TrueCrypt Handleiding voor medewerkers van de Universiteit van Tilburg Inhoud 1 Over deze handleiding 2 Het programma TrueCrypt 2.1 Over de beveiligingscode van een TrueCrypt volume 2.2 Wat u verder nog moet weten 3 Installatie van het programma 4 Een TrueCrypt volume maken in vier stappen Stap 1 Maak een folder in uw homedirectory voor uw backupvoorziening Stap 2 Maak een TrueCrypt volume Stap 3 Maak een backup van de volume header Stap 4 Verander de beveiligingscode van het volume van keyfile naar password 5 Gebruik van het TrueCrypt Volume 5.1 Het TrueCrypt volume activeren 5.2 Het TrueCrypt volume deactiveren 6 Wat u moet doen als u uw password vergeten bent 7 Veranderen van de instellingen van TrueCrypt 6.1 De Preferences van TrueCrypt aanpassen 6.2 TrueCrypt volumes opnemen als Favorite 6.3 Een hotkey definiëren waarmee u uw favoriete TrueCrypt volume(s) kunt starten 8 Vragen en/of problemen?
Als u gebruik maakt van een laptop en geregeld onderweg bent dan zijn verlies en diefstal risico s waarmee u altijd rekening moet houden. Voorkom dat in een dergelijk geval uw bestanden in verkeerde handen vallen. Om u in staat te stellen uw bestanden goed te beheren is het programma TrueCrypt beschikbaar. Hiermee kunt u een deel van de harde schijf van uw laptop beveiligen en uw bestanden versleuteld opslaan. 1. Over deze handleiding Bij het programma TrueCrypt is een (Engelstalige) handleiding beschikbaar met uitgebreide informatie over het programma en de toegepaste technieken, de verschillende manieren waarop u met TrueCrypt beveiligde opslagruimtes kunt maken en de geavanceerde beveiligingsmogelijkheden. Deze handleiding voorziet in normaal gebruik en sluit aan op de faciliteiten van de UvT. In hoofdstuk 2 en 3 vindt u algemene informatie en aanwijzingen voor de installatie van TrueCrypt. Hoofdstuk 4 is een stap-voor-stap gebruiksinstructie voor TrueCrypt volgens de methode die door de automatiseringsafdelingen van de UvT wordt aangeraden om te volgen. Op basis hiervan maakt u op de harde schijf van uw laptop een beveiligde ruimte die alleen toegankelijk is met een password. De methode houdt er rekening mee dat u dit password wel eens kunt vergeten en voorziet daarom in een backupvoorziening waarop kunt terugvallen. In hoofdstuk 5 wordt uitgelegd hoe u de beveiligde ruimte activeert en deactiveert. Wat u moet doen als u uw password vergeten bent en hoe u in dat geval van de backupvoorziening gebruik maakt, komt aan de orde in hoofdstuk 6. In hoofdstuk 7 vindt u uitleg over een aantal instellingen die u in TrueCrypt kunt opgeven die het gebruik van TrueCrypt kunnen veraangenamen en optimaliseren. Hoofdstuk 8 tenslotte geeft een overzicht van de adressen van de verschillende automatiseringsafdelingen op de UvT, voor het geval u vragen hebt over het programma of behoefte aan ondersteuning. 2 Het programma TrueCrypt Met het programma TrueCrypt kunt u op diverse opslagmedia bijvoorbeeld een interne of externe harde schijf, USB memorystick of diskette een speciale opslagruimte maken (een zogenaamd TrueCrypt volume) waarvan de toegang is afgeschermd met een beveiligingscode en waarvan de inhoud onzichtbaar en dankzij encryptie goed versleuteld is. Pas als de beveiligingscode correct is ingevoerd zal TrueCrypt deze opslagruimte voor gebruik vrijgeven en Windows opdragen de ruimte beschikbaar te stellen door er een driveletter aan toe te kennen. Daarna kunt u op de gebruikelijke Windows-manier de opslagruimte inrichten door er folders en bestanden in te plaatsen. 