Come proteggere il contenuto dell'hard disk con VeraCrypt e Bitlocker

Se si lavora in ambienti frequentati da molte persone, non bisogna correre il rischio che dati personali ed informazioni sensibili possano cadere nelle mani sbagliate. Si pensi, ad esempio, al contenuto di un hard disk rimovibile che venisse perso oppure rubato.
Il nuovo Regolamento generale sulla protezione dei dati UE, attualmente in fase di ultimazione ed approvazione, probabilmente già a partire dal prossimo anno imporrà alle imprese di adottare una serie di misure di sicurezza che prevedono la cifratura dei dati memorizzati sui notebook, sugli hard disk esterni e su altri supporti: Sophos punta un faro sulle nuove norme per la privacy.

Ma com’è possibile proteggere il contenuto degli hard disk, anche esterni, o di unità rimovibili? Com’è possibile fare in modo che i dati memorizzati su tali supporti siano leggibili solo ed esclusivamente dal legittimo proprietario e non da parte di terzi?

VeraCrypt è un software libero, opensource, che può essere considerato come il successore diretto dello storico TrueCrypt.
Come l’araba fenice, VeraCrypt fa risorgere TrueCrypt dalle sue ceneri dopo che lo sviluppo dell’applicazione è stato bruscamente interrotto: Alternative a TrueCrypt per creare unità crittografate.

VeraCrypt è un fork di TrueCrypt, ossia un progetto fatto derivare dal codice sorgente dell’applicazione originale. Rispetto a TrueCrypt, VeraCrypt utilizza alcune migliorie che consentono di fidare su un livello di protezione ancor più elevato.
Nello specifico, gli autori di VeraCrypt affermano di cifrare le partizioni di sistema utilizzando l’algoritmo PBKDF2-RIPEMD160 unitamente con 327.661 iterazioni, quando TrueCrypt ne eseguiva solamente 1.000. Per creare volumi cifrati (vedere poco più avanti) e per crittografare le normali partizioni, VeraCrypt usa RIPEMD160 con 655.331 iterazioni (anziché 2.000 nel caso di TrueCrypt)
e 500.000 nel caso degli algoritmi SHA-2 e Whirlpool.

Come funziona VeraCrypt e come si usa per proteggere il contenuto di hard disk o singole cartelle

Il funzionamento di VeraCrypt ricalca esattamente quello del noto TrueCrypt. Anche l’interfaccia è praticamente identica.

VeraCrypt consente di creare dei contenitori (“volumi”) crittografati all’interno dei quali è possibile salvare file personali e dati sensibili. I volumi cifrati possono essere creati su un disco fisso locale oppure anche su qualunque hard disk rimovibile, chiavetta USB, memoria flash e così via. Bisognerà solamente aver cura di “montare” il contenitore dopo aver connesso l’unità esterna e di “smontarlo” prima della sua rimozione.

In aggiunta, poi, l’applicazione consente di proteggere il contenuto dell’hard disk e delle unità rimovibili crittografandolo integralmente.

Per crittografare e proteggere un hard disk o un’unità rimovibile (chiavette USB, dischi esterni,…) è sufficiente seguente alcuni semplici passaggi:

1) Installare VeraCrypt selezionando l’opzione Install.
L’opzione Extract può essere scelta nel caso in cui non si abbia intenzione di proteggere la partizione di sistema (quella che ospita il sistema operativo) od il disco di sistema.

Scegliendo Extract si potranno comunque creare contenitori cifrati e proteggere partizioni non di sistema.
In questo caso, i file necessari per il funzionamento di VeraCrypt saranno salvati in una cartella di propria scelta ed il programma potrà essere usato come software “portabile”.

Nel caso in cui si decidesse di installare VeraCrypt sul sistema, l’applicazione creerà – per impostazione predefinita – un punto di ripristino.

2) Collegare l’unità rimovibile o l’hard disk da proteggere.

3) Avviare VeraCrypt.

4) Cliccare sul pulsante Create volume.

5) Fare clic su Encrypt a non-system partition/drive quindi seguire le istruzioni.

In questo modo si potrà proteggere il contenuto di un hard disk esterno, di un’unità rimovibile o di una qualunque partizione che non ospiti il sistema operativo.

6) La successiva schermata consente di optare tra la creazione di un volume VeraCrypt Standard ed un volume VeraCrypt nascosto.

Dopo aver crittografato, ad esempio, tutto il contenuto di un’unità rimovibile, ogni volta che si collegherà quest’ultima al computer non accadrà nulla. Per accedere al contenuto dell’unità di memorizzazione, bisognerà necessariamente avviare VeraCrypt e “montarla” utilizzando l’interfaccia dell’applicazione.

Prima di creare il volume cifrato nell’unità prescelta (da specificare nella successiva schermata), comunque, è bene creare una copia di backup del contenuto della stessa. Almeno per le prime volte che si utilizza VeraCrypt.

I volumi cifrati potranno poi essere montati (per accedere al rispettivo contenuto) o smontati (per renderne impossibile l’accesso da parte delle persone non autorizzate) seguendo la stessa procedura illustrata a suo tempo nel caso di TrueCrypt: TrueCrypt: montare rapidamente i volumi cifrati creati all’interno dei dischi rimovibili.

