VeraCrypt 常见问题 (FAQ)

VeraCrypt 是一款免费开源的磁盘加密软件，基于已停止维护的 TrueCrypt 项目开发。它支持创建加密文件容器（虚拟磁盘）、加密整个分区或移动设备、以及加密 Windows 系统盘。VeraCrypt 在 TrueCrypt 的基础上大幅提升了安全性，修复了多个已知漏洞。

是的，VeraCrypt 是完全免费且开源的软件。它基于 VeraCrypt License（基于 TrueCrypt License 修改），任何人都可以免费下载、使用和分发。项目源代码托管在 GitHub 上，任何人都可以审查代码以确保安全性。

VeraCrypt 是 TrueCrypt 的安全增强分支，主要区别包括：

• 哈希迭代次数大幅提升：TrueCrypt 使用 1000 次 PBKDF2 迭代，VeraCrypt 提升到最高 655,331 次（RIPEMD-160）或 500,000 次（SHA-2 系列），暴力破解难度增加数百倍。
• 新增加密算法：增加了 BLAKE2s、SHA-256、SHA-512、Streebog (GOST R 34.12-2015) 等哈希算法支持。
• 修复安全漏洞：修复了 TrueCrypt 中已知的多个安全隐患。
• 持续维护更新：TrueCrypt 已于 2014 年停止维护，VeraCrypt 持续更新至今。
• 不兼容 TrueCrypt 格式：VeraCrypt 使用不同的卷格式，无法直接打开 TrueCrypt 创建的加密卷（但提供了转换工具）。

功能上基本一致，主要区别在于：

• 安装版需要管理员权限安装到系统中，会自动安装磁盘驱动，支持系统盘加密。
• 便携版（Portable）无需安装，解压即可运行，可以放在U盘上随身携带。不需要管理员权限即可挂载加密卷，但不支持系统盘加密（因为需要安装驱动）。

如果只需要加密文件和U盘数据，便携版完全够用。如果需要加密系统盘，必须使用安装版。

VeraCrypt 使用的加密算法（AES-256、Serpent、Twofish 等）都是经过全球密码学界广泛审查和验证的标准算法，目前没有任何已知的方法可以在合理时间内暴力破解这些加密。即使是国家级的情报机构，在加密实现正确、密码足够强的前提下，也极难破解。

实际的安全风险通常来自：

• 使用了弱密码（如简单单词、短密码）
• 电脑已被植入木马/键盘记录器
• 密码被他人偷窥或泄露
• 加密卷文件被篡改或损坏

很遗憾，如果忘记了密码，加密的数据将无法恢复。VeraCrypt 没有"忘记密码"功能，也没有后门或恢复机制——这是设计上的安全特性。

建议的预防措施：

• 使用密码管理器（如 KeePass、Bitwarden）保存 VeraCrypt 密码
• 将密码写在纸上存放在安全的物理位置（如保险箱）
• 如果使用密钥文件，务必保留多份备份
• 在设置密码时先测试确认可以正确输入

对现代电脑来说，性能影响通常很小，大多数用户几乎感觉不到差异。原因如下：

• 现代 CPU 都支持 AES-NI 硬件加速指令集，AES 加密/解密由硬件完成，速度极快。
• VeraCrypt 使用多线程并行处理，充分利用多核 CPU。
• 只有在读写加密卷中的数据时才会产生加密/解密开销，对系统其他操作无影响。

系统盘加密后，开机时间可能会增加几秒（因为需要在引导阶段解密）。如果使用较旧的 CPU（不支持 AES-NI）或选择级联加密算法（如 AES-Twofish-Serpent），性能影响会更明显。