2.1 Over de beveiligingscode van een TrueCrypt volume U kunt een TrueCrypt volume beveiligen met een code die gevormd wordt op basis van: een password, één of meerdere sleutels (zogenaamde keyfiles), een combinatie van password en keyfile(s) De complexiteit van de beveiligingscode kunt u zelf bepalen. Bedenk wel dat u een password kunt vergeten, dat keyfiles net als gewone sleutels kunnen zoekraken en beschadigen en dat u zonder correcte beveiligingscode een TrueCrypt volume niet kunt activeren. Daarom is het belangrijk dat u preventief altijd zorgt voor een goede backupvoorziening. Zonder een dergelijke voorziening kunt u bestanden die u bewaard hebt in een TrueCrypt volume waarvan u de Handleiding TrueCrypt Pagina 1
beveiligingscode kwijt bent, als verloren beschouwen. In hoofdstuk 4 komt dit onderwerp uitgebreid aan de orde. 2.2 Wat u verder nog moet weten Om de stap-voor-stap instructie in hoofdstuk 4 te kunnen uitvoeren is het noodzakelijk dat u directe toegang hebt tot uw homedirectory (M-drive) op de Novell-server. Dit is alleen mogelijk op de campus van de universiteit, waarbij de GIWxp-laptop vast verbonden is met het UvTnet. Als u met behulp van de TrueCrypt Volume Creation Wizard een TrueCrypt volume maakt dan moet u opgeven onder welke naam en waar u het volume wilt opslaan, hoe groot het moet zijn en welke beveiligingscode u wilt gebruiken. De grootte van het volume kunt u later niet meer uitbreiden of verkleinen. De naam en de locatie kunt u later wel aanpassen. Net als bij een gewoon bestand kunt u binnen Windows (bijvoorbeeld in de Windows Explorer) het TrueCrypt volume hernoemen, kopiëren, verplaatsen en verwijderen. Geeft u het TrueCrypt volume een naam met de extensie.tc dan zal Windows het bestand direct associëren met TrueCrypt. Door in de Windows Explorer dubbel te klikken op de bestandsnaam zal automatisch het programma TrueCrypt starten met het geselecteerde bestand. Ook de ingestelde beveiligingscode kunt u later aanpassen. Maar voordat u dit doet moet u altijd eerst de backupvoorziening hebben gemaakt zoals beschreven staat in de instructie (hoofdstuk 4, stap 4). 3 Installatie van het programma TrueCrypt Start het softwaredistributieprogramma van de GIWxp Laptop via de menuoptie UvT Software in het Windows-startmenu. Selecteer in het softwareoverzicht het programma TrueCrypt. Start de installatie door dubbel op de programmanaam te klikken. Om u op het belang van een goede backupvoorziening te attenderen zal nadat de installatie van TrueCrypt is voltooid onderstaande mededeling verschijnen: U start het programma via: Startmenu > Programs > Utilities > TrueCrypt. Nadat het programma is gestart, zal de icoon van TrueCrypt rechtsonder in de taskbar opgenomen worden. Handleiding TrueCrypt Pagina 2
4 Een TrueCrypt volume maken in vier stappen Deze instructie beschrijft: hoe u op de D-partitie van de harde schijf een goed beveiligde opslagruimte van 500 MB maakt met de naam UvT-werkbestanden.tc die: beveiligd is met een password, eenvoudig is te activeren en een goede backupvoorziening heeft, die veilig gearchiveerd is in uw homedirectory op de Novell server (uw M-drive). Om deze instructie te kunnen uitvoeren is het noodzakelijk dat uw GIWxp-laptop directe toegang heeft tot uw M-drive en op de campus via een kabel vast verbonden is met het UvT-net. Stap 1 Maak een folder in uw homedirectory voor uw backupvoorziening Wij adviseren u om de backupvoorziening voor uw TrueCrypt volume op te slaan in een speciale folder die u aanmaakt in uw homedirectory (M-drive) op de Novell-server. Ga hiervoor als volgt te werk: Start de Windows Explorer (bijvoorbeeld via de speciale Windows-toets op uw toetsenbord). Navigeer naar uw homedirectory op de Novell-server (voor de diensten is dat Aquarius_home_server (M): voorafgegaan door uw username). Maak een