Userbase

Some encryption programs use TPM to prevent attacks. Will VeraCrypt use it too?
No. Those programs use TPM to protect against attacks that require the attacker to have administrator privileges, or physical access to the computer, and the attacker needs you to use the computer after such an access. However, if any of these conditions is met, it is actually impossible to secure the computer (see below) and, therefore, you must stop using it (instead of relying on TPM).

If the attacker has administrator privileges, he can, for example, reset the TPM, capture the content of RAM (containing master keys) or content of files stored on mounted VeraCrypt volumes (decrypted on the fly), which can then be sent to the attacker over the Internet or saved to an unencrypted local drive (from which the attacker might be able to read it later, when he gains physical access to the computer).

If the attacker can physically access the computer hardware (and you use it after such an access), he can, for example, attach a malicious component to it (such as a hardware keystroke logger) that will capture the password, the content of RAM (containing master keys) or content of files stored on mounted VeraCrypt volumes (decrypted on the fly), which can then be sent to the attacker over the Internet or saved to an unencrypted local drive (from which the attacker might be able to read it later, when he gains physical access to the computer again).

The only thing that TPM is almost guaranteed to provide is a false sense of security (even the name itself, "Trusted Platform Module", is misleading and creates a false sense of security). As for real security, TPM is actually redundant (and implementing redundant features is usually a way to create so-called bloatware).

For more information, please see the sections Physical Security and Malware in the documentation.

The Windows Volume Shadow Copy Service is currently supported only for partitions within the key scope of system encryption (e.g. a system partition encrypted by VeraCrypt, or a non- system partition located on a system drive encrypted by VeraCrypt, mounted when the encrypted operating system is running). Note: For other types of volumes, the Volume Shadow Copy Service is not supported because the documentation for the necessary API is not available.

Mortov Molotov schreef:Nu wil ik full disk encryption organiseren op mijn systeem drive (C:) en op mijn data harde schijf (D:) via Veracrypt.

Mortov Molotov schreef:Bitlocker wens ik liever niet te gebruiken wegens 't feit dat dit niet open source is, en wegens 't feit dat er vraagtekens geplaatst worden bij gebruik van TPM voor encryptie; ik citeer even de commentaar van de makers van Veracrypt hier [link]:

VeraCrypt does not take advantage of Trusted Platform Module (TPM). VeraCrypt FAQ repeats the negative opinion of the original TrueCrypt developers verbatim. The TrueCrypt developers were of the opinion that the exclusive purpose of the TPM is "to protect against attacks that require the attacker to have administrator privileges, or physical access to the computer". The attacker who has physical or administrative access to a computer can circumvent TPM, e.g., by installing a hardware keystroke logger, by resetting TPM, or by capturing memory contents and retrieving TPM-issued keys. The condemning text goes so far as to claim that TPM is entirely redundant.

It is true that after achieving either unrestricted physical access or administrative privileges, it is only a matter of time before other security measures in place are bypassed. However, stopping an attacker in possession of administrative privileges has never been one of the goals of TPM. (See Trusted Platform Module § Uses for details.) TPM can, however, stop the cold boot attack described above.

FullHD schreef: Als een aanvaller administrator privileges heeft verkregen, zal de TPM inderdaad niet meer helpen. Maar dat was ook nooit de bedoeling. Dus de TPM verwijten dat hij iets niet kan waarvoor hij ook niet is gemaakt, dat voelt een beetje vreemd aan...

DarkV schreef:

Mortov Molotov schreef:Nu wil ik full disk encryption organiseren op mijn systeem drive (C:) en op mijn data harde schijf (D:) via Veracrypt.

De vraag is wat win je ermee of is het een laptop ? De meeste diefstal van data is nog steeds op data-in-motion, niet op data-at-rest.

DarkV schreef:

Mortov Molotov schreef:Bitlocker wens ik liever niet te gebruiken wegens 't feit dat dit niet open source is, en wegens 't feit dat er vraagtekens geplaatst worden bij gebruik van TPM voor encryptie; ik citeer even de commentaar van de makers van Veracrypt hier [link]:

Dat heeft natuurlijk een groot "Wij van WC-Eend bevelen..." gehalte... en wederom wat win je ermee ?

Sasuke schreef:Ik snap echt waarom iemand BitLocker zou afraden ... en TPM gebruik als een 'nadeel' beschouwen ?

FullHD schreef:De Veracrypt FAQ is - naar eigen zeggen! - het laatst bijgewerkt in 2017...

Op Wikipedia staat de verklaring waarom ze de TPM afkraken:

VeraCrypt does not take advantage of Trusted Platform Module (TPM). VeraCrypt FAQ repeats the negative opinion of the original TrueCrypt developers verbatim. The TrueCrypt developers were of the opinion that the exclusive purpose of the TPM is "to protect against attacks that require the attacker to have administrator privileges, or physical access to the computer". The attacker who has physical or administrative access to a computer can circumvent TPM, e.g., by installing a hardware keystroke logger, by resetting TPM, or by capturing memory contents and retrieving TPM-issued keys. The condemning text goes so far as to claim that TPM is entirely redundant.

It is true that after achieving either unrestricted physical access or administrative privileges, it is only a matter of time before other security measures in place are bypassed. However, stopping an attacker in possession of administrative privileges has never been one of the goals of TPM. (See Trusted Platform Module § Uses for details.) TPM can, however, stop the cold boot attack described above.

Als een aanvaller administrator privileges heeft verkregen, zal de TPM inderdaad niet meer helpen. Maar dat was ook nooit de bedoeling. Dus de TPM verwijten dat hij iets niet kan waarvoor hij ook niet is gemaakt, dat voelt een beetje vreemd aan...

DarkV schreef:Als hij administrator access heeft dan is het onderscheppen van dat wachtwoord ook geen kunst meer (via een keylogger).
Trouwens ga jij iedere keer je encrypted volumes unlocken en terug locken... of zal in realiteit het volume altijd unlocked zijn ?

Sasuke schreef:Ik stopte met lezen toen ik zag dat VeraCrypt niet meer verder ontwikkeld is sinds 2017 !! In ICT termen is dat de vorige eeuw hé ...

Sasuke schreef:Die backdoor van de NSA in Bitlocker is dus vooral een punt als jij dingen doet die zo ernstig/privé/geheim zijn dat jouw fysieke disk ooit op de tafel komt te liggen bij een NSA werknemer.

Mortov Molotov schreef:

Sasuke schreef:Ik stopte met lezen toen ik zag dat VeraCrypt niet meer verder ontwikkeld is sinds 2017 !! In ICT termen is dat de vorige eeuw hé ...

Mortov Molotov schreef:Dan ga je beter op Linux met LUKS (maar da's iets voor tegen 2025 )

cryptsetup luksFormat -y -v --type luks1 /dev/DEVICE
cryptsetup luksFormat -y -v --type luks2 /dev/DEVICE

cryptsetup luksOpen /dev/DEVICE BACKUP2

mkfs.ext4 -E lazy_itable_init=0,lazy_journal_init=0 -L DISKLABEL -m 0 /dev/mapper/BACKUP2

mount /dev/mapper/BACKUP2 /media/BACKUP2

umount /media/BACKUP2

cryptsetup luksClose BACKUP2

Ordon schreef:

Mortov Molotov schreef:Dan ga je beter op Linux met LUKS (maar da's iets voor tegen 2025 )

Nochtans poepsimpel.

How To Linux Hard Disk Encryption With LUKS [ cryptsetup encrypt command ]

......