隐藏卷是 VeraCrypt 的一项高级安全功能。它允许您在一个已加密的标准卷内部再创建一个隐藏的加密卷。从外部看，只能发现外层标准卷的存在，隐藏卷完全不可见。

用途场景：当您被迫交出密码时（如被胁迫），您可以交出外层标准卷的密码，而对方无法知道隐藏卷的存在。外层卷中的数据看起来就是全部内容。

隐藏卷有一个重要规则：不要将外层标准卷写满，否则可能覆盖隐藏卷的数据导致损坏。

技术上可以，但不推荐。加密卷文件可以存放在任何位置，包括云盘同步目录。但有以下风险：

• 云盘同步大文件时可能出现同步冲突或文件损坏。
• 加密卷中任何微小改动都可能导致整个文件被重新上传（取决于云盘的增量同步能力）。
• 如果多个设备同时挂载同一个加密卷文件，会导致数据损坏。

如果确实需要云备份，建议在卸载加密卷后再进行同步，并确保不在多台设备上同时挂载。

加密卷文件损坏后的恢复取决于损坏的程度：

• 文件系统损坏：如果加密卷内部的文件系统损坏，可以尝试使用操作系统自带的磁盘修复工具（如 Windows 的 chkdsk）在挂载状态下修复。
• 卷头部损坏：如果加密卷的头部信息（包含加密参数）损坏，即使数据区域完好也无法解密。VeraCrypt 会在创建卷时自动备份卷头部，可以使用 "Tools → Restore Volume Header" 功能恢复。
• 数据区域损坏：如果数据区域部分损坏，损坏部分的数据将无法恢复，但未损坏部分的数据仍可访问。

建议定期备份加密卷文件到另一个存储设备，以防数据丢失。

加密卷文件可以像普通文件一样复制和移动。只需在每台需要使用的电脑上安装 VeraCrypt，然后将加密卷文件复制到目标电脑（或存放在U盘/云盘中）即可。

注意事项：

• 确保同一时间只有一台电脑挂载该加密卷，否则会导致数据损坏。
• 如果使用云盘同步，确保文件完全同步后再在另一台电脑上挂载。
• 各电脑上的 VeraCrypt 版本建议保持一致。

VeraCrypt 支持以下加密算法：

• AES-256：最广泛使用的标准，性能优秀（有硬件加速），安全性经过充分验证。推荐大多数用户使用。
• Serpent：安全性极高，但速度较慢，无硬件加速。
• Twofish：安全性高，速度适中。
• 级联模式：如 AES-Twofish、AES-Twofish-Serpent 等，将多个算法串联使用，安全性最高但性能最低。

对于绝大多数用户，AES + SHA-512 的组合已经足够安全。只有在面对极端威胁模型时才需要考虑级联模式。

不能。系统盘加密后，每次开机都需要在 VeraCrypt 引导界面输入正确密码才能启动系统。如果忘记密码，系统将无法启动。

可以使用之前创建的 Rescue Disk（恢复磁盘）来修复引导或备份关键数据，但恢复磁盘不能绕过密码。密码仍然是访问加密数据的唯一途径。

这就是为什么在加密系统盘之前，务必确保密码已牢记或安全保存。

VeraCrypt 提供了迁移工具，可以将 TrueCrypt 加密卷转换为 VeraCrypt 格式：

• 安装 VeraCrypt 后，在主界面选择 "Tools" → "Convert Volume"。
• 选择要转换的 TrueCrypt 加密卷文件。
• 输入 TrueCrypt 密码进行验证。
• 确认转换。转换后卷将使用 VeraCrypt 格式，TrueCrypt 将无法再打开。

建议在转换前备份 TrueCrypt 加密卷文件，以防转换过程中出现问题。

VeraCrypt 在 macOS 和 Linux 上都能正常使用，功能与 Windows 版本基本一致（系统盘加密功能除外，该功能仅支持 Windows）。

• macOS：需要先安装 macFUSE 或 FUSE-T（Apple Silicon 推荐 FUSE-T）。界面与 Windows 版相同。
• Linux：提供 GUI 和 Console（命令行）两种版本。GUI 版需要 wxGTK3 库。AppImage 格式无需安装即可运行。

加密卷文件在不同平台之间是完全兼容的，Windows 上创建的加密卷可以在 macOS/Linux 上挂载，反之亦然。