nieuwe folder aan (in deze instructie krijgt de folder de naam truecrypt met als locatie M:\truecrypt). In deze folder slaat u straks de twee bestanden op (een zogenaamde keyfile en een backupheader) die dienen als backupvoorziening voor het TrueCrypt volume dat u bij stap 3 gaat maken. Stap 2 Maak een TrueCrypt volume Links ziet u het hoofdscherm van TrueCrypt, met een overzicht van alle vrije driveletters. Selecteer in de lijst met vrije driveletters de driveletter die u aan het beveiligde volume wilt koppelen (in dit voorbeeld H:). Klik op de knop Create Volume. Handleiding TrueCrypt Pagina 3
Het beginscherm van de TrueCrypt Volume Creation Wizard verschijnt. (De keuze Create a standard TrueCrypt volume is al geselecteerd.) Klik op Next. Het scherm Volume Location verschijnt. Klik op de knop Select File waarna de Windows-fileselector verschijnt. Navigeer naar de locatie op de harde schijf waar u het volume wilt creëren. Geef bij File name de naam van het volume op (in dit voorbeeld: UvT-werkbestanden.tc) en klik op Open. (In plaats van bovenstaande manier kunt u ook direct het pad en de naam van het volume opgeven.) Klik op Next. Het scherm Encryption Options verschijnt. (Zowel het encryptie- als het hashalgorithme zijn al geselecteerd.) Klik op Next. Handleiding TrueCrypt Pagina 4
Het scherm Volume Size verschijnt. Geef aan hoe groot het volume moet zijn (in dit voorbeeld 500 MB). Klik op Next. Let op: Als u het volume wilt gebruiken als kopie van uw homedirectory op de UvT maak het volume dan net zo groot als uw homedirectory (dit voorbeeld gaat uit van de standaard homedirectory waarover medewerkers van de centrale diensten beschikken: 500 MB). Het scherm Volume Password verschijnt. Selecteer de optie Use keyfiles door een vink te plaatsen. De knop Keyfiles.. wordt hierdoor geactiveerd. Klik op de knop Keyfiles... Let op: Vul in bovenstaand scherm geen password in! Handleiding TrueCrypt Pagina 5
Het scherm Keyfiles verschijnt. Klik op de knop Generate Random Keyfile. Toelichting: In het bovenstaande scherm geeft u op welk bestand u als keyfile wilt gebruiken. In principe is elk bestand op uw laptop hiervoor te gebruiken. Maar eenmaal geselecteerd als keyfile mag een dergelijk bestand geen enkele wijziging meer ondergaan! Vanuit het oogpunt van beveiliging is het daarom beter een keyfile te laten genereren en deze veilig op te slaan in uw homedirectory. Het scherm van de Keyfile Generator verschijnt. Beweeg de muis tenminste 30 seconden in het scherm van de Keyfile generator (hoe langer u de muis beweegt, hoe complexer en veiliger de keyfile) Klik op de knop Generate and Save Keyfile... waarna het scherm van de Windows-fileselector verschijnt. Navigeer naar uw M-drive en de folder met de naam truecrypt. Geef de gegenereerde keyfile een duidelijke naam waaruit u kunt afleiden dat het bestand een keyfile is en bij welk volume de keyfile hoort, bijvoorbeeld keyfile-uvtwerkbestanden. De melding Keyfile has been successfully created. verschijnt. Klik op OK. Sluit het scherm van de Keyfile generator af via de knop Close. Handleiding TrueCrypt Pagina 6
Het scherm Keyfiles verschijnt weer. (In het scherm links is de ruimte onder Keyfile leeg omdat er nog geen keyfile aan het volume is gekoppeld.) Klik op de knop Add File... waarna het scherm van de Windowsfileselector verschijnt. Selecteer in dit scherm de gegenereerde keyfile die u zojuist hebt opgeslagen op uw M-drive en klik op Open. In het scherm links ziet u dat de keyfile nu is toegevoegd. Sluit het scherm Keyfiles af via de knop OK. U keert terug in het scherm Volume password. Sluit dit scherm af door te klikken op Next. Handleiding TrueCrypt Pagina 7
