨平台自由，但無法保護：掛載狀態下的記憶體金鑰、螢幕截圖/鍵盤記錄器、社交工程學脅迫。養成「用完即卸、標頭異地備份、密碼金鑰分離保管、核心資料只在隱藏卷」的肌肉記憶，才能真正掌握資料主權。資料安全，始於加密，成於習慣。