VeraCrypt, EFI загрузчик, пароль картинка

Аудит проекта VeraCrypt прошел, но к сожалению результаты не включили обзор новых возможностей проекта. Эти статья опишет некоторые дополнения.

Многие возможности VeraCrypt пока доступны только из текстовой конфигурации. Пример — это пароль картинка.

Если на компьютере или планшете с Windows есть сенсорный экран, то можно попробовать настроить вход в систему по касанию точек. Для этого потребуется проверить доступность сенсорного экрана из EFI

Конфигурационный файл DcsProp находится на загрузочном разделе EFI. Изменения можно вносить на этапе тестирования совместимости загрузчика и после того как диск зашифрован.

Для доступа к конфигурации DcsProp, из Windows консоли с правами администратора, надо выполнить:

mountvol o: /s notepad o:\efi\veracrypt\DcsProp 

Кроме этого потребуется скопировать свою картинку, в формате bmp, на диск o:\EFI\Veracrypt\login.bmp (пример выбран т.к. содержит много заметных частей — люди, лошади, камни, деревья, оружие и т.д.).

Настройка DcsProp (комментарии к параметрам по тексту):

<?xml version="1.0" encoding="utf-8"?> <VeraCrypt> 	<configuration> 		<!-- PasswordType 0 - text 1 - picture --> 		<config key="PasswordType">1</config> 		<config key="PasswordMsg">Enter password:</config> 		<config key="PasswordPicture">EFI\Veracrypt\login.bmp</config>  		<!-- PimRqt 0 - use paramter 1 - request from user--> 		<config key="PimMsg">Pim:</config> 		<config key="Pim">0</config> 		<config key="PimRqt">0</config>  		<!-- AuthorizeVisible 0/1 - show/hide chars  --> 		<config key="AuthorizeVisible">0</config> 		<!-- AuthorizeMarkTouch 0/1 - show/hide touch area  --> 		<config key="AuthorizeMarkTouch">0</config>  		<!-- AuthorizeRetry - number of retry  --> 		<config key="AuthorizeRetry">10</config>  		<!-- GraphDevice  -1 autodetect; -2 ignore; <n> number in list of devices (use DcsCfg.dcs -gl)--> 		<config key="GraphDevice">-1</config> 		<!-- GraphMode -1 default (to test DcsCfg -gm <N>)--> 		<config key="GraphMode">-1</config>  		<!-- TouchDevice -1 autodetect; -2 ignore; <N> number in list of devices (use DcsCfg -tl and to test DcsCfg -tt <N>)--> 		<config key="TouchDevice">-1</config>  		<!-- TouchSimulate to use keyboard keys to move cursor--> 		<config key="TouchSimulate">1</config>  		<!-- Beep --> 		<config key="Beep">1</config> 		<config key="BeepDuration">200</config>   </configuration> </VeraCrypt> 

Посмотреть новый пароль и сменить его можно из VeraCrypt в Windows.

Прим. После перезагрузки и ввода пароля с клавиатуры, можно нажать F2, для смены пароля. Затем ввести пароль картинку касаниями и подтвердить. Это требует генератора случайного числа, для создания новой соли. К сожалению, аудиторы попросили выключить встроенный генератор по умолчанию. Для включения, потребуется версия загрузчика с поддержкой TPM или включенным генератором.

Специальные клавиши:

F2 — смена пароля
F4 — звук ввода
F5 — просмотр ввода пароля
F11 — замедлить перемещение курсора стрелками
F12 — ускорить перемещение курсора стрелками

В следующей статье опишу настройку условной авторизации по сценарию: если подключена USB флешка, то запросить пароль и после удачной авторизации загрузить Windows, если флешки нет, то загрузить Linux.