Het scherm Volume Format verschijnt. Klik op de knop Format. Het volume wordt nu gecreëerd, waarna u onderstaande melding krijgt. Klik op OK. Het laatste scherm van de TrueCrypt Volume Creation Wizard verschijnt. Klik op Exit. Stap 3 Maak een backup van de volume header In deze stap gaat u de backupvoorziening maken. Hiervoor maakt u een kopie van de zogenaamde header van het TrueCrypt volume. Het is belangrijk dat u deze stap onmiddellijk na stap 3 uitvoert. Handleiding TrueCrypt Pagina 8
Klik op de knop Select File... waarna het scherm van de Windows-fileselector verschijnt. Navigeer naar het TrueCrypt volume dat u zojuist in stap 3 hebt gemaakt (in dit voorbeeld D:\UvTwerkbestanden) en klik op Open. Klik in de statusbalk van het hoofdscherm op Tools Selecteer de menu-optie Backup Volume Header... Vervolgens krijgt u onderstaande melding. Klik op Yes. Het scherm van de Windows-fileselector verschijnt. Handleiding TrueCrypt Pagina 9
Let op: Geef het bestand net als de keyfile een duidelijke naam waaruit u kunt afleiden dat het een backup van een volume header betreft en bij welk volume deze backup hoort ( in dit voorbeeld backup-header-uvtwerkbestanden). De backup van de volume header slaat u net zoals de keyfile op in uw homedirectory (M-drive) op de Novell-server ((in dit voorbeeld in de folder truecrypt ). Navigeer via de Windowsfileselector naar de folder met de naam truecrypt op uw M-drive (hierin bevindt zich al de keyfile die u bij stap 3 hebt gemaakt). Geef het bestand de naam backupheader-uvt-werkbestanden.tc Klik op Save. Hierna verschijnt de onderstaande melding. Klik op OK. Stap 4 Verander de beveiligingscode van het volume van keyfile naar password In deze stap gaat u de initiële beveiligingscode veranderen. Als vervanging voor de bij stap 3 gegenereerde random keyfile geeft u als beveiligingscode een password op. Handleiding TrueCrypt Pagina 10
Klik in de statusbalk op Volumes. Selecteer de menuoptie Change Volume Password... (De beveiligingscode van een TrueCrypt volume kan alleen veranderd worden als het volume niet geactiveerd is.) Het onderstaande scherm verschijnt. Current: Laat het veld bij Password blanco en zet een vink voor de optie Use keyfiles (bij de creatie van het volume hebt u immers een keyfile opgegeven). Klik op de knop Keyfiles... Klik op Add file... waarna de Windows-fileselector verschijnt. Navigeer naar de opgegeven keyfile op uw M-drive, selecteer deze en klik op Open. New: Bedenk een password zonder speciale tekens en type dit twee keer in (door een vink te zetten bij de optie Display password kunt u dit eenvoudig controleren). Klik op OK. Handleiding TrueCrypt Pagina 11
Mocht u volgens TrueCrypt een te kort password hebben opgegeven dan krijgt u een waarschuwing. Klik op No als u het password wilt veranderen, klik anders op Yes. Onderstaande melding verschijnt. Klik op OK. Het TrueCrypt Volume is nu klaar voor gebruik. 5 Gebruik van het TrueCrypt volume Het gebruik van een TrueCrypt volume is in de praktijk net zo eenvoudig als elk willekeurig opslagmedium omdat de encryptietechnologie die in een TrueCrypt volume is toegepast zich volledig transparant op de achtergrond afspeelt en van u geen speciale handelingen vereist: Tijdens het kopiëren of verplaatsen van bestanden naar een TrueCrypt volume zullen de geselecteerde bestanden volledig automatisch versleuteld worden. Op het moment dat u een versleuteld bestand aanklikt om te openen zal het automatisch gedecodeerd worden, waarna u het kunt bewerken. Maar voordat u het TrueCrypt volume kunt gebruiken, zult u het wel eerst moeten activeren. 5.1 Het TrueCrypt volume activeren Het activeren en voor gebruik vrijgeven van een TrueCryp volume wordt mounten genoemd. Tijdens het mounten zal het door u opgegeven TrueCrypt volume (in deze instructie het bestand D:\UvTwerkbestanden.tc) getransformeerd worden in een extra harde schijf die u via een zelf te kiezen driveletter kunt benaderen. U gaat hiervoor als volgt te werk: Start het programma via: Startmenu > Programs > Utilities > TrueCrypt. Het startscherm van TrueCrypt verschijnt. Handleiding TrueCrypt Pagina 12
