USB-minne med dolda kataloger

Dölj en krypterad container. Truecrypt?

Partitionerar du en extra partition med t.ex ext2 som filsystem så kommer du få ett h-e att läsa det i windows.
Testa gärna med ett sdkort med en image för installation av raspberry pi.

Sedan kan du förstås kryptera dina filer.

Vettig efterföljare till truecrypt är att använda veracrypt (kommer från samma source-bas som truecrypt men är förbättrad i flera avseende när det gäller säkerhet).

Det flesta krypteringsmiljöer brukar vara OS-specifika men just truecrypt och senare veracrypt med för använda OS kompatibla filsystem är en av de fåtal krypteringsmiljöer som finns i flera OS-miljöer och också med öppen källkod.

För att ha någon styrka mot attack så måste passorden idag ha minst 12 helt slumpmässigt framtagna tecken, nummer och symboler liknande. Ju>k6U&u;JcU - har det minsta igenkänningsfaktor eller möjlig att lära sig utantill utan plågsam träning och massor av repetitiva övningar, så är passordet kraftigt försvagat.

Alternativet för att lättare att komma ihåg är att använda passfraser - som enligt diceware kan vara liknande "iskub-dok-tanke-talman-io-ponton" vilket är betydligt lättare att lära sig utantill och har ungefär samma attacktålighet som tidigare nämnda 12 slumpmässiga tecken med en nyckelspace på 221,073,919,720,733,360,000,000 alternativ och man kommer igenom till 50% efter 3505 år vid 1000 miljarder tester i sekunden

Tror ärligt att på internet öppet skriva sin egen taktik för lösenord är mer fara, då det enklaste och snabbaste sättet att knäcka ett lösenord är att känna personen som gjort det.

security by obscurity ger bara falsk säkerhet

Därför måste man välja metoder så att även denna faktor försvinner för att det är helt enkelt för många val att prova igenom _även_ om man känner personen i fråga och även om denne har redovisat sitt sätt att skapa sina passord.

Det visar om inte alla läckta passordslistor som finns att upp till 70% av dessa kan knäckas relativt enkelt och att det är bara några få % av dessa som hör till avdelningen ' i stort sett omöjlig' - min föregående post hör till avdelningen 'i stort sett omöjlig' även om man känner personen i fråga och vet hur denne snickrar fram sina passord.

kärnan i det hela är att man själv inte snickrar ihop sin passord/passfras - man låter en bra slumtalsgenerator göra det åt en och acceptera resultatet den spottar ut även om den är ovänlig och taggig att lära sig utantill - och det viktiga är att det är tillräckligt många tecken eller ord i sekvensen

---

som en liten utmaning så lägger jag 2 st sha224 summor (md5 är för vek och har kollision vid mindre än 2^64, passordet har 77.5 bitar entropi vilket innebär att det är md5 som kraschar först med att spotta ut samma hash för olika indata, medans sha224 har 2^112 bit och har större entropi än passordet)

Den ena är tillverkad av en sekvens från https://www.rempe.us/diceware/ och 6 ord

Den andre tillverkad av https://www.passwordcard.org/en och där ur en rad, kolumn eller annan ordning tagit ut 12 tecken ur kortet.

givetvis använder jag inte dessa i någon sammanhang utan genererats och framtagits enbart för denna övning.

Sekvensen är körd endast en gång i sha224sum (i linux), är inte saltad med något värde, det är ingen radavslut
(i riktig inloggningsprocess så saltas passordet med ett unik slumptal för att försvåra för rainbow-attack, re-hashas många tiotusentals gånger idag för att det skall ta rejält tid per test för att försvåra off-line attack om databasen blir stulen och i online ofta också begränsat antal försök eller att varje misslyckat försök öka tiden innan man får prova igen)

Den ena sha224sum-hashen :

06edb5ff046099ebe7cdf992831e963eb681b66c7e793e965b388691

den andra sha224sum-hashen:

012ffdd09c5b70f44dbb48ff1813021e6e7361a3384a9569566da331

vilken som är passordet och vilken som är passfrasen, tja det är första beslutet att ta i passordshackningens knaggliga väg.

Här har jag ändå underlättat för attackeraren och redovisats vilka källor passorden/passfrasen har genererats, hur många ord respektive bokstäver, hur det har hashats. dvs. samma status som om någon har kartlagt en person helt och fullt förutom att komma över själva passordet/passfrasen...

Beräknad attacktid är ca 3000 år i genomsnitt för 50 procent genomräknad nyckelrymd om man gör 1000 miljarder tester i sekunden på hashsumman med olika gissningar, skulle någon på det här forumet som antar utmaningen och klara det inom några veckor - ja då skall jag verkligen tänka om min strategi när det gäller passord/passfraser, och det skulle också visa på verkligen bekymmersamma hål i Sha224 som skulle gen eko i hela internet

tillägg:

tala om trollen - sha-1 är tydligen knäckt i februari 2017 bevis https://shattered.it/

där finns det 2 st pdf att ladda ned med klart skilda innehåll som ger exakt samma sha-1 hash.

Där jämför man att en md5-summa knäcker man på 30 sekunder med en modern mobiltelefon,

sha-1 knäckte man med 110 GPU-år, brutal force på sha-1 om allt skulle gå som tänkt skulle ha krävt 12000000 GPU-år.

det är 109000 gånger fortare än vad som var tänkt...

Det betyder att det börja flåsa i baken även på sha224, sha256, sha512 och vid ny design så bör man nog titta på sha-3-familjen

---

Detta betyder inte att det är enkelt att prova fram en användares passord för att få dessa i klarspråk, men man har fått fallet att det är många alternativa passord/passfraser som skulle ge samma hashsumma och eftersom inloggningssystem tar passordet från användaren, hashar den enligt olika procedurer och jämför med hashsumman med databasen eller avkryptera den riktiga kryptonyckeln så har man inte längre en unik nyckel utan det finns flera nycklar att leta fram för den som verkligen anstränger sig.

Och sen går de bakvägen via Yahoo, Prisjakt eller andra siter och där var all den säkerhet borta. Tror ärligt att jag skiter fullständigt i alla "super lösenord" då det alltid finns vägar runt om (eller tror du NSA inte kan ta ditt lösen/kryptering med sin kvantdator?)

När många siter dessutom har tvivelaktig säkerhet (ta tex Dustin som hade de i klartext), så faller hela din säkerhetsteori. Det är mao sällan värt det, då den enda som påverkas är du som måste kämpa längre med 100 lösenord än datorn de ha för att knäcka det med ändå, fast inte genom bruteforce.

Enda jag ens bryr mig om att skydda är min E-mail, då den enkelt kan återställa alla andra "säkrade" lösenord du har superslumpat fram.

EDIT: Oavsett så verkar ingen ha gett TS något "alternativ".
En tidigare tråd ställde en liknande fråga, och jag undrar om samma lösning för @claxx kan användas. Dvs skapa en Virtuell HDD och sen kryptera den med bitlocker tex.

Är visserligen inte en mapp, men det kräver inte någon köpe-mjukvara, du får kryptering, och den går att ansluta som egen separat disk.