VeraCrypt והצפנת דיסקים בקוד פתוח: המדריך המלא

מקור: The Useful Byte — המאמר באנגלית. פרסום מקורי: 1 ביולי 2026. תיקון המקור: 26 באוקטובר 2026. הכנת התרגום לעברית: 26 באוקטובר 2026.

עדכון בטיחות במקור: 26 באוקטובר 2026. הובהרו מגבלות יכולת ההכחשה, השחזור והשינה העמוקה, וכן גזירת מפתחות, קובצי מפתח ורישום TPM. הוסרו דוגמאות שחשפו משפטי סיסמה או סיכנו נתונים בדריסה או בחילוץ פלט שלא אומת. זהו תיקון מוגבל, לא ביקורת מלאה של המאמר.

מבוא

הצפנה שהוגדרה כראוי יכולה לסייע בהגנה על קבצים מאוחסנים אם מכשיר או כונן אובדים או נגנבים, בתנאי שהמפתחות והסיסמאות נשארים מוגנים. היא אינה מגינה על קבצים שכבר נגישים בכרך פתוח או במכשיר פעיל שנפרץ. אמצעי הזהירות של VeraCrypt מסבירים מגבלות אלה, ובהן נוזקות ומידע גלוי שנותר בזיכרון.

במדריך הזה נבחן לעומק את VeraCrypt, תוכנת קוד פתוח להצפנת דיסקים, ונשווה אותה לחלופות ובהן LUKS/dm-crypt, ‏GPG ו־age. לצורך ההקשר נכלול גם את BitLocker.

1. מהי VeraCrypt?

VeraCrypt יוצרת ומנהלת כרכים מוצפנים. לאחר עיגון הכרך באמצעות פרטי הגישה הנדרשים, אפשר לעבוד עם הקבצים בדומה לעבודה בדיסק רגיל: הנתונים מפוענחים בזמן הקריאה ומוצפנים לפני כתיבתם חזרה לכרך. המבוא הרשמי מסביר כיצד פועלת ההצפנה בזמן העבודה.

מושגי יסוד

• מכלים מוצפנים — כרכים: VeraCrypt יוצרת מכלים מוצפנים בקבצים, המתפקדים כדיסקים מוצפנים וירטואליים. מעגנים אותם לאות כונן או לנקודת עיגון, עובדים עם הקבצים כרגיל, ולבסוף מנתקים את העיגון כדי לנעול אותם.
• הצפנת דיסק מלא או מחיצה: VeraCrypt יכולה להצפין דיסק או מחיצה שלמים, לרבות מחיצת המערכת — כונן האתחול — ב־Windows, עם אימות לפני האתחול.
• כרכים נסתרים: כרך נסתר משתמש בסיסמה נפרדת בתוך כרך חיצוני. הוא נועד לתמוך ביכולת הכחשה סבירה, אך אינו מבטיח שלא ניתן להסיק על קיומו. עקבות במערכת ההפעלה, תמונות מצב, התנהגות האחסון וראיות אחרות עלולות לפגוע בה. קראו את דרישות האבטחה הרשמיות לכרכים נסתרים לפני הסתמכות על התכונה.
• מערכות הפעלה נסתרות: VeraCrypt מציעה תכונת מערכת הפעלה נסתרת, בכפוף לדרישות פלטפורמה ותפעול מחמירות. היא אינה מבטיחה הגנה מפני כפייה או היעדר ראיות.

אלגוריתמי ההצפנה הנתמכים

• AES-256 — תקן ההצפנה המתקדם, עם מפתח של 256 סיביות
• Serpent
• Twofish
• Camellia
• Kuznyechik (GOST R 34.12-2015)
• שילובים מדורגים של צפנים: למשל AES-Twofish, ‏Twofish-Serpent ו־AES-Twofish-Serpent. ראו את רשימת האלגוריתמים הנתמכים ב־VeraCrypt.

פונקציות גיבוב נתמכות לגזירת מפתחות

• SHA-512, SHA-256, Whirlpool, Streebog (GOST R 34.11-2012), BLAKE2s-256
• גזירת המפתח תלויה בגרסת VeraCrypt ובסוג הכרך. התמיכה ב־PBKDF2 נמשכת; גרסאות עדכניות תומכות גם ב־Argon2id לכרכים שאינם כרכי מערכת. עיינו בהערות הגרסה ובתיעוד פונקציית גזירת המפתח שנבחרה, במקום להניח שאותה הגדרה מתאימה לכל כרך.

