全盘加密#
引言#
全盘加密属于游戏行业神秘的技术，涉及各种操作系统底层技术，包括MBR启动代码劫持，硬盘分区表加密，扇区加密，过滤层驱动透明加解密技术。
全盘加密原理游戏行业使用的全盘加密是美国斯诺登推荐的TrueCrypt加密，TrueCrypt，是一款免费开源的加密软件，同时支持Windows Vista,7/XP, Mac OS X, Linux 等操作系统。
TrueCrypt不需要生成任何文件即可在硬盘上建立虚拟磁盘，用户可以按照盘符进行访问，所有虚拟磁盘上的文件都被自动加密，需要通过密码来进行访问。TrueCrypt 提供多种加密算法，包括：AES-256, Blowfish (448-bit key), CAST5, Serpent, Triple DES, and Twofish，其他特性还有支持FAT32和NTFS分区、隐藏卷标、热键启动等。 被TrueCrypt加密过的磁盘如果没有密码是无法恢复数据。曾经的巴西找过FBI破解过硬盘，因为不能强迫硬盘主人说出密码，一直无法破解。具体参考：FBI在经过一年的尝试后，还是未能破译被巴西执法机构指控金融犯罪的巴西银行家的加密文件。
巴西一家葡萄牙语报纸报道（葡萄牙语），巴西联邦警察在2008年7月展开的Satyagraha行动中，在银行家Daniel Dantas位于里约热内卢的公寓内收缴了5个硬盘。文章提到硬盘使用了两种加密程序，一种是TrueCrypt，另一种是不知名的256位AES加密软件。在专家未能破解密码后，巴西政府在2009年初请求美国提供帮助，然而美国联邦警察在一年不成功的尝试后，退还了硬盘。巴西现有的法律中不存在强制要求Dantas交出密码的规定。
实践的时候选择是全盘加密，从引导区开发加密，并且设置后的密码存储到TrueCrypt的引导启动代码部分，并且加密存储。PC机器启动时候，先启动TrueCrypt代码，使用内置的密码解密被替换的MBR启动代码和分区表等数据，再加载WINDOWS启动代码，在实模式下把windowsNT文件解密给windows的bootloader，当windows基本模块加载完成之后，进入保护模式，就挂接TC的windows过滤层驱动，让windows解密剩下的硬盘数据。注意 密码加密存储避免被各种内存dump工具分析出来密码的明文。
图1 全盘加密引导过程：
图2 原始的全盘加密启动画面：
图3 通过U盘启动读取数据
图4 进入PE系统
主机硬盘加密采用的是系统分区的加密方式，外挂硬盘就会提示分区Raw错误，未格式化，直接无发管理浏览文件数据，使用专业的分区工具DiskGenius分区精灵,pqmagic魔术分区均不能得到有价值的数据 。恢复数据的EasyRecovery类软件就更不用说，同样得不到任何数据。
图5 无法读取硬盘数据
全盘加密的好处#
- 真加密，整个硬盘扇区都加密，加密算法使用AES算法，其AES加密的密钥使用的是开发者密码和私密盐计算出来，如果没有密码，任何人无法破解密钥。任何常规技术手段都无法通过挂接硬盘或者U盘启动方式获得硬盘数据。
- 保护程序 ：因为配合裁剪系统，没有键盘鼠标和U盘和光驱的驱动和系统组件，无法在进入系统拷贝任何文件进去或者拷贝文件出去，无法获得程序，从而无法分析程序和盗取资源，提高了盗版门槛。
- 保护运营数据：因为整个硬盘是加密的无法copy任何场地数据到移动存储，充分保护了开发者的隐私。
- 保护设备和操作系统不中病毒和木马，无论是用U盘启动入侵还是拆硬盘入侵还是进入操作系统入侵，无法写入任何文件，充分保护了场地和卡游戏开发者的利益，
深思全盘加密原理#
深思全盘加密在TrueCrypt基础上，跟精锐5深度结合，从而提高了安全性。具体如下
- 必须有精锐5才能启动操作系统。
- 全盘加密的启动代码和密码存储在精锐5的安全存储区，该区不可读，并且通讯过程加密。
- 启动代码和精锐5在启动过程中使用RSA正版挑战响应，私钥存储在加密锁内部，公钥存储在启动代码中，充分保护正版开发者的利益。
- 加大了软件破解的难度，延长了破解周期，给软件开发者带来巨大的运营周期。
如何测试及购买正式版#
测试：全盘加密如何使用见 全盘加密使用流程指引
购买：如需购买全盘加密方案请联系：010-56730936