选择 VeraCrypt 就是选择将隐私控制权完全握在自己手中。即便付出便利性和操作成本，也能避免平台、厂商或组织默认拥有访问权。
- 开源、跨平台磁盘加密软件：支持 Windows、macOS 和 Linux，提供强加密、实时透明加密（On‑The‑Fly Encryption）及启动前认证（Pre-Boot Authentication）。
- 隐私优先：核心价值在于防止数据在未授权情况下被访问，而非单纯防止破解。
- 隐藏卷功能（Hidden Volume）：提供合理否认性（Plausible Deniability），在被迫交出密码时保护敏感信息。
- 完全自持密钥：使用 VeraCrypt 意味着用户必须承担密钥管理与使用行为的责任。
隐私保护与威胁模型
隐私保护关注的不是破解难度，而是 数据在未授权情况下被访问的风险。
主要威胁：
- 设备丢失、被盗或被扣押
- 被迫交出密码
- 厂商、操作系统或云平台可能访问密钥
不直接防护的威胁：
- 已挂载卷上的恶意软件
- 内存或侧信道攻击
- 系统缓存、日志或索引产生的残留
信任的唯一对象是用户本人，而非平台或第三方。
官方功能概览
- 实时透明加密：文件写入前自动加密、读取时自动解密，无需手动操作。
- 跨平台支持：Windows、macOS、Linux。
- 加密对象类型：文件容器、分区、整个磁盘、系统盘。
- 隐私特性：隐藏卷提供合理否认性。
- 开源可审查：源代码公开，可验证加密实现与安全性。
密钥与加密机制
| 维度 | 实现方式 | 隐私意义 |
|---|---|---|
| 加密算法 | AES / Serpent / Twofish，可级联 | 抵御暴力破解 |
| 密钥派生 | PBKDF2 / Argon2，大量迭代 | 延缓密码猜测攻击 |
| 密钥来源 | 用户密码 / Keyfile | 完全自持，无第三方访问 |
| 解密时机 | 启动前认证或挂载卷时 | 阻断操作系统或平台干预 |
| 平台依赖 | 无 TPM / 无云恢复 | 消除第三方可接管风险 |
启动前认证（Pre-Boot Authentication）
- 自定义 Bootloader 在操作系统加载前完成解密验证
- 避免 OS 收集凭证或记录解锁行为
- 平台无法证明加密卷曾被挂载
隐藏卷（Hidden Volume）
- 外层卷存放可公开内容，隐藏卷存放敏感信息
- 使用不同密码访问不同卷
- 磁盘结构无法证明隐藏卷存在
- 为被迫交出密码提供合理否认性
为什么使用 VeraCrypt
- 用户完全掌控密钥
- 不依赖 TPM、平台或云
- 避免厂商或组织默认访问
- 防止被迫暴露
- 隐藏卷机制保护敏感信息
- 跨平台灵活性
- Windows、macOS、Linux 均可使用
- 防止离线数据泄露
- 实时透明加密确保静态数据安全
- 开源可验证
- 代码公开，可审查与验证实现
- 隐私上限高
- 用户是唯一信任根，平台无法接管
- 使用成本和责任较高
简单来说：VeraCrypt 是为不愿让任何第三方访问数据的人设计的工具。
适用与不适用场景
| 场景 | 隐私收益 |
|---|---|
| 携带敏感数据 | 避免云服务或平台访问 |
| 技术取证 | 抵御取证压力 |
| 高敏感个人资料 | 用户完全控制密钥 |
| 跨平台移动存储 | Windows / macOS / Linux 可访问 |
不适用场景：
- 企业需要集中密钥管理
- 用户无法承担密钥丢失后果
- 日常办公需无感使用
使用最佳实践
- 密码长度 >20 字符，Keyfile 与卷分离存储
- 禁用休眠（Hibernate），控制 Swap / Pagefile
- 注意缓存、日志、索引产生的残留
- 挂载卷时尽量在可信环境操作
VeraCrypt 只保护静态数据，无法自动清理使用痕迹