2. התקנת VeraCrypt

Windows

בחרו את תוכנית ההתקנה או את החבילה הניידת המתאימה לארכיטקטורת Windows שלכם מתוך עמוד ההורדות הרשמי. מצב נייד אינו דורש התקנה רגילה, אך עדיין מחייב הרשאות מנהל ועלול להשאיר עקבות במערכת. ראו את הדרישות למצב נייד.

macOS

בעמוד ההורדות הרשמי מוצעות גרסאות נפרדות התואמות ל־macFUSE ול־FUSE-T. בחרו את הגרסה ואת רכיב מערכת הקבצים הנדרש בהתאם למחשב ה־Mac ולגרסת macOS שלכם; macFUSE אינה האפשרות היחידה. פעלו לפי הוראות ההתקנה של הרכיב שנבחר, במקום להחיל הוראות להרחבות ליבה על כל תצורה.

Linux — ‏Ubuntu/Debian

השתמשו בהורדות הרשמיות ל־Linux ובחרו חבילה המתאימה לגרסת ההפצה ולארכיטקטורה שלכם. עבור גרסאות Debian ו־Ubuntu נתמכות מופיעות חבילות נפרדות לממשק גרפי ולמסוף. אל תניחו שמאגר PPA של צד שלישי ל־Ubuntu, או שם חבילה מסוים, יעבדו בכל מערכת המבוססת על Debian.

3. יצירת כרכים מוצפנים והשימוש בהם

יצירת מכל בקובץ דרך הממשק הגרפי

1. פתחו את VeraCrypt ולחצו על Create Volume — יצירת כרך.
2. בחרו Create an encrypted file container — יצירת מכל מוצפן בקובץ.
3. בחרו Standard VeraCrypt volume למכל רגיל. שקלו כרך נסתר רק לאחר עיון בדרישות האבטחה ובמגבלות שלו.
4. בחרו מיקום ושם קובץ, למשל mydata.vc.
5. בחרו אלגוריתם הצפנה — AES מומלץ — ופונקציית גיבוב SHA-512.
6. הגדירו את גודל הכרך, למשל 10 GB.
7. הגדירו סיסמה חזקה; מומלץ משפט סיסמה באורך 20 תווים לפחות.
8. הזיזו את העכבר באקראי בחלון כדי לייצר אנטרופיה לחומר המפתח.
9. לחצו על Format — אתחול — כדי ליצור את הכרך.

עיגון כרך דרך הממשק הגרפי

1. בחלון הראשי של VeraCrypt בחרו משבצת כונן, למשל Z:.
2. לחצו על Select File — בחירת קובץ — ונווטו אל מכל ה־.vc שלכם.
3. לחצו על Mount — עיגון — והזינו את הסיסמה.
4. הכרך מופיע כאות כונן; השתמשו בו כמו בדיסק רגיל.
5. בסיום לחצו על Dismount או על Dismount All לניתוק העיגון.

שימוש בשורת הפקודה — Linux/macOS

אל תכניסו משפטי סיסמה לארגומנטים בשורת הפקודה או לסקריפטים. השתמשו בתהליך האינטראקטיבי ובתיעוד הרשמי לשורת הפקודה המתאים לפלטפורמה ולסוג הכרך שלכם. אמתו את היעד ואת הגיבויים לפני אתחול, ובדקו את ההגנה על כרך נסתר במקום להשבית אותה כברירת מחדל.

הצפנת כונן המערכת ב־Windows

VeraCrypt יכולה להצפין את מחיצת המערכת של Windows עם אימות לפני האתחול — Pre-Boot Authentication (PBA):

1. בחרו System → Encrypt System Partition/Drive.
2. בחרו מצב הצפנת מערכת מתאים לפי התיעוד; מערכת הפעלה נסתרת דורשת הערכה נפרדת של דרישות הפלטפורמה והמגבלות שלה.
3. בחרו באתחול של מערכת יחידה או של כמה מערכות.
4. הגדירו אלגוריתם הצפנה וסיסמה.
5. צרו את דיסק ההצלה של VeraCrypt המתאים למצב האתחול: בתהליך המתועד משתמשים באמצעי אחסון USB עבור EFI וב־CD/DVD עבור MBR הוותיק. פעלו לפי האשף ושמרו את אמצעי השחזור במקום בטוח.
6. בדיקה מקדימה מוודאת שטוען האתחול פועל לפני תחילת ההצפנה.
7. ההצפנה המלאה מתבצעת ברקע בעוד Windows ממשיכה לפעול כרגיל.

