选择 VeraCrypt 就是选择将隐私控制权完全握在自己手中。即便付出便利性和操作成本，也能避免平台、厂商或组织默认拥有访问权。

• 开源、跨平台磁盘加密软件：支持 Windows、macOS 和 Linux，提供强加密、实时透明加密（On‑The‑Fly Encryption）及启动前认证（Pre-Boot Authentication）。
• 隐私优先：核心价值在于防止数据在未授权情况下被访问，而非单纯防止破解。
• 隐藏卷功能（Hidden Volume）：提供合理否认性（Plausible Deniability），在被迫交出密码时保护敏感信息。
• 完全自持密钥：使用 VeraCrypt 意味着用户必须承担密钥管理与使用行为的责任。

隐私保护与威胁模型

隐私保护关注的不是破解难度，而是 数据在未授权情况下被访问的风险。

主要威胁：

• 设备丢失、被盗或被扣押
• 被迫交出密码
• 厂商、操作系统或云平台可能访问密钥

不直接防护的威胁：

• 已挂载卷上的恶意软件
• 内存或侧信道攻击
• 系统缓存、日志或索引产生的残留

信任的唯一对象是用户本人，而非平台或第三方。

官方功能概览

• 实时透明加密：文件写入前自动加密、读取时自动解密，无需手动操作。
• 跨平台支持：Windows、macOS、Linux。
• 加密对象类型：文件容器、分区、整个磁盘、系统盘。
• 隐私特性：隐藏卷提供合理否认性。
• 开源可审查：源代码公开，可验证加密实现与安全性。

密钥与加密机制

维度	实现方式	隐私意义
加密算法	AES / Serpent / Twofish，可级联	抵御暴力破解
密钥派生	PBKDF2 / Argon2，大量迭代	延缓密码猜测攻击
密钥来源	用户密码 / Keyfile	完全自持，无第三方访问
解密时机	启动前认证或挂载卷时	阻断操作系统或平台干预
平台依赖	无 TPM / 无云恢复	消除第三方可接管风险

---

启动前认证（Pre-Boot Authentication）

• 自定义 Bootloader 在操作系统加载前完成解密验证
• 避免 OS 收集凭证或记录解锁行为
• 平台无法证明加密卷曾被挂载

隐藏卷（Hidden Volume）

• 外层卷存放可公开内容，隐藏卷存放敏感信息
• 使用不同密码访问不同卷
• 磁盘结构无法证明隐藏卷存在
• 为被迫交出密码提供合理否认性

为什么使用 VeraCrypt

1. 用户完全掌控密钥

• 不依赖 TPM、平台或云
• 避免厂商或组织默认访问

1. 防止被迫暴露

• 隐藏卷机制保护敏感信息

1. 跨平台灵活性

• Windows、macOS、Linux 均可使用

1. 防止离线数据泄露

• 实时透明加密确保静态数据安全

1. 开源可验证

• 代码公开，可审查与验证实现

1. 隐私上限高

• 用户是唯一信任根，平台无法接管
• 使用成本和责任较高

简单来说：VeraCrypt 是为不愿让任何第三方访问数据的人设计的工具。

适用与不适用场景

场景	隐私收益
携带敏感数据	避免云服务或平台访问
技术取证	抵御取证压力
高敏感个人资料	用户完全控制密钥
跨平台移动存储	Windows / macOS / Linux 可访问

不适用场景：

• 企业需要集中密钥管理
• 用户无法承担密钥丢失后果
• 日常办公需无感使用

使用最佳实践

• 密码长度 >20 字符，Keyfile 与卷分离存储
• 禁用休眠（Hibernate），控制 Swap / Pagefile
• 注意缓存、日志、索引产生的残留
• 挂载卷时尽量在可信环境操作

VeraCrypt 只保护静态数据，无法自动清理使用痕迹