Pazu 薯伯伯
旅遊寫作人，為最早一批在網上連載遊記的香港人，多年來足迹遍佈歐、亞多國，在喜馬拉雅山麓、東南亞、南亞等地區生活。著有《風轉西藏》、《北韓迷宮》、《西藏西人西事》及《不正常旅行研究所》，分別在香港、北京及首爾出版。作者 Facebook：https://www.fb.com/pazukong；網誌：https://pazu.com/blog；Pazu 兒歌網：https://www.pazu.com；相集：https://www.instagram.com/pazu；Patreon 頻道：https://www.patreon.com/pazu
2020/6/18 - 10:24
零基資安訓練營（十）：簡易製作加密虛擬碟中碟
資料圖片，來源：Markus Winkler @ Unsplash
電腦加密有不同的層次，其中一種必須做，是要把整個硬盤也加密，方法很容易，Mac 用戶只需要打開系統的 FileVault 便可，Windows 的用戶則只需打開 BitLocker，就能把整個裝置加密。把系統加密之後，如果沒有開機的密碼，理論上別人即使把硬碟取出來，也難把檔案抽出。當然不是所有人也擔心自己的電腦會被強行拆開並抽出硬碟，但還有其他情況，例如將來變賣電腦，又或是電腦被狗咬，系統加了密，感覺就安心一些。
具體的操作方法很簡單，問問 Google 就可以，這裡就不多說。
👉 搜尋：Mac FileVault 2 啟動磁碟加密
👉 搜尋：Windows BitLocker 開啟裝置加密
這篇文章主要想普及的一種資安保障，是在電腦中製作另一些「虛擬加密磁碟檔案」（virtual encrypted disk）。簡單來說，就是電腦上生成一個檔案，載入並輸入密碼之後，就會成為一個新的磁盤，像個「碟中碟」。
先說為甚麼電腦本身已經用 FileVault 或 BitLocker 加密了，何以仍然要再在裡面設置一個「虛擬加密磁碟檔案」，因為當你開機輸入密碼之後，電腦中的檔案便會即時解密，若然在操作過程中電腦受到攻擊，就會有很大風險。
另一個要考慮的情況，是現在有不少人把原生的檔案同步至 Google Drive 或 Dropbox 作備份，用起來雖然方便，但這些服務便能讀取你的檔案內容。而如果你的 Google Drive 是由院校或公司提供（即 Google for Education 或 Google Enterprise），管理員雖然看不到檔案內容，但卻可以看到檔案名字，這是另一層的隱患。所以，除了裝置要加密，還需要加裝一個碟中碟，方為上策。
虛擬碟中碟，我推介用 VeraCrypt。
官方地址：https://www.veracrypt.fr/en/Downloads.html
免費，開源，跨三大電腦平台，在資安界裡評價一直很好
留意：一定要從官方網站下載，不要從第三方網站下載
這裡示範如何做一個 10GB 大小的虛擬加密碟中碟。
安裝 Veracrypt 後，在主畫面點擊 Create Volume，出現 Creation Wizard，跟著一步一步去做。
- 選擇 Create an encrypted file container，按 Next。
- 選擇 Standard VeraCrypt volume，按 Next。
- 選擇 Volume Location，點擊 Select File，點擊桌面位置，在 Save As 一欄輸入名字，這裡舉例叫做 10gb。之後選擇 Never save history，按 Next。
- 在 Encryption Algorithm 選擇 AES，下方的 Hash Algorithm 選 SHA-512，按 Next。
- Volume Size 選擇 10 GB，按 Next。（小一點也可以，看自己需要。）
- Volume Password，輸入密碼。下方的設定，全都不選，按 Next。
- 之後如果顯示 Large Files 一欄，選擇「I will store files larger than 4GB on the volume」，按 Next。
- Format Options 選擇 Filesystem type: MacOS Extended 或 NTFS，按 Next。
- Cross-Platform Support 選擇 I will mount the volume only on Mac OS X，按 Next。
- 之後在 Volume Format，不停無意地移動鼠標，軟件會蒐集隨機的訊息。建議不要只管打圈，也可以用鼠標寫寫詩，蒐集到的隨機數據越多越好。
- 之後按 FORMAT，等一會，檔案就會生成，按 Exit 就可以。
這時在桌面就會看到一個 10gb 的檔案，把檔案拖至 VeraCrypt 的主畫面，按 Mount，輸入密碼，這時就會在 Finder 或檔案總管，就會看到好像插入了一個 USB 手指一樣。把需要加密的檔案放進這個加密虛擬碟中碟。用完之後，在 VeraCrypt 上按 Dismount All 便會自動退出。
VeraCrypt 還有很多有趣的功能，例如有個 Hidden VeraCrypt volume，可以製作同一個檔案，但輸入不同密碼，卻會看到不同檔案。例如有人折磨你，要求你打開檔案，你不情不願，輸入密碼後，裡面只有愛情動作片。但實際上當你輸入另一組密碼時，卻會有個驚世大陰謀！是不是有點電影橋段的感覺了？
把電腦檔案加密存儲，可以有千百萬個不同的原因及動機，但要記住，做事光明磊落的人，做實事的人，是更應保護好檔案免受侵擾。檔案加把檔，是保障資訊安全的重要的一步，必須學習。