修复损坏的 TrueCrypt 卷/磁盘?

信息安全 文件系统 真加密
2021-08-18 17:54:18

(我正在向我的一个朋友询问这个问题,因为我正试图通过远程桌面帮助他解决这个问题,所以如果需要任何详细信息,请询问,我会得到它们)。两个完整的硬盘用 TrueCrypt 加密,然后用另一台计算机上创建的恢复 CD 解密,但密码相同。然后 Windows 将磁盘检测为“RAW”,而不是它应该是的文件系统(FAT 或 NTFS,不确定)。Ubuntu 虚拟机上的 fdisk 显示一个跨越整个驱动器的 FAT16 分区。在驱动器上运行了各种分区恢复程序,例如 TestDisk,但均未成功。我认为文件数据本身仍然存在,但分区或文件表已损坏或丢失。我们尝试更改驱动器上的分区表,但没有成功。任何帮助将非常非常感激。

目前,我们正在 Windows 中一个已安装的虚拟驱动器上运行 TestDisk。另一个硬盘不会挂载,但这个会挂载。硬盘好像还是加密的,TestDisk发现了几个NTFS分区,目前还在扫描。随着情况的变化,我会更新这个。

1个回答

首先介绍一下背景;Truecrypt 使用经典的两阶段方法:

  • 有一个小卷标头,最终用户可以使用他的密码对其进行解密。
  • 在此标头内有一个主加密密钥,这是 Truecrypt 用于加密和解密主要用户数据量的密钥。

因此,您现在的任务是恢复或重新创建原始卷标头,并使用用于创建卷的原始主加密密钥。

我希望您的恢复 CD 是Truecrypt Rescue Disk,如此处所述如果它是来自 Microsoft Windows 或分区工具(如 Norton Ghost)的恢复 CD,那么您可能不走运。这些很可能不包含原始 Truecrypt 卷标头的副本,或者包含损坏的标头,因此没有用。

如果您的恢复 CD 是在另一台计算机上为另一个 Truecrypt 卷制作的,那么它是没有用的。它包含带有主加密密钥的卷标头的副本 - 但主加密密钥用于其他计算机的卷,而不是用于您朋友的卷

假设您没有因上述问题而陷入困境,那么我将采取以下措施来恢复数据:

  1. 逐位复制硬盘以清空相同或更大大小的硬盘。您可以使用 fx Norton Ghost、Acronis Trueimage 或 G4L 或 Clonezilla Live 等 Linux 工具来执行此操作。然后把原来的磁盘收起来。(此步骤的目的是保护原始磁盘的安全,以防我在处理卷时不小心犯了不可逆转的错误。)
  2. 将卷副本放入已知良好的计算机中。
  3. 现在它应该(希望)是从 Truecrypt 救援磁盘 (CD) 引导的情况,并按照 Truecrypt 的说明进行操作。