Klik op de knop Select File... waarna het scherm van de Windows-fileselector verschijnt. Selecteer het TrueCrypt Volume dat u zojuist hebt gemaakt. Selecteer in de lijst de driveletter die u aan het volume wilt toekennen. Klik op de knop Mount. Het onderstaande scherm verschijnt. Typ het password in dat u voor dit volume hebt opgegeven. Klik op OK. Het TrueCrypt Volume wordt nu gekoppeld aan de door u opgegeven driveletter (in deze handleiding H:\) De onderstaande afbeelding laat zien dat het geactiveerde TrueCrypt Volume door het Windowsfilesysteem beschouwd wordt als een normale, extra harde schijf. Handleiding TrueCrypt Pagina 13
5.2 Het TrueCrypt volume deactiveren Als u geen gebruik meer wilt maken van het TrueCrypt volume dan kunt u het volume handmatig deactiveren. Klik op de icoon van TrueCrypt rechtsonder in de taskbar. Selecteer in de lijst welke drive u wilt deactiveren (in dit voorbeeld drive H:). Klik op de knop Dismount. Het activeren en deactiveren van een TrueCrypt volume kan ook automatisch gebeuren. Meer informatie hierover vindt u in hoofdstuk 6. 5 Wat u moet doen als u uw password vergeten bent Bij het activeren/mounten van een TrueCrypt volume wordt u gevraagd het bijbehorende password op te geven. Als u dit password vergeten bent, dan zijn de bestanden op het volume niet meer te benaderen (ook niet door IT-medewerkers). Door echter de initiële header van het volume terug te zetten kunt u in zo n geval toch weer toegang kunt krijgen tot uw TrueCrypt volume. Hiervoor moet u de beschikking hebben over de volgende twee files: de keyfile die u hebt laten genereren bij het maken van het volume (stap 2 van hoofdstuk 4), de backup van het volume header (stap 3 van hoofdstuk 4). Als u het advies in deze handleiding hebt opgevolgd, bevinden deze files zich in uw homedirectory op de Novell-server in de folder truecrypt (M:\truecrypt\). U gaat als volgt te werk: Start het programma via: Startmenu > Programs > Utilities > TrueCrypt. Het startscherm van TrueCrypt verschijnt. Handleiding TrueCrypt Pagina 14
Selecteer via Select File het TrueCrypt Volume waarvan u het password bent vergeten. Klik in de statusbalk op Tools Selecteer de menuoptie Restore Volume Header... De onderstaande melding verschijnt. Klik op Yes. Het scherm van de Windows-fileselector verschijnt. Handleiding TrueCrypt Pagina 15
Navigeer in de Windowsfileselector naar uw homedirectory en de folder truecrypt. Selecteer de gewenste backup header. Klik op Open. De onderstaande melding verschijnt. Klik op NO. De onderstaande melding verschijnt. Klik op OK. Let op: Nadat u de volume header succesvol hebt teruggezet, zijn de oorspronkelijk beveiligingsinstellingen weer van kracht. Dat wil zeggen dat uw TrueCrypt volume beveiligd is op basis van de keyfile. Om de beveiligingscode weer te veranderen en een password in te stellen, moet u daarom stap 4 van hoofdstuk 4 opnieuw uitvoeren. 6 Veranderen van de (standaard) instellingen van TrueCrypt 6.1 De Preferences van TrueCrypt aanpassen In TrueCrypt kunt u instellen dat het programma automatisch wordt gestart als u inlogt op Windows. Ook het TrueCrypt volume kunt u automatisch bij het inloggen in Windows laten activeren. In dat geval verschijnt alleen het scherm waarin u het password voor het volume moet invullen. Tenslotte kunt u instellen dat het TrueCrypt volume automatisch gedeactiveerd wordt op het moment dat u uitlogt. Handleiding TrueCrypt Pagina 16
