​打造安全、私密、高效的个人桌面环境（一）

个人桌面环境

个人桌面环境是指以电脑为主力工具，由软硬件组成的，适应个人工作学习需要的生产力环境。每个人的桌面环境带有鲜明的个性色彩，本文将从安全、私密、高效这三个关键需求出发，分享个人桌面环境的构造经验。

第一篇为《安全篇》，主要讨论普通人如何保护电脑中的敏感信息，以保证安全、私密。

个人信息亟待保护

在你的电脑上保存着很多比较敏感的信息：

• 重要的工作文档比如财务文件、项目文档、客户资料等。
  

• 各种个人身份和财产相关的信息，比如身份证、户口本、房产证的扫描件。

如今，我们身处信息时代，很多办事流程都要求上传、提供这些数字化的信息。再像十几年前那样，保存到U盘或光盘，然后离线存放，作为隐私保护手段已经不太可行【1】。

【注1】：离线存放，作为数据的冷备份仍然是可以的，详见《数据无价 冷备不懈》。

但同时，你的电脑偶尔也会被其他人接触或使用：

• 同事或朋友，不定哪一天会临时借用你的电脑，检查邮件、或者登录到他们的网盘找资料，你总不好断然拒绝吧？要不然，就在办公室单独放一台客人专用机？

• 笔记本电脑屏幕坏了，需要送修。

• 其他可能导致外人使用电脑的情况。

• 最差情况：你的电脑不慎丢失，可硬盘上还保存着很多敏感资料。

基本思路

为了保护个人隐私，对计算机上的敏感数据必须进行加密。这样，即使其他人临时使用我们的电脑，但无法访问我们的敏感数据。

安全性和便利性不可兼得。所以，本文从普通人的视角，为大家推荐一个安全级别较高、同时也照顾到使用便利性的加密保护办法：

• 在你的计算机上创建一个加密的磁盘分区，它就像一个安全房间，只有输入了口令或密钥，才能访问。
  

• 对该加密分区内的所有文件，利用云端同步软件，进行同步备份。

加密+同步：两层保护结构

为了达到上述目的，我们只需要两个工具：

• 能够对磁盘或分区、文件夹进行加密保护的工具。这里加密/解密的过程必须是自动且透明的，即用户除了首次挂载加密卷时的身份认证之外，不必再考虑操作细节，并且不改变用户习惯、不影响用户正常使用。
  

• 对上述敏感数据进行同步备份的工具。既然是敏感且重要的数据，那么必须进行自动备份，以保证数据的完整性。

对磁盘进行加密的工具还是有很多选择的。早几年，我们可以使用TrueCrypt。自从2014年传出TrueCrypt不再安全的说法后，不少用户转而安装使用VeraCrypt进行加密保护。

同步备份方面，本文给出两种选择：

1. 公共云同步：Dropbox，世界第一的云同步服务，客户端文件会上传到Dropbox云端。免费用户起始容量为2GB，通过邀请朋友注册可以不断扩容，免费用户的最大容量约为26GB。优点不用说了，缺点是不少用户访问会比较困难。
   

2. 私有云同步：Synology Drive（群晖Drive）。这是笔者常用的第二种云同步，缺点是需要购买群晖NAS硬件。优点是速度快、功能丰富、数据保存在私有云、对隐私和安全比较放心，同时还支持云端协同办公。

   
   

以上两种云同步工具，大家二选一即可【3】。

【注3】：有关同步的内容，请参阅本系列的下一篇《效率篇》。

第一层：磁盘加密VeraCrypt

一、VeraCrypt简介

点击进入VeraCrypt官网。

最初VeraCrypt的项目托管网址【2】。

【注2】：CodePlex是一个由微软公司于2006年5月所建置的开放源代码托管网站，在此网站中所发布的所有程序都可以下载源代码使用，当前它已经成为微软软件的周边组件或扩展的发布管道。微软在2017年3月31日宣布于即日起无法新建项目，从10月起网站转为只读状态，同年12月15日关闭CodePlex。

VeraCrypt是一个衍生自TrueCrypt 7.1a的免费开源的磁盘加密软件。由法国的IDRIX开发，支持主流的Windows,、Mac OSX and Linux操作系统。