שימוש בקובצי מפתח לשיפור האבטחה

קובץ מפתח ב־VeraCrypt תורם את תוכן הקובץ לסוד המשמש לפתיחת הכרך. אם מגדירים גם סיסמה שאינה ריקה וגם קובצי מפתח, נדרשים הסיסמה הנכונה והתוכן הנכון של קובצי המפתח. אין בכך אוטומטית הגנה דו־גורמית עצמאית: אדם אחר יכול להשתמש בעותק של קובץ המפתח, ואחסונו לצד הכרך המוצפן פירושו שמי שמעתיק את האחסון עשוי להשיג גם אותו. התועלת תלויה בהגנה על הסודות ובהפרדה ביניהם, ובאיומים שצריך להתמודד איתם.

הגנו על קובצי המפתח מפני שינוי או דריסה ושמרו גיבוי שאפשר לשחזר ממנו. בחרו אותם בתהליך המתועד; אל תכניסו משפט סיסמה לארגומנט של פקודה. ראו את ההוראות הרשמיות לקובצי מפתח.

4. חלופות בקוד פתוח ל־VeraCrypt

4.1 LUKS / dm-crypt — ‏Linux

LUKS מגדיר פורמט אחסון לכרכים מוצפנים ולמטא־נתונים של ניהול מפתחות. כלי cryptsetup, הפועל במרחב המשתמש, מנהל את הכרכים; ב־Linux, ‏dm-crypt מספק את שכבת הצפנת התקני הבלוקים בליבה. ההבחנה מוסברת בתיעוד פרויקט cryptsetup.

תכונות מרכזיות:

• הצפנת מחיצות שלמות ודיסקים שלמים ברמת התקן הבלוקים.
• תמיכה בכמה משבצות מפתחות: עד 8 ב־LUKS1 ועד 32 ב־LUKS2, עבור כמה משפטי סיסמה או קובצי מפתח.
• LUKS2 תומך בפונקציות מודרניות לגזירת מפתחות: Argon2id, תובענית בזיכרון ועמידה בפני התקפות באמצעות מעבדים גרפיים, וכן PBKDF2.
• שילוב עם systemd לפתיחה אוטומטית באמצעות TPM, שרתי מפתחות ברשת או מפתחות FIDO2.
• שקיפות למערכת הקבצים: אפשר למקם מעליו כל מערכת קבצים, כגון ext4, ‏btrfs או xfs.

התקנה ושימוש:

אתחול עלול להרוס נתונים קיימים. אמתו את היעד המדויק והחזיקו גיבויים שנבדקו לפני ביצוע ההוראות בתיעוד הרשמי של cryptsetup. אל תשתמשו מחדש בשם של קובץ דמות קיים ואל תמשיכו לאתחול לאחר כישלון בשלב ההכנה.

פתיחה אוטומטית באמצעות TPM2 ב־Linux — ‏systemd-cryptenroll:

systemd-cryptenroll יכול לרשום שיטת פתיחה המבוססת על TPM2 לכרך LUKS2; הרישום לבדו אינו הגדרה אוניברסלית לאתחול ללא סיסמה. פעלו לפי שילוב האתחול הנתמך בהפצה שלכם ולפי התיעוד הרשמי של systemd-cryptenroll. אמתו את הכרך המיועד, את התאימות בין גרסאות הכלים ואת אמצעי השחזור לפני שינוי הרישום. מדיניות PCR צריכה להתאים לתכנון האתחול: קשירה ישירה למדידות קושחה עלולה לחייב שחזור בעקבות עדכון. אל תעתיקו נתיב התקן קבוע או רשימת PCR ממחשב אחר.