Selecteer in de statusbalk de optie Tools Selecteer de menuoptie Preferences. Het onderstaande scherm verschijnt. Let op dat bij TrueCrypt Background Task de optie Enabled is geselecteerd. Selecteer bij Actions to Perform upon log on to Windows: o de optie Start TrueCrypt, o en (eventueel) de optie Mount Favorite Volumes als u deze meteen wilt activeren. Selecteer bij Auto-Dismount de optie User loggs off. Als u wilt dat dit geforceerd gebeurt zelfs als folders en bestanden op uw volumes geopend zijn selecteer dan de optie Force auto-dismount. Om te voorkomen dat u bij het deactiveren van een volume een foutmelding krijgt i.v.m. openstaande Explorer-windows, selecteert u bij Windows de optie Close all Explorer windows of volumes being dismounted. Toelichting: De beveiligingscode die u invoert om uw volume te activeren zal samen met andere encryptiebenodigdheden tijdelijk worden opgeslagen in de Windows cache. Op het moment dat u uw Windows-sessie beëindigt, zal deze automatisch leeggemaakt worden. Bij Password Cache kunt u aangeven dat u wilt dat dit eerder gebeurt en bij welke gelegenheid. Handleiding TrueCrypt Pagina 17
6.2 TrueCrypt volumes opnemen als Favorite Om een TrueCrypt volume te activeren bij het inloggen in Windows of op een later moment via een hotkey is het noodzakelijk dat u het volume hebt opgenomen als zogenaamde Favorite. Voor het instellen van uw Favorites gaat u als volgt te werk: Activeer de TrueCrypt volume(s) die u als Favorite wilt instellen. Klik in de statusbalk op Volumes en selecteer de menuoptie Save Currently Mounted Volumes as Favorite. Het volgende scherm verschijnt. Let op: Hebt u geen volumes geselecteerd klik dan op No en selecteer alsnog de gewenste volumes. Klik op OK. Klik op OK. 6.3 Een hotkey definiëren waarmee u uw favoriete TrueCrypt volume(s) kunt starten Via een hotkey kunt u snel en eenvoudig op elk willekeurig moment in Windows de TrueCrypt volumes activeren die u als Favorites hebt opgenomen. Let op: Voorwaarde is wel dat het TrueCrypt volume een bestandsnaam heeft met de extensie.tc. Mocht dat niet het geval zijn dan kunt u het bestand in de Windows Explorer eenvoudig hernoemen. Handleiding TrueCrypt Pagina 18
U gaat als volgt te werk: Klik in de statusbalk op Settings. Selecteer de menuoptie Hot Keys... Het onderstaande scherm verschijnt. In dit scherm is de kolom onder Shortcut leeg. Er zijn nog geen shortcuts gedefinieerd. Selecteer onder Action de optie Mount Favourite Volumes. Geef bij Key to assign: aan welke toetscombinatie u als hotkeys wil gebruiken - in dit voorbeeld is gekozen voor Control + Alt + de letter M (ount). Klik op de knop Assign. Handleiding TrueCrypt Pagina 19
Het scherm links laat zien dat de shortcut is toegekend. Klik op OK. Via de toetscombinatie Control + Alt + M kunt u nu op elk willekeurig moment uw TrueCrypt volume(s) activeren. 7 Vragen en/of problemen? Mocht u na het doorlezen van deze handleiding nog vragen of problemen hebben dan kunt u contact opnemen met uw automatiseringsafdeling. faculteit / dienst automatiseringafdeling kamer telefoon e-mail FEB IT Servicedesk K 108 (013) 466 3456 IT-servicedesk@uvt.nl FGW en FKT Automatiseringsunit Dante-faculteiten Y313 (013) 466 3135 Lau.Dante@uvt.nl FRW I & A M218 (013) 466 2292 frw.helpdesk@uvt.nl FSW SpITS P403 (013) 466 2424 SpITs@uvt.nl BU, DBI, DEA, DSZ, LIS, IVO en TIASNimbas IT&AV Service Desk P209 (013) 466 3111 LIS-helpdesk@uvt.nl. Handleiding TrueCrypt Pagina 20