VeraCrypt的功能：

• 能够从一个文件创建一个虚拟加密磁盘，挂载该文件，即得到一个逻辑盘。
  

• 可以加密整个分区甚至整个设备，比如u盘、移动硬盘等。
  

• 可以加密Windows所在的分区或磁盘。
  

• 加密过程是自动、实时和透明的。

• 优化算法使得加密盘读写速度极快，跟未加密类似。

• 支持硬件加密加速（视处理器而定）。

• 支持虚假的否认，这个有趣的功能使得你在受到胁迫时，可以交出一个虚假的加密盘，从而保护隐藏的分区或磁盘。
  

二、VeraCrypt的下载与安装

VeraCrypt官网首页点击Download

根据你的操作系统，选择合适版本下载

1. 最新的Windows稳定版本：2018年10月8日发行的1.23。

2. Win版安装程序下载。

3. 袖珍版下载。

4. 源代码下载。

5. SHA256校验和，这是方便大家检验下载的软件包是否安全，是否被恶意篡改过。

下载后，运行安装即可。不必担心英文网站，软件下载后，安装时，能选简体中文。

三、VeraCrypt下创建加密磁盘

新建加密卷

1. 点击Create Volume（创建加密卷）。
   

2. 选择Create an encrypted file container（创建一个加密文件容器）。这将生成一个加密文件，挂载该文件后，将会出现一个逻辑磁盘。建议初学者先选这个入门。

继续创建加密卷

3. 选择Standard VeraCrypt volume（标准VeraCrypt卷）。

4. 指定加密文件容器的位置和文件名。

请大家根据向导的指示，继续指定加密卷的大小、密码等，完成加密卷的生成。本文无意写成软件使用教程，详细步骤从略。

四、挂载/卸载加密卷

在步骤三中新建了一个加密文件容器。我们该如何使用呢？

挂载加密卷

挂载加密卷

1. 指定一个盘符，比如W：。

2. 选择刚才建立的加密文件容器（就是一个文件，比如名为my 1st vera data的文件。

3. 挂载新建的加密文件容器（须输入密码）。

4. 此时，系统中新增了一个W盘，我们就可以对该盘进行各种文件操作了。

注意：此时W盘处于解密状态，任何内容都可以被看到。所以当不需要时，要记住关机或卸载加密卷。

卸载加密卷

加密卷目前是W：

1. 在加密卷列表中，目前有一个我们刚才挂载的W盘，后面是加密容器文件名、容量、加密算法等。
   

2. 点击Dismount（卸载），即可卸载W盘。

注意：此时W盘处于加密状态，里面的内容不可见。严格的说，是加密卷未挂载。

卸载后，列表中空无一物

可以手动卸载，也可以直接关机。这样，刚才的加密卷就被卸载了。下次开机后，系统中就看不到W盘（注意不要设定开机自动挂载哈～～～）。

关于盘符的约定

盘符是我们在挂载时指定的，可以是W，也可以是与现有分区不冲突的任意盘符，比如S、T等。

建议选用一个固定的盘符，在本例中，我们固定设为W。

进一步的，建议大家在自己控制的所有计算机上，都使用同一个盘符来挂载加密卷。这样做的好处，将留待下一篇--《效率篇》来解释。

至此，我们已经建立了一个加密的磁盘，只有自己才能挂载和使用该磁盘。所以一定记着保护好你的密码、定期更换等等（关于密码保护的原则，请参考相关资料）。

经验总结

创建了加密卷，等于有了一个受保护的安全房间，我们就可以把所有敏感资料存放在这个加密卷中了。这样外人就无法偷窥。如果配合开机登录密码等手段，资料的安全性将会进一步提升。

不用VeraCrypt的话，有没有其他同类产品呢？这个就看个人的喜好了。请自行搜索“VeraCrypt 替代品”。

• 怎样提高加密的强度和安全级别？
  

• 能不能创建多层加密盘？即，在加密卷中再生成一层加密卷？

• 能不能把整个磁盘创建为加密盘？

以上种种，请读者大胆尝试。

敬请期待

本文作为《安全篇》，先解决敏感资料的加密存储问题。保证了安全，下一步才可以谈效率。敬请期待本系列的下一篇《效率篇》。

如有任何问题和建议，欢迎在评论中提出和指正。

若觉得本文对您有参考价值，请以点赞、收藏、打赏、评论来支持作者，谢谢！