4.2 GPG — ‏GNU Privacy Guard

GPG הוא מימוש קוד פתוח של תקן OpenPGP. הוא משמש בעיקר להצפנת קבצים ודואר אלקטרוני, לחתימות דיגיטליות ולניהול מפתחות, ולא להצפנת דיסק מלאה.

הצפנה סימטרית של קבצים באמצעות GPG:

פענחו לקובץ פלט חדש ונפרד, לא על גבי המקור הגלוי. ודאו שהפענוח הצליח לפני פתיחה או חילוץ של ארכיון; אל תזרימו פלט מפוענח שלא אומת ישירות לכלי חילוץ. ראו את התיעוד הרשמי של GnuPG בנושא קלט ופלט.

הצפנה אסימטרית באמצעות מפתח ציבורי:

לפני הצפנה לאדם אחר, ודאו שהמפתח הציבורי שייך לנמען המיועד. השוו איתו את טביעת האצבע המלאה של המפתח דרך ערוץ תקשורת נפרד שבו אימתתם את זהות הנמען; שם או כתובת דוא״ל תואמים אינם מספיקים. פעלו לפי ההנחיות של GnuPG לאימות מפתחות ולפי המדריך הרשמי לניהול מפתחות ולהצפנה. הגנו על המפתחות הפרטיים והשתמשו בנתיבי פלט נפרדים שאינם דורסים קבצים קיימים.

4.3 age — כלי מודרני להצפנת קבצים

age הוא כלי להצפנת קבצים, המציע הצפנה לנמענים והצפנה באמצעות משפט סיסמה. ראו את התיעוד הרשמי של הפרויקט לתהליכי העבודה הנתמכים.

למה לבחור ב־age במקום ב־GPG להצפנת קבצים?

• ממשק וניהול מפתחות פשוטים בהרבה.
• קריפטוגרפיה מודרנית: X25519 להסכמה על מפתחות, ChaCha20-Poly1305 להצפנה ו־HKDF לגזירת מפתחות.
• ללא תלות בשרתי מפתחות וללא רשת אמון מורכבת.
• תמיכה מובנית במפתחות SSH כמפתחות נמענים; אפשר להשתמש שוב ב־id_ed25519 הקיים שלכם.
• אפשר לשלב אותו בצינורות עיבוד ובכלי Unix רגילים.

פעלו לפי ההוראות הרשמיות של age להצפנה לנמענים או באמצעות משפט סיסמה. שמרו את קובצי הקלט המקוריים, השתמשו בנתיבים חדשים ונפרדים לפלט המוצפן ולפלט המשוחזר, וודאו שהפענוח הצליח לפני חילוץ ארכיון.

4.4 gocryptfs

gocryptfs היא מערכת קבצים מוצפנת בשכבת על, הכתובה ב־Go. בניגוד ל־LUKS הפועל ברמת הבלוקים או למכלי VeraCrypt, היא מצפינה כל קובץ בתיקייה בנפרד. לכן היא מתאימה במיוחד לסנכרון קבצים מוצפנים לאחסון בענן, כגון Dropbox, ‏Google Drive ו־Nextcloud, שבו שינוי בקובץ יחיד אינו מחייב להעלות שוב מכל שלם.

Linux היא הפלטפורמה המקורית של gocryptfs; הפרויקט מתאר את התמיכה ב־macOS כתמיכה באיכות בטא ומתעד התקנה באמצעות MacPorts. פעלו לפי הערות הפלטפורמה ומדריך ההתחלה המהירה להתקנה, להפרדה בין התיקייה המוצפנת לתיקיית המידע הגלוי, ולעיגון ולניתוק עיגון במערכת שלכם. אל תשתמשו בפקודות ניתוק עיגון של Linux ללא התאמה ב־macOS.

4.5 Cryptomator

Cryptomator מספק הצפנה בצד הלקוח לקבצים המאוחסנים בענן. יישום שולחן העבודה שלו הוא קוד פתוח ברישיון GPLv3. במחשב שולחני, תוכנת לקוח נפרדת של שירות האחסון בענן מסנכרנת את תיקיית הכספת המוצפנת; Cryptomator עצמו אינו לקוח הסנכרון. התמיכה בשירותים משתנה לפי הפלטפורמה. ראו את פרויקט יישום שולחן העבודה ואת מדריך הגדרת הכספת.

תכונות מרכזיות:

• הצפנת AES-256 לתוכן הקבצים ולשמותיהם.
• תמיכה בכמה פלטפורמות: Windows, ‏macOS, ‏Linux, ‏Android ו־iOS.
• ממשק גרפי ליצירת כספות ולפתיחתן.
• הגנו על סיסמת הכספת ועל מפתח השחזור, אם קיים; מפתח שחזור מאפשר לאפס סיסמה שנשכחה. ראו את הנחיות השחזור.
• מהדורת Hub זמינה לניהול מפתחות בצוותים ובארגונים.

פעלו לפי הוראות ההתקנה הרשמיות למערכת ההפעלה שלכם. שימוש אישי במחשב שולחני זמין ללא תשלום; גישה מלאה במכשירים ניידים וחלק מהתכונות האופציונליות או המיועדות לצוותים כרוכים בתשלום נפרד. בדקו את התמחור העדכני במקום להניח שכל פלטפורמה ומהדורה חינמיות.

5. סיכום ההשוואה

כלי	מתאים במיוחד ל־	רמת ההצפנה	פלטפורמות	יכולת הכחשה	קלות שימוש
VeraCrypt	דיסקים שלמים, מכלים ניידים וכרכים נסתרים	בלוק או מכל	Windows, macOS, Linux	נועד ליכולת הכחשה סבירה; בכפוף למגבלות מחמירות	בינונית
LUKS/dm-crypt	הצפנת דיסק מלאה ב־Linux	התקן בלוקים	Linux בלבד	לא	בינונית, בשורת הפקודה
GPG	הצפנת קבצים ודוא״ל, חתימות	קובץ	Windows, macOS, Linux	לא	מורכבת
age	הצפנת קבצים פשוטה וכתיבת סקריפטים	קובץ	Windows, macOS, Linux	לא	קלה מאוד
gocryptfs	סנכרון לענן עם הצפנה נפרדת לכל קובץ	קובץ או מערכת קבצים	Linux; תמיכה ב־macOS באיכות בטא	לא	קלה
Cryptomator	כספות בענן ומשתמשים ללא רקע טכני	קובץ או כספת	כל הפלטפורמות וגם מכשירים ניידים	לא	קלה מאוד

6. שיטות מומלצות לאבטחה

משפטי סיסמה חזקים

השתמשו במשפט סיסמה או בסיסמה ייחודיים שנוצרו באקראי. למשפט סיסמה שקל לזכור, פעלו לפי שיטה מוגדרת לבחירת מילים אקראיות, כגון ההוראות של EFF המבוססות על הטלת קוביות, במקום לבחור בעצמכם משפט מוכר. לחלופין, השתמשו במחולל האקראי של מנהל סיסמאות. הימנעו משימוש חוזר בסיסמאות, ממשפטים צפויים ומפרטים אישיים; האורך לבדו אינו קובע עד כמה קשה לנחש סיסמה. ראו את ההנחיות של EFF לסיסמאות חזקות.

גבו את כותרות הכרכים

השתמשו בהליך הגיבוי המתועד לסוג הכרך. ב־LUKS השתמשו ב־cryptsetup luksHeaderBackup והגנו על הגיבוי. בכרכי VeraCrypt שאינם כרכי מערכת השתמשו ב־Tools > Backup Volume Header, לא בהעתקה ידנית של טווח בתים. כרכים נתמכים כוללים גם גיבוי כותרת מובנה; בדקו את Tools > Restore Volume Header לפני הסקת מסקנה שפגיעה בכותרת הראשית הפכה את השחזור לבלתי אפשרי. כונני מערכת מוצפנים של Windows דורשים את דיסק ההצלה המתאים של VeraCrypt ואת הליך שחזור המערכת. ראו את תיעוד התפריטים והשחזור של VeraCrypt ואת תיעוד cryptsetup.

הימנעו מהשהיה לזיכרון כשהכרכים המוצפנים מעוגנים

השהיה לזיכרון RAM עלולה להשאיר בזיכרון מפתחות הצפנה ומידע גלוי. שינה עמוקה עלולה לכתוב תוכן זיכרון רגיש לדיסק, ולכן אינה בטוחה אוטומטית רק מפני שכרך נתונים מוצפן או מנותק. פעלו לפי דרישות הצפנת המערכת המתועדות להגנה על קובץ השינה, או הימנעו משינה עמוקה בזמן שימוש במידע רגיש. ניתוק כרך לבדו אינו מוכיח שיישומים מחקו מידע גלוי מהזיכרון. בדקו את התנהגות השינה, השינה ההיברידית והכיבוי במערכת ההפעלה שבה אתם משתמשים. ראו את הנחיות VeraCrypt לשינה עמוקה.

שימוש ב־PIM לשיפור האבטחה ב־VeraCrypt

מכפיל האיטרציות האישי של VeraCrypt — ‏Personal Iterations Multiplier (PIM) — קובע פרמטרים של גזירת המפתח. ב־PBKDF2 הוא משפיע על מספר האיטרציות; ב־Argon2id הוא משפיע על עלויות הזמן והזיכרון. ערכים גבוהים יותר מאריכים גם את זמן הפתיחה או מגדילים את דרישות הזיכרון. שמרו את ערך ה־PIM הנכון לצורכי שחזור ובדקו התאמה למכשיר; הוא אינו תחליף למשפט סיסמה חזק. ראו את התיעוד הרשמי של PIM.

שלבו כלים להגנה בכמה שכבות

הצפנת דיסק מלאה, באמצעות LUKS או הצפנת המערכת של VeraCrypt, מגינה מפני התקפות לא מקוונות. שקלו לשלב שכבות: LUKS למחיצת השורש של Linux, מכלי VeraCrypt לקבצים הרגישים ביותר, וגם age/GPG לקבצים בודדים שמשתפים או מגבים בענן.

7. בחירת הכלי המתאים למקרה השימוש שלכם

• הצפנת כונן המערכת של Windows: בדקו את התאימות להצפנת מערכת ב־VeraCrypt או את הדרישות של BitLocker למהדורת Windows ולחומרה שלכם. ל־BitLocker יש תצורות מתועדות ללא TPM, המספקות הגנות שונות. הצפנת מערכת רגילה אינה מעניקה כשלעצמה יכולת הכחשה סבירה; לתכונות של כרך נסתר ומערכת הפעלה נסתרת יש מגבלות נפרדות ומחמירות.
• הצפנת כונן המערכת של Linux: השתמשו בתהליך ההתקנה המוצפנת הנתמך בהפצה שלכם. LUKS2 ופתיחה באמצעות TPM2 דורשים שילוב תואם בתהליך האתחול ואמצעי שחזור; פעלו לפי ההנחיות לפלטפורמה, במקום להניח שרישום לבדו מגדיר פתיחה בזמן האתחול.
• כספת מוצפנת ניידת בכונן USB: מכל בקובץ של VeraCrypt או הצפנת מחיצה, הניתנים להעברה בין Windows, ‏macOS ו־Linux.
• הצפנת גיבויים בענן: age או Cryptomator לסנכרון לענן; age לגיבויים אוטומטיים או מבוססי סקריפטים ל־S3 או ל־Backblaze.
• הצפנת קבצים להעברה לאדם אחר: GPG להשתלבות בעולם PGP, או age כחלופה פשוטה ומודרנית יותר.
• תרחישים הכוללים יכולת הכחשה סבירה: בחנו כרכים נסתרים או מערכת הפעלה נסתרת מול מודל איום מוגדר ודרישות VeraCrypt הרשמיות; אל תראו בהם הגנה מובטחת מפני כפייה.
• ניהול מפתחות לצוותים ולארגונים: Cryptomator Hub, ‏HashiCorp Vault עם מנוע transit secrets, או age עם כמה נמענים.

סיכום

בחרו את שכבת ההצפנה המתאימה למשימה: כונן מערכת, מכל נייד, קבצים בודדים או כספת המסונכרנת לענן. בדקו את התמיכה בפלטפורמה, את אפשרויות השחזור ואת עלויות הרישוי, אם ישנן. תכונות של כרכים נסתרים דורשות הערכה נפרדת של מגבלותיהן.

לפני הצפנת מידע חשוב, שמרו גיבוי שאפשר לשחזר ממנו והבינו כיצד תחזרו לגשת למידע אם סיסמה, מפתח או מכשיר יאבדו. השתמשו בהוראות הרשמיות לכלי ולפלטפורמה שנבחרו.