Sia nel caso in cui si volesse proteggere un’unità rimovibile od un hard disk esterno, sia nel caso in cui si preferisse creare un volume cifrato “contenitore” (opzione Create an encrypted file container), si dovrà scegliere un algoritmo per la cifratura dei dati ed una parola chiave (passphrase) che si avrà cura di custodire gelosamente.
Maggiori informazioni, a tal proposito, sono contenute ad esempio nell’articolo Come conservare gli archivi delle password in un’unità crittografata con TrueCrypt.

Proteggere la partizione di sistema con VeraCrypt

L’opzione Encrypt the system partition or entire system drive, utilizzabile solamente installando VeraCrypt, consente di proteggere il contenuto del disco fisso ove è installato il sistema operativo crittografandone tutto il contenuto.

Crittografando la partizione di sistema o l’intero disco fisso ove è installato il sistema operativo, il contenuto dell’hard disk non sarà leggibile da parte di terzi che non fossero in possesso della password personale.

La protezione della partizione o del disco di sistema consente di mettersi al riparo da qualunque rischio nel caso in cui, ad esempio, il notebook dovesse cadere nelle mani di utenti non autorizzati.
Tutti i file, compresi quelli temporanei, i file utilizzati per la gestione della procedura di ibernazione (Accendere e spegnere automaticamente il computer), i file di swap e così via saranno automaticamente e completamente cifrati da parte di VeraCrypt.

L’utilizzo della crittografia sulla partizione o sul disco di sistema implica l’attivazione di un meccanismo di autenticazione pre-boot.
Prima del caricamento del sistema operativo (ad esempio di Windows), VeraCrypt richiederà di specificare la passphrase ossia la parola chiave personale scelta al momento della cifratura dell’unità.

Prima di procedere, suggeriamo – a mero titolo precauzionale – di creare un’immagine completa del disco fisso utilizzando, ad esempio, un software gratuito come AOMEI Backupper (Backup del sistema con AOMEI Backupper Standard 2.0).
L’immagine dovrà essere memorizzata su un supporto rimovibile o su un altro sistema in modo tale da poter essere agevolmente ripristinata in caso di problemi.

Successivamente, si potrà cliccare sul pulsante Create volume quindi selezionare le opzioni Encrypt the system partition or entire system drive e Normal.

La schermata seguente consentirà di scegliere se crittografare solamente la partizione contenente il sistema operativo oppure l’intero disco fisso.

I passaggi successivi permetteranno di stabilire se si voglia o meno crittografare anche l’eventuale area, posta in chiusura del disco fisso, utilizzata dai sistemi RAID, da strumenti per il ripristino del sistema, per la risoluzione di problemi, per la diagnostica e così via.

Infine, VeraCrypt obbligherà l’utente a creare un disco di emergenza (Rescue Disk), utilizzabile per ripristinare il normale avvio del sistema operativo nel caso in cui si dovesse dimenticare la passphrase o qualora si dovessero verificare malfunzionamenti.

Utilizzare Bitlocker per proteggere il contenuto dell’hard disk

Nelle edizioni Ultimate ed Enterprise di Windows Vista e Windows 7, nelle edizioni Pro ed Enterprise di Windows 8 e Windows 8.1, nei sistemi server Windows Server 2008 e successivi, il sistema operativo Microsoft offre la possibilità di crittografare e proteggere il contenuto dell’hard disk utilizzando Bitlocker.

Per abilitare Bitlocker sulla partizione di sistema, è sufficiente farvi clic con il tasto destro del mouse dall’interfaccia di Windows quindi scegliere il comando Attiva Bitlocker.

Nel caso in cui dovesse essere visualizzato il messaggio d’errore seguente, si potrà risolvere impostando una policy di gruppo.

Utilizzando la combinazione di tasti Windows+R, nella casella Apri, bisognerà digitare gpedit.msc e premere Invio.

Nella finestra Editor criteri di gruppo locali bisognerà quindi selezionare, in sequenza, Criteri computer locale, Configurazione computer, Modelli amministrativi, Componenti di Windows, Crittografia unità Bitlocker, Unità del sistema operativo.

Cliccando due volte sulla regola Richiedi autenticazione aggiuntiva all’avvio, nel pannello di destra, bisognerà selezionare l’opzione Attivata assicurandosi poi che la sottostante casella Consenti Bitlocker senza un TPM compatibile sia correttamente spuntata.

È importante evidenziare che i sistemi Windows Vista e Windows 7 non permettono l’abilitazione di Bitlocker in assenza del chip TPM (Trusted Platform Module).

Durante la fase di configurazione della funzionalità Bitlocker, Windows richiederà se – al boot del computer – il sistema debba essere sbloccato mediante la connessione di una chiavetta USB o la digitazione di una password.

I successivi passaggi sono chiari e consentono di richiedere la crittografia dei soli dati effettivamente scritti sul disco oppure, per un maggior livello di sicurezza, anche la cifratura